SCS評価制度の最新動向｜企業が2026年度末までに準備すべきこと

※本記事はウェビナー開催当時(2026年4月)の情報に基づいております。

SCS評価制度は、2026年度末の制度開始に向けて具体化が進んでいます。
2026年3月27日には「制度構築方針（確定版）」が公表され、制度の目的や評価方法、企業に求められる準備がより明確になりました。

制度対応は、IT・セキュリティ部門だけの課題ではありません。取引先に求めるセキュリティ水準や契約条件、対策費用の負担にも関係するため、法務・コンプライアンス部門を含めた対応が必要です。

本記事では、2026年4月に開催したウェビナー「「SCS制度」による淘汰は起きるのか！？－SCS制度の現状と企業の明暗制度の現状と企業の明暗」の内容をもとに、SCS評価制度の最新動向と、法務・IT担当者が制度開始前に準備したいことを整理します。

動画で詳しくご覧になりたい方へ

本記事の内容は、ウェビナー動画でも解説しています。制度の背景や評価の仕組みを、スライドとともに確認したい方はこちらをご覧ください。

日本企業のサイバーリスクとSCS評価制度を解説｜2本のウェビナー動画を公開

この記事で分かること

• SCS評価制度の確定版で明確になったポイント
• SCS評価制度が必要とされる背景
• 法務・コンプライアンス担当者が準備すべきこと
• IT・セキュリティ担当者が準備すべきこと
• 制度開始前から活用できる中小企業向け支援策

サプライチェーン強化に向けた「SCS評価制度」の確定版で何が明確になったのか

SCS（Supply Chain Security）評価制度（正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策状況を共通の基準で評価・可視化するための制度です。

2026年3月27日に「制度構築方針（確定版）」が公表され、制度の目的や評価方法、企業に求められる準備がより明確になりました。

SCS評価制度では、企業のセキュリティ対策状況を★1から★5の段階で示します。
★1と★2は、IPAが運営する「SECURITY ACTION」と連携した自己宣言型の仕組みです。今回新たに整備される★3と★4は、2026年度末の制度開始が予定されています。

★3では83項目について自己評価を行い、セキュリティ専門家による確認・助言を受けます。★4では157項目について、第三者評価機関による審査が必要です。★5の要件は、現時点では検討中です。

制度については、当初「格付け制度」と呼ばれることもありました。しかし、2026年3月に公表された確定版では、企業のセキュリティ対策レベルを競わせることが目的ではないと明確にされています。
★の数によって企業を順位付けしたり、特定の企業をサプライチェーンから排除したりする制度ではなく、取引に必要な対策状況を共通の基準で確認しやすくすることが目的です。

なお、制度の対象はクラウド環境を含むIT基盤です。製造ラインなどのOT・制御システムは対象外となり、別の制度やガイドラインで対応する位置付けです。

なぜ今、サプライチェーンの共通評価が必要なのか

近年は、自社を直接狙う攻撃だけでなく、委託先や取引先を経由して被害が広がるサプライチェーン攻撃が相次いでいます。
2025年には、大手飲料メーカーへのランサムウェア攻撃によって受注や出荷が連鎖的に停止したほか、岡山県精神科医療センターでは、委託先のシステムを経由して患者情報が流出しました。
IPAの「情報セキュリティ10大脅威 2026」でも、サプライチェーンや委託先を狙った攻撃は第2位となり、8年連続でランクインしています。

一方、取引におけるセキュリティ確認には、次のような課題があります。

発注側にとっては、取引先のセキュリティ対策が外部から見えにくく、各社独自の基準では比較も困難です。
受注側、特に中堅・中小企業にとっては、複数の発注元から異なるセキュリティ要件を提示されるため、対応内容やコストが重複します。

SCS評価制度は、共通の基準で対策状況を可視化することで、双方の負担を軽減しながら、サプライチェーン全体のセキュリティ水準を引き上げることを目指しています。

法務・コンプライアンス担当者が準備すべきこと

法務・コンプライアンス部門では、取引契約書、法令との整合性、セキュリティ対策費用の負担について確認を始める必要があります。

取引契約書への影響を確認する

SCS評価制度では、委託元が取引先に対して、取引内容やリスクに応じた★水準を提示する運用が想定されています。

制度の利用が広がれば、取引契約書や仕様書、調達条件などに、

• 取引先に求める★水準
• 評価結果の提出方法
• 評価を維持するための条件
• インシデント発生時の報告義務

などを明記する動きも広がる可能性があります。

法務担当者は、現在使用している契約書のひな型やセキュリティ条項に、SCS評価制度への対応が必要かを確認しておくことが重要です。

独占禁止法・下請法との関係を確認する

発注側が受注側に★の取得やセキュリティ対策を求める場合、条件の提示方法によっては、独占禁止法や下請法との関係が問題になるのではないかという懸念もあります。

経済産業省と公正取引委員会は、サプライチェーン全体のセキュリティ向上に向け、問題とならない取引の考え方を整理しています。

ただし、「制度で決まったから」と一方的に要求すればよいわけではありません。取引先との対話や、合理的な要件設定を前提として運用する必要があります。

セキュリティ対策費用の価格転嫁方針を整理する

SCS評価制度に対応するためには、ツールの導入、専門家への相談、規程の整備などのコストが発生します。

発注側が求めた対策費用を受注側だけに負担させた場合、下請法上の問題となる可能性があります。そのため、対策に必要な費用をどのように協議し、取引価格へ反映するかを整理することが必要です。

