近年、取引先を経由したサプライチェーン攻撃が深刻化し、企業のセキュリティ対策は自社だけの問題ではなくなっています。こうしたなか、経済産業省と内閣官房国家サイバー統括室は、企業のセキュリティ対策状況を共通の基準で「見える化」する新しい国の制度、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めています。
2026年3月27日には、その「制度構築方針」が正式に公表され、★3・★4の要求事項・評価基準もあわせて示されました。2026年度末頃の制度開始を目指し、準備は最終段階に入りつつあります。本記事では、2026年時点の最新情報にもとづいて制度の全体像、★3・★4の違い、中小企業向け支援策、そして今から企業が準備すべきことを解説します。
目次
【この記事の要点・結論】SCS評価制度への対応と準備
- 制度の目的：経済産業省・内閣官房が主導し、企業のセキュリティ対策状況を共通の基準で評価・可視化することで、サプライチェーン全体のセキュリティ水準の底上げを図る仕組みです。
- 最新の動き：2026年3月27日に「制度構築方針」が正式公表され、★3・★4の要求事項・評価基準が示されました。2026年度末頃の制度開始（申請受付開始）を目指しています。
- 評価の段階：セキュリティ対策の段階は★3・★4に区分されます（★5は今後検討）。★3は専門家の確認を経た自己評価、★4は評価機関による第三者評価が前提です。
- 任意の制度：本制度は企業のセキュリティ対策を可視化するものであり、レベルを競わせる格付け制度ではありません。取引において任意で活用されることが想定されています。
- 中小企業向け支援策：「サイバーセキュリティお助け隊サービス（新類型）」の創設や、「中小企業の情報セキュリティ対策ガイドライン」の改訂など、★3・★4取得を後押しする支援が進んでいます。
- 今すべき準備：自社のIT基盤とセキュリティ対策の棚卸し、★3要求事項とのギャップ確認、不足対策の実装が基本となります。あわせて、契約書や情報資産を安全に管理する文書管理のデジタル化も、対策の一環として有効です。
SCS評価制度の概要と目的
SCS評価制度とは
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、経済産業省と内閣官房国家サイバー統括室が主導する、企業のセキュリティ対策の実施状況を共通の基準で客観的に評価・可視化するための制度です。SCSは「Supply Chain Security」の略です。
企業のセキュリティ対策状況を★（星）の段階で示すことで、これまで各社が個別に確認・説明していた対策水準を、統一された「ものさし」で共有できるようにします。具体的には、2社間の取引契約などにおいて、委託元が委託先に適切な★の段階を提示し、対策の実施状況を確認することが想定されています。
なお重要な点として、本制度は企業のセキュリティ対策への対応状況を可視化するものであり、事業者のセキュリティ対策レベルを競わせる格付け制度ではありません。取得も義務ではなく、取引における任意の活用が前提です。
制度の対象範囲
SCS評価制度は、サプライチェーンを構成する企業のIT基盤（クラウド環境で運用するものを含む）を対象としています。一方、製造環境などの制御（OT）システムや、委託元に提供する製品そのものは、サプライチェーン全体での共通化が難しいため直接の対象とはされず、他の制度やガイドラインに基づく対策が想定されています。
制度創設の背景
制度創設の背景には、サプライチェーンを狙ったサイバー攻撃の深刻化があります。近年は、セキュリティの強固な大企業を直接狙うのではなく、対策が比較的手薄な取引先や委託先を経由して侵入する「サプライチェーン攻撃」が増加しています。こうした攻撃では、被害が最初の1社にとどまらず、取引先やグループ企業へと連鎖的に拡大する恐れがあります。
一方で、発注元企業には「取引先のセキュリティ対策状況を外部から判断しにくい」という課題が、委託先企業には「複数の取引先からさまざまな対策を個別に要求される」という課題が生じていました。SCS評価制度は、共通の基準で対策状況を可視化することで、双方の負担を軽減しながらサプライチェーン全体のセキュリティ水準を底上げすることを目的としています。
制度構築方針と今後のスケジュール
2026年3月27日に「制度構築方針」が正式公表
