セキュリティ対策評価制度は義務化される？任意の制度と取引先との関係

「義務化される」「★がないと取引を切られる」といった話を聞いて、身構えている会社もあるでしょう。ここでは、国が出しているQ&Aと注意喚起の文面に沿って、SCS評価制度が強制されるものなのか、発注側と受注側の間でどのように使われる想定なのかを確かめます。

SCS評価制度は「任意の制度」です

経済産業省のよくある質問では、「★3や★4の取得は必須ですか？それとも任意ですか？」という問いに対して、本制度は、事業者間で委託元から委託先に対して求めるセキュリティ水準を分かりやすく提示し、サプライチェーン全体のセキュリティ水準を高めることを目的とした任意の制度である、と答えています。

あわせて、★の取得は委託元（または委託先）との取引契約において決められるものであり、本制度として何らかの規制を課すものではない、とも説明されています。つまり、制度そのものが一律に★の取得を義務づけるのではなく、取引先との契約の中で、どの★を求めるかが決まる仕組みです。

不適切な勧誘への注意喚起

経済産業省と内閣官房国家サイバー統括室は、2026年4月27日に注意喚起を出しています。そこでは、「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による製品・サービスの勧誘が報告されていること、そうした営業活動は本制度の趣旨・目的とは異なることが書かれています。

また、本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入が必須とされているものではない、とも明記されています。よくある質問でも、EDRや資産管理システムなどの特定の製品を導入しなければならないのか、という問いに対し、特定のセキュリティ対策製品の導入を求めるものではないと答えています。

取引先から★を求められる場面

任意の制度であっても、取引の中で★が求められることはあり得ます。経済産業省の説明では、本制度は、2社間の取引契約等において、委託元が委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定しています。

よくある質問からは、次のような点が読み取れます。

• ★取得をどのような要件として契約上扱うかは、契約当事者同士で円満に合意されるべきもので、独占禁止法上及び取適法上適切に本制度を活用することが求められています。
• 取引先からの要請が無くても、各企業が自らの対策状況を可視化するために、★を自主的に取得することも考えられるとされています。
• 業種や事業規模を問わず、幅広い事業者が対象となり得ます。
• ★の取得のほかに、要求事項・評価基準を共通のチェックリストとして、必要なセキュリティ基準を満たしているかを確認するといった使い方も想定されています。
• 政府機関等や重要インフラ事業者等における調達等での活用は、今後検討するとされています。

★3と★4の評価の違い

取引先から求められる★によって、準備の内容が変わります。IPAの制度の詳細のページをもとに、★3と★4の違いを並べます。

★3の取得までの流れ

IPAの説明では、★3は次の流れで進みます。

1. 取得希望組織が、★3要求事項・評価基準に基づき自己評価を記入する（必要に応じて社内外のセキュリティ専門家の支援を得ることも可）。
2. セキュリティ専門家が記入内容を確認し、必要に応じて評価結果の修正を含む助言を行い、了承した場合に署名する。
3. 取得希望組織が、経営層による自己適合宣誓を含め、評価結果を事務局に提出する。
4. 事務局は、申請内容に問題が認められない場合には台帳に登録し、公開する。

★3の確認では、取得希望組織が作成した書類が確認されます。機器やソフトウェアの一覧、ルールの文書、点検や教育の記録などを、日ごろから整えておくことが準備の中心になります。

まとめ：急かす営業より、取引先の話を聞く

★をどう扱うかは、取引の相手との合意で決まります。「今すぐ買わないと間に合わない」という売り込みは、国の注意喚起が挙げている例そのものです。発注元から何をいつまでに求められているのかを聞き取り、そのうえで必要な準備の範囲を決めると、無駄な出費を避けられます。