セキュリティ対策評価制度はいつから？★3・★4の開始予定と準備の順番

「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、取引先どうしでセキュリティ対策の水準を★の段階で示し合うための制度です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に「制度構築方針」を公表し、制度の運営はIPA（独立行政法人情報処理推進機構）が担います。この記事では、「いつから始まるのか」について公表されている予定を整理し、開始までに進めておける準備をまとめます。

★3・★4は2027年3月頃の運用開始が予定されています

IPAのよくある質問では、★3・★4は2027年3月頃の運用開始を予定していると説明されています。経済産業省のよくある質問でも、制度の開始時期（申請の受付開始時期）は令和8年度末頃（1月～3月頃）を予定しているとされています。

ここで注意したいのは、「制度の開始」は申請の受付が始まることを指している点です。経済産業省のよくある質問には、制度開始時点において★を取得している企業は存在しない、とも書かれています。開始の日から急に何かが求められるというより、受付が始まった後に、取引先との話し合いの中で★が話題になっていく、と考えるのが自然です。

なお、★5については、要求事項・評価基準や評価スキーム、開始時期などが検討中とされています。

公表されている予定の一覧

経済産業省とIPAの公表資料に書かれている予定を、時期の順に並べると次のとおりです。いずれも「予定」で、制度運営基盤の整備状況などにより変わる可能性があると明記されています。

★3では、制度に登録されたセキュリティ専門家の確認を経た自己評価が求められます。専門家の一覧が公開されるのは2027年1月以降の予定のため、開始直前にまとめて準備しようとすると、確認を依頼する期間が短くなるおそれがあります。

★3と★4の登録料（公表済みの料金）

IPAは2026年9月18日に、制度の料金を公表しています。取得を希望する組織が支払う登録料は、次のとおりです（料金には消費税等が含まれ、適用時期は申請日が基準です）。

★3の登録料が「1年分」とされているように、★3は一度取ったら終わりではなく、続けて維持していくものとして設計されています。セキュリティ専門家への確認の依頼や、社内の準備にかかる費用は、この登録料とは別です。

開始までに進めておける準備の順番

評価ガイドや解説書がそろう前でも、要求事項・評価基準そのものは公開されています。まずは自社の現状を把握するところから、次の順番で進めておくと、資料が出そろったときに慌てずに済みます。

1. 取引先から★について話があったか、今後ありそうかを確かめ、目指す段階（★3か★4か）の見当をつける。
2. パソコン・サーバ・スマートデバイス・ネットワーク機器・ソフトウェア・クラウドサービスを洗い出し、台帳にまとめる。
3. 公開されている★3の要求事項・評価基準と台帳を見比べ、すでにできていること・できていないことを書き出す。
4. ルールの文書（セキュリティ対応方針、パスワードやアクセス権の管理ルールなど）を整え、点検した日と結果を記録として残す。
5. 解説書や取得ガイドが公開されたら、自社の記録と照らし合わせて見直し、セキュリティ専門家への確認の依頼を検討する。

台帳とルールは、一度作れば終わりではありません。機器の入れ替えや退職者が出るたびに直し、定期的に点検した記録を残していくことが、★の取得を目指すときの土台になります。

予定は変わることがあります

ここに挙げた時期は、公表時点の予定です。経済産業省の資料には、制度運営基盤の整備状況等により変更となる可能性があると書かれています。申請方法や提出の様式などの詳細は、制度のスキームオーナーであるIPAから公表されます。準備を進めるときは、IPAの制度のページで最新の情報を確かめてください。