SCS評価制度は、2025年4月の「中間取りまとめ」を経て、2025年12月26日に「制度構築方針（案）」が公表され、2026年1月24日までパブリックコメントが実施されました。この意見募集には93者から569件の意見が提出され、それらを踏まえた修正を加えたうえで、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」が正式に公表されました。
この正式公表により、制度の目的・位置づけ、対象範囲、★3・★4の要求事項・評価基準、評価スキーム、中小企業向け支援策などが具体的に示され、制度は「検討段階」から「開始に向けた準備段階」へと進みました。
今後のスケジュール
制度構築方針で示された今後のスケジュールは、次のとおりです。
- ★3・★4：2026年度末頃の制度開始（申請受付の開始）を目指す
- ★5：2026年度以降、要求事項・評価基準や評価スキームの具体化を検討
- 評価ガイド：要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイドを、2026年秋頃を目途に公表予定
なお、これらのスケジュールは制度運営基盤の整備状況などにより変更となる可能性があります。最新情報は、経済産業省・IPAの公式サイトで確認することが重要です。
評価制度の内容と★3・★4の評価基準
★3・★4の評価スキーム
SCS評価制度では、セキュリティ対策の段階を★3・★4に区分しています（★5は今後検討）。★3の要求事項・評価基準を基礎とし、★4ではより広い範囲や高度な対策を含む要求事項・評価基準に基づいて評価が行われます。
- ★3：専門家の確認を経た自己評価。サプライチェーンに参加する多くの企業にとって、最初の到達目標となる基本的な対策レベルです。IT資産の管理、アクセス制御、マルウェア対策、脆弱性への対応などが求められます。
- ★4：評価機関による第三者評価および技術検証を伴う、より高度な対策レベルです。★3の要求事項を包含したうえで、客観的な検証が加わります。
多くの企業にとっては★3が対応の起点となります。★4は、取引先からより高い水準を求められる場合や、自社のセキュリティ対策をさらに高度化したい場合に検討する上位の選択肢であり、すべての企業が一律に★4を目指す必要があるわけではありません。
特定の製品導入は必須ではない
制度構築方針では、評価基準を達成するにあたり、特定のセキュリティ対策製品の導入が必須とされているわけではないことが明記されています。要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイドは、2026年秋頃に公表される予定です。自社の環境に合わせて、必要な対策を実装していく形になります。
評価を支える分類（NIST CSFベース）
SCS評価制度の要求事項は、国際的に広く用いられるNIST CSF（サイバーセキュリティフレームワーク）の考え方に沿って整理されているといわれています。統治・識別・防御・検知・対応・復旧といった機能に「取引先管理」の観点を加えた分類が基礎となっており、NIST CSFやISMS（ISO/IEC 27001）をベースに対策を進めてきた企業であれば、既存の取り組みを活かしながら準備を進めやすい設計です。
中小企業向け支援策
経済産業省とIPA（情報処理推進機構）は、中小企業が★3・★4を取得しやすくするための支援策を進めています。制度構築方針で示された主な支援策は、次のとおりです。
サイバーセキュリティお助け隊サービス（新類型）
中小企業がSCS評価制度の★3・★4を安価かつ簡便に取得できるよう、新たな支援策として「サイバーセキュリティお助け隊サービス（新類型）」が創設されます。2026年春頃からは、この新類型の制度設計を行うための実証事業が開始される予定です。実証では、サービス提供事業者と連携して、実際に中小企業へ★3・★4取得のためのサービスを試行的に提供し、その結果を踏まえて品質要件や価格要件などが検討されます。
「中小企業の情報セキュリティ対策ガイドライン」の改訂
中小企業が自ら★3・★4の対策を実施できるよう、「中小企業の情報セキュリティ対策ガイドライン」が改訂され、2026年3月27日にIPAのホームページで公開されました。ガイドラインの「第2部 実践編」STEP3に、SCS評価制度で求められる要求事項を踏まえた対策の考え方が整理され、付録の規程類サンプルやひな型も制度に対応する形で拡充されています。
専門家（登録セキスペ）による支援
★3の取得には「専門家の確認」が求められます。これに対応するため、IPAは「中小企業向けサイバーセキュリティ対策支援者リスト」に掲載された情報処理安全確保支援士（登録セキスペ）が、セキュリティアセスメントの支援を行えるよう体制を整えています。中小企業は、★3取得の際に専門家へ適合可否の確認や助言を依頼できるようになる見込みです。