法務・コンプライアンス部門では、制度開始前に次の3点を確認するとよいでしょう。

• 経済産業省・公正取引委員会の共同文書
• 既存の取引契約書や標準条項への影響
• セキュリティ対策コストの価格転嫁方針

IT・セキュリティ担当者が準備すべきこと

IT・セキュリティ部門は、評価ガイドの公表を待つのではなく、資産の棚卸しと★3要求事項とのギャップ分析から準備を始められます。

STEP1：IT資産とクラウド環境を棚卸しする

最初に行いたいのは、自社が管理するIT資産とクラウド環境の棚卸しです。
サーバー、ネットワーク機器、クラウドサービス、アカウントなど、管理対象を一覧化し、現在実施しているセキュリティ対策を整理します。

SCS評価制度では、次の7カテゴリで対策状況が評価されます。

1. ガバナンスの整備
2. 取引先管理
3. リスクの特定
4. 攻撃等の防御
5. 攻撃等の検知
6. インシデントへの対応
7. インシデントからの復旧

STEP2：★3の83項目に対してのギャップ分析を行う

次に、★3で求められる83項目と、自社の現在の対策状況を照合します。
未対応だけでなく、「一部では実施しているが全社展開できていない」「規程はあるが運用されていない」といった部分対応の項目も明確にします。

評価ガイドは2026年秋頃の公表予定ですが、棚卸しとギャップ分析はガイドの公表前から進められます。

STEP3：ID管理と脆弱性管理から優先的に対応する

評価対象となる7カテゴリの中でも、ウェビナーでは特に、

• 「リスクの特定」に含まれる脆弱性管理
• 「攻撃等の防御」に含まれるID・特権ID管理

が重点領域として挙げられました。

すべての課題を同時に解決しようとするのではなく、攻撃を受ける可能性や被害の大きさを踏まえて、優先順位を付けることが重要です。

STEP4：専門家による確認と評価取得へ進む

★3では、対策状況評価シートへの自己評価に加えて、セキュリティ専門家による確認・助言、経営層による適合宣言、登録機関への結果提出が必要です。
★4では、専門家による確認ではなく、第三者評価機関による審査が行われます。

制度開始直前になって専門家を探すのではなく、ギャップ分析の段階から登録セキスペなどに相談しておくと、必要な対応を進めやすくなります。

中小企業は支援策も活用しながら準備を進める

SCS評価制度では、中堅・中小企業が過度な負担を抱えないよう、評価取得を支援する仕組みも整備されています。

主な支援策は次の3つです。

サイバーセキュリティお助け隊サービス

★3・★4の取得を、比較的安価かつ簡便に支援する新しいサービス類型です。実証事業を通じて、価格や品質に関する要件の整備が進められています。

登録セキスペによる専門家支援

★3の適合確認や助言は、情報処理安全確保支援士、いわゆる登録セキスペが担うことが想定されています。IPAが公開する「中小企業向けサイバーセキュリティ対策支援者リスト」から、自社に適した専門家を探すこともできます。

中小企業の情報セキュリティ対策ガイドライン

2026年3月27日に公開された改訂版では、SCS評価制度の要求事項を踏まえた対策の考え方が追加されました。規程類のサンプルやひな型も拡充されているため、制度開始を待たずに活用できます。

まとめ

SCS評価制度は、セキュリティ部門だけで完結する制度ではありません。

法務・コンプライアンス部門には、

• 取引契約書への影響確認
• 独占禁止法・下請法との整合性確認
• セキュリティ対策費用の価格転嫁方針の整理

が求められます。

IT・セキュリティ部門では、

• IT資産とクラウド環境の棚卸し
• ★3の83項目を使ったギャップ分析
• ID管理・脆弱性管理の優先的な改善
• 専門家への相談と評価取得の準備

を進める必要があります。

制度開始は2026年度末の予定ですが、現状の棚卸しや契約書への影響調査は、評価ガイドの公表前から着手できます。制度の詳細がすべて確定するまで待つのではなく、部門を横断して準備を始めることが、円滑な制度対応につながります。

SCS評価制度への準備に、Bitsightを活用

Bitsightは、インターネット上から観測できる情報をもとに、自社や取引先のサイバーリスクを継続的に可視化するセキュリティレーティングサービスです。

Bitsightの評価結果だけでSCS評価の★を取得できるわけではありませんが、外部公開資産や脆弱性の把握、現状の棚卸し、ギャップ分析における優先順位付けの補助として活用できます。取引先のリスク変化を継続的に確認できる点も、サプライチェーン管理を進めるうえで有効です。

SCS評価制度への準備や、取引先を含めたリスク管理を検討している方は、こちらをご覧ください。

▼Bitsightのサービス詳細はこちら

Bitsight

関連コンテンツ

日本企業のサイバーリスクをデータから確認する

SCS評価制度が必要とされる背景には、企業単体では管理しきれないサイバーリスクの拡大があります。Bitsightのデータから見た日本企業の現状と課題を、こちらの記事で紹介しています。

Bitsight調査から見る日本企業のサイバーリスク｜世界との比較で見えた現状と企業が優先すべき対策

ウェビナー動画で詳しく確認する

SCS評価制度の背景や★3・★4の違い、法務・IT部門への影響は、ウェビナー動画でも詳しく解説しています。

日本企業のサイバーリスクとSCS評価制度を解説｜2本のウェビナー動画を公開