SCS評価制度への対応はお早めに！

本稿は2026年3月に経済産業省のウェブサイトに掲載された「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」「★3・★4要求事項及び評価基準」をもとに作成しています。運用開始までに変更になる可能性があります。制度の詳細や最新の情報は経済産業省、IPA(独立行政法人情報処理推進機構)のホームぺージでご確認をお願いします。

SCS評価制度とは？

2026年3月27日、経済産業省および内閣官房国家サイバー統括室は、「SCS評価制度」の方針を公表しました。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、SCSは「Supply Chain Security」の略称です。
本制度は、サプライチェーンを構成する各企業のセキュリティ対策を共通の基準(要求項目)で評価し、その実施状況を可視化することを目的としています。
正式運用は2027年3月頃が予定されており、具体的な要求項目や評価基準を満たす実装例は2026年秋頃に公表される予定です。2026年上期は導入準備期間として位置付けられ、業務プロセスの整備や制度の試行的な実施検討などが設定される見込みです。

SCS評価制度導入の背景

企業活動は自社単体で完結することは少なく、多数の取引先や業務委託先との連携によって成り立っています。つまり、サプライチェーンが円滑に機能することが前提となっています。

最近は、中小企業を含めサプライチェーン全体でDX化が進み、受発注をはじめとする重要な業務の多くがIT基盤に依存しています。このため、取引先企業がサイバー攻撃を受けた場合、被害はその企業だけにととまらず、サプライチェーン全体に波及する可能性があります。
実際に、直近では大手自動車メーカーや飲料メーカーがサイバー攻撃を受け、生産停止や出荷停止、個人情報漏洩などの被害が発生し、その影響はサプライチェーン全体に広がった事例も報告されています。

近年のサイバー攻撃は、サプライチェーン全体の脆弱化を狙うなど手口も巧妙化しており、一度被害を受けると復旧までに多大な時間とコストを要します。その結果、自社および取引先の双方に大きな損害が生じる恐れがあります。

こうした背景から、委託(発注)企業は、受託(受注)企業に対して独自のセキュリティ基準を要求する動きが加速しています。しかし、企業ごとに基準が異なるため、複数社と取引する受託企業にとっては非常に大きな負担となっていました。

この課題を解消するため、経済産業省が主導し、各企業が満たすべきセキュリティ基準を示し、そのレベルを可視化する制度として創設されたのが、SCS評価制度です。
本制度により、サイバー攻撃に起因する不正侵入や事業停止のリスクを軽減し、自社だけではなくサプライチェーン全体のセキュリティ水準向上を実現することが可能となります。

キーワードは「共通の基準」と「可視化」

SCS評価制度は、セキュリティ対策における共通の基準(要求項目)を設定し、その実施レベルを「★3」や「★4」などの評価で可視化します。これにより、各企業の取り組み状況を客観的に把握することができます。
サプライチェーン全体のセキュリティレベルの向上が目的としており、サプライチェーンに関わるすべての企業が対象となります。各企業が独自基準で対策を行うのではなく、共通の基準(要求項目)に基づいて実施・評価される点がポイントです。
今後は、取引先との信頼性確認の手段として活用されるほか、入札や政府調達における必須条件となる可能性もあるため、早期の取り組みが推奨されます。

SCS評価制度の概要

SCS評価制度では、企業のセキュリティ対策レベルを「★」で可視化し、サプライチェーン全体のリスク管理強化を目指しています。具体的には下記のように分類されています。

拡大表示はこちら

「★1」「★2」は、IPAが実施している「SECURITY ACTION」として位置づけられており、中小企業がセキュリティ対策への取り組みを自己宣言する制度で、すでに運用されています。
まだ取り組まれていない企業は、まずはこちらから始めることをおすすめします。

今回のSCS評価制度では、「★3」「★4」「★5」の3段階が示されました。
「★3」は、最低限実装すべきセキュリティ対策
「★4」は、標準的に目指すべきセキュリティ対策
「★5」は、国際規格等に基づいてさらに高度な対策

「★5」については「2026年度以降に具体化の検討を開始予定」とされておりますので、当面は「★3」「★4」への対応が中心となります。
「★3」「★4」の具体的な要求項目や評価基準、実装例は2026年秋頃に公表予定です。「★3」は専門家による確認、「★4」は第三者機関による評価が必要となり、客観的で信頼性の高い評価取得につながります。
例えば、「★3」では、下記の分類に沿って25項目の要求事項が設定される予定です。

詳しくは、経済産業省「要求事項・評価基準 | 情報セキュリティ | IPA 独立行政法人情報処理推進機構」をご覧ください。