制度開始前に企業が準備すべきこと
制度開始（2026年度末頃）を待ってから動き出すのではなく、今から段階的に準備を進めておくことが、スムーズな★取得につながります。ここでは基本的な準備ステップを紹介します。
STEP1：現状の棚卸し
まずは自社のIT基盤（クラウド環境を含む）と、現在実施しているセキュリティ対策を洗い出します。技術的対策だけでなく、セキュリティポリシーや責任者の設置、従業員教育といった管理体制も含めて整理し、「何を守るべきか」「どこに課題があるか」を把握します。
STEP2：★3要求事項とのギャップ確認
公表された★3の要求事項・評価基準と自社の現状を照らし合わせ、不足している対策を確認します。ISMSなど既存の認証を取得している場合は、そのカバー範囲を確認したうえで、差分に絞って対応すると効率的です。
STEP3：不足対策の実装と運用体制の整備
ギャップ分析で明らかになった不足対策を、優先順位を付けて実装します。アクセス制御、マルウェア・ランサムウェア対策、脆弱性への対応、ログ管理、インシデント対応体制の整備などが中心となります。あわせて、これらを継続的に運用できる体制づくりも重要です。改訂された「中小企業の情報セキュリティ対策ガイドライン」や、お助け隊サービスなどの支援策も活用しましょう。
SCS評価制度とISMS・国際規格との違い
「ISMSを取得していれば、SCS評価制度の対応は不要では？」という疑問はよく聞かれます。しかし、それぞれ評価する対象が異なるため、位置づけを整理して理解しておくことが大切です。
ISMS（ISO/IEC 27001）は情報セキュリティを組織的に管理する「仕組み（マネジメントシステム）」が整っているかを評価する国際規格で、NIST CSFはリスクベースのフレームワークです。これに対してSCS評価制度は、サプライチェーンの観点から、セキュリティ対策の「実施状況」を共通の基準で段階的に評価する点に特徴があります。
ただし、SCS評価制度はNIST CSFの考え方をベースに整理されているため、ISMSやNIST CSFで体制を整えてきた企業は、その取り組みをSCS評価制度の準備に活かせます。国内のサプライチェーン取引を重視する企業はSCS評価制度を、グローバル展開や海外取引が多い企業はISMSを、というように、自社の状況に応じて使い分け・併用を検討するとよいでしょう。
【独自の視点】文書・データの「守り」と「復旧」から考えるSCS対応
SCS評価制度の★3・★4で求められる要求事項には、マルウェア対策、データの保護、アクセス制御、そしてインシデントからの復旧といった技術的な対策が数多く含まれます。ここでは、電子契約・電子署名技術を提供するリーテックス株式会社と、そのグループ会社でサイバーセキュリティを手がける株式会社SecuShardの視点から、SCS対応を「文書・データの守りと復旧」という切り口で補足します。
契約書・情報資産の安全な管理を、電子契約で効率化する
SCS評価制度の要求事項には、情報資産の適切な管理が含まれます。契約書などの重要文書を紙で管理していると、紛失・改ざん・不正アクセスといったリスクがつきまといますが、電子契約を導入することで、これらのリスクを構造的に軽減できます。
リーテックス株式会社が提供する電子契約サービス「ONEデジ®Document」は、企業間の契約書を安全に電子化できるサービスです。二次元バーコード（QRコード）を用いた技術により、契約内容の真正性確認と改ざん検知を実現し、SCS評価制度で求められる情報資産の適切な管理に貢献します。この基盤技術は、2024年2月にグレーゾーン解消制度を通じて、内閣総理大臣をはじめとする5大臣連名で電子署名法第2条第1項の「電子署名」に該当することが確認されており、国や地方公共団体の契約書でも使用できる高い信頼性を備えています。
また、各種証明書のデジタル化に特化した「ONEデジ®Certificate」を使えば、SCS評価制度の関連書類や各種証明書をアップロードするだけで電子署名を付与でき、文書管理のセキュリティを効率的に強化できます。
「壊されても戻せる」データ保護という考え方
SCS評価制度の要求事項でとりわけ重要なのが、マルウェア対策と、被害からの復旧です。近年のサプライチェーン攻撃の多くはランサムウェアを用いており、データを暗号化・窃取して業務停止や情報流出を引き起こします。攻撃を完全に防ぎきることが難しくなるなか、「侵入されても被害を無力化する」という発想が求められています。
