SCS評価制度のスケジュール

2026年9月4日

SCS評価制度、開始前にやっておく5つの準備

業界動向

取引先のセキュリティ対策を★の数で見える化するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）。開始は2026年度末の予定ですが、2026年8月には制度の基本規程が公開され、準備は「構想」から「実装」の段階に入りました。この記事では、最新のスケジュールと、開始してから慌てないために中小企業が今やっておくべき5つの準備を解説します。

おさらい：SCS評価制度とは（30秒で）

SCS評価制度は、経済産業省が整備を進める、企業のセキュリティ対策状況を★1〜★5の5段階で評価する制度です。大手企業が取引先を選ぶ際の「ものさし」として使われていくことが想定されており、中小企業にとっては「★を持っているかどうか」が商談の入口に関わる可能性があります。制度の全体像は「経産省SCS評価制度とは？中小企業への影響を解説」で、義務化をめぐる大きな流れは「中小企業のサイバーセキュリティ義務化、何が変わるのか」で解説しています。

重要なのは、★1・★2は既存の「SECURITY ACTION」（IPAの自己宣言制度）を活用する設計とされていることです。つまり、下位の★は評価機関の審査を待たなくても、今の仕組みで準備を始められます。

最新動向：制度は「実装段階」に入った

2026年に入ってから、制度の整備は目に見えて進んでいます。3月に経済産業省が制度構築方針を公表し、4月にはIPAに制度の公式ページが開設されました。そして8月28日には、制度の基本規程などの文書が公開され、評価機関向けの説明会の案内も始まりました。評価する側の体制づくりが動き出したということは、開始予定の2026年度末に向けて、カウントダウンが始まったと見てよい状況です。

図1：2026年のSCS評価制度の歩み。評価する側の体制づくりが始まった

「開始してから考えればいい」が危ない理由は、順番にあります。制度が始まると、まず動くのは大手企業の調達部門です。取引先への要請が★の数で示されるようになったとき、そこから対策を始めると、体制づくり・書類・運用整備で数か月単位の時間がかかります。要請が来てからでは、商談のスピードに間に合わない――これが、開始前の今のうちに準備すべき最大の理由です。取引先から要請が来たときの答え方は「取引先からセキュリティ対策を求められたら、どう答えるか」で解説しています。

開始前にやっておく、5つの準備

目指す★の目安を決める
全社が★4を目指す必要はありません。取引先の業界や要請の強さから、「まずは★1・★2で姿勢を示す」「主要取引先向けに★3を視野に入れる」など、自社の立ち位置を決めます。ここが決まると、かける費用と時間の上限も決まります。コストを抑える考え方は「SCS評価制度、対応コストを抑える3つのアプローチ」をご覧ください。
SECURITY ACTIONを宣言する（★1・★2の土台）
★1・★2は既存のSECURITY ACTION（自己宣言）を活用する設計です。つまり、今日からでも無料で着手できる準備です。宣言には基本方針の作成など最低限の整備が必要ですが、IPAのひな形を使えば中小企業でも現実的に進められます。
基本対策を「6か条」でそろえる
★の中身は、突き詰めれば基本対策の積み上げです。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版が示す情報セキュリティ6か条（OS更新・ウイルス対策・パスワード管理・共有設定・手口を知る・バックアップ）を全社でそろえておけば、どの★を目指す場合でも土台になります。
かかる費用は補助金とセットで考える
対策ツールの導入や体制整備に費用がかかる場合は、デジタル化・AI導入補助金2026のセキュリティ対策推進枠など、公的支援と組み合わせて計画しましょう。詳しくは「中小企業のIT補助金、2026年度の活用方法」で解説しています。
公式情報を「受け取る仕組み」を作る
制度の詳細（評価項目の最終版・開始日・申請方法）は、これから順次固まります。IPAのSCS評価制度ページにはメールニュースの登録フォームがあり、登録しておけば追いかける手間がなくなります。年度末までは「月1回、公式ページを見る」だけでも十分です。