リーテックスのグループ会社である株式会社SecuShardは、秘密分散技術を基盤としたデータ保護サービスを提供しています。データを分割・分散して保管する仕組みにより、たとえ攻撃者にデータを窃取・暗号化されても、分散されたデータは情報としての価値を持たず、必要なときには元のデータを復元できます。これは、SCS評価制度が重視する「脅威への対応」と「被害からの復旧」の両面において、実効性のある対策となりえます。
このように、SCS評価制度への対応は、単に評価基準を満たすためのチェック作業にとどまりません。文書・データを「安全に管理し」「壊されても復旧できる」体制を築くことは、制度対応と実務上のセキュリティ強化を同時に実現する取り組みといえます。
SCS評価制度に関するよくある質問
SCS評価制度はいつから始まりますか？
2026年3月27日に「制度構築方針」が正式公表され、★3・★4については2026年度末頃の制度開始（申請受付の開始）を目指しています。★5は今後の検討段階です。評価ガイドは2026年秋頃に公表予定です。
SCS評価制度への対応は義務ですか？
いいえ。本制度は企業のセキュリティ対策状況を可視化するもので、取引における任意の活用が想定されています。事業者のレベルを競わせる格付け制度でもありません。ただし、取引先から★の取得を求められることをきっかけに、対応が必要になるケースは今後増えると考えられます。
★3と★4の違いは何ですか？
★3は専門家の確認を経た自己評価による基本的な対策レベルで、多くの企業にとって最初の目標となります。★4は評価機関による第三者評価と技術検証を伴う、より高度なレベルです。★4は★3の要求事項を包含しており、すべての企業が一律に★4を目指す必要はありません。
中小企業でも取得できますか？
はい。経済産業省とIPAは、中小企業が★3・★4を取得しやすくするための支援策を進めています。「サイバーセキュリティお助け隊サービス（新類型）」の創設や、「中小企業の情報セキュリティ対策ガイドライン」の改訂、登録セキスペによる専門家支援などが用意されています。
特定のセキュリティ製品を導入する必要がありますか？
いいえ。制度構築方針では、評価基準の達成にあたって特定のセキュリティ対策製品の導入が必須とされているわけではないと明記されています。自社の環境に合わせて必要な対策を実装する形になります。具体的な実装例は、2026年秋頃公表予定の評価ガイドで示される見込みです。
ISMSを取得していればSCS評価制度の対応は不要ですか？
評価する対象が異なるため、別途対応が必要になると考えられます。ただし、SCS評価制度はNIST CSFの考え方をベースに整理されているため、ISMSで整備した体制は準備に活かせます。ゼロから始めるより効率的に対応を進められます。
まとめ
SCS評価制度は、2026年3月27日の制度構築方針の正式公表により、2026年度末頃の開始に向けて準備が本格化した新しい国の制度です。★3・★4の要求事項・評価基準が示され、中小企業向けの支援策も具体化しています。取引先から★の取得を求められる場面は今後増えると見込まれ、業種・規模を問わず幅広い企業に関わる制度となります。
制度開始を待つのではなく、今から自社のIT基盤とセキュリティ対策を棚卸しし、★3の要求事項とのギャップを確認して、不足対策の実装を段階的に進めておくことが重要です。その過程では、契約書や情報資産を安全に管理する文書管理のデジタル化や、「壊されても戻せる」データ保護の考え方も、実効性のある対策として検討する価値があります。SCS評価制度への対応や、文書・データのセキュリティ強化についてお悩みの際は、リーテックス株式会社およびグループ会社の株式会社SecuShardにご相談ください。
参考・一次情報
IPA（情報処理推進機構）：https://www.ipa.go.jp/security/scs/index.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）：https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」：https://www.meti.go.jp/policy/netsecurity/scs.html
関連記事
契約書の署名に関する法的効力を詳しく知りたい方はこちら
あわせて読みたい
Wordで電子署名を追加する方法とは？法的効力と注意点を解説