SCS評価制度はいつから運用開始？内容や役割についても徹底解説

「SCS評価制度の新制度である★★★（3つ星）・★★★★（4つ星）はいつから始まるの？」

「ISMSを取得していたら、SCS評価制度は対応しなくてもいい？」

このような疑問を抱かれる担当者様もいらっしゃると思います。

実は、★★★（3つ星）・★★★★（4つ星）は2026年度下期（2027年3月頃）から開始予定となっており、★★★★★（5つ星）という制度も運用することが検討されています。

この制度の運用には、自社の自己宣言ではなく、認定された評価機関などの第三者が客観的にチェックし、企業のセキュリティ水準を保証する必要があります。

本コラムでは、SCS評価制度がいつから運用開始するのかだけでなく、内容や役割についても徹底解説していきます。

読み終えていただければ、SCS評価制度を取得することの重要性を理解することができ、自社に必要なセキュリティ対策をすることができるようになるでしょう。

1.SCS評価制度の★★★（3つ星）・★★★★（4つ星）は2026年度下期に運用開始予定

まず、SCS評価制度とはどのようなものなのかを説明していきます。

SCS評価制度（正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度）とは、国が主導して構築した、組織のIT基盤における標準的なサイバーセキュリティへの取り組みを、外部の視点から公正に評価し、認定するための枠組みです。なお、SCSとは「サプライチェーン・サイバーセキュリティ（Supply Chain Cyber Security）」の略称です。

この制度では、企業間の取引において、セキュリティ対策の状況を共通の基準で評価・可視化することを目的としており、セキュリティ水準が星（★）の数で評価されます。

これにより、委託元企業や委託先企業の両社の負担が軽減され、サプライチェーン全体のセキュリティ対策の向上を図る仕組みとして本制度を位置付けます。

SCS評価制度においては、★（1つ星）・★★（2つ星）・★★★（3つ星）・★★★★（4つ星）・★★★★★（5つ星）を用いて評価を行います。

具体的な運用開始の予定時期は以下になります。

• ★（1つ星）・★★（2つ星）　⇒　運用中
• ★★★（3つ星）・★★★★（4つ星）⇒　2026年度末（2027年3月頃）
• ★★★★★（5つ星）　⇒　2027年度の運用開始が予定

それぞれの評価方法や位置づけについては

次の章にて解説します。

2.星（★）の役割や仕組み

ここではそれぞれの星（★）について、評価の仕組みや位置づけについて解説します。

（1）★（1つ星）

★（1つ星）とは、中小企業が情報セキュリティ5か条にこれから取り組むことを自ら宣言する、最も基礎的なセキュリティの入り口となる段階です。

これからセキュリティ対策を始める企業や、最初の一歩を踏み出したい企業が対象となるのが特徴です。

そのため、企業自らがIPAの公式サイトを通じて手軽に申し込める自己宣言形式となっています。

そして、より★★★（3つ星）～★★★★★（5つ星）を受けるための準備段階として、まずはこの★（1つ星）からセキュリティ体制の土台を作ることが推奨されています。

（2）★★（2つ星）

★★（2つ星）とは、中小企業が自社でセキュリティ診断を実施した後に、情報セキュリティ基本方針を策定して外部に公開し、それらへの取り組みを自ら宣言する段階を指します。

具体的には「5分でできる！情報セキュリティ自社診断」で状況を把握したうえで、情報セキュリティ基本方針を定めて公開することを自己宣言するという仕組みになっています。

こちらも★（1つ星）と同様に自己宣言形式となっており、これから本格的な対策に向けた第一歩として位置づけられています。

既存の制度である、★（1つ星）と★★（2つ星）は★★★（3つ星）～★★★★★（5つ星）と比較すると簡単に取り組むことができる自己宣言のレベルです。

（3）★★★（3つ星）

経済産業省によると、★★★（3つ星）とは全てのサプライチェーン企業が最低限備えるべきセキュリティ対策と位置付けられています。

対象となるのは、中小企業を含むすべての企業です。

取引先のセキュリティ上の弱点を狙ったサイバー攻撃を防止するため、企業間でセキュリティレベルの共通認識を形成することを目的としています。

審査方法としては、専門家（情報セキュリティマネジメントシステム審査員等）による確認を経た自己評価が基本となり、有効期間が1年となります。

（4）★★★★（4つ星）

経済産業省の主導により策定された本制度において、★★★★（4つ星）はサプライチェーンを構成する企業が標準的な目標とすべきセキュリティ水準を具現化した指標と位置付けられています。

対象となるのは、サプライチェーンの中で重要な役割を担う企業、発注元企業からセキュリティ対策の強化を求められる中核企業です。

四つ星の評価が確定するまでには、評価機関などの第三者による審査を経る必要があります。さらに、技術検証も課されることから、評価基準を正しく理解した上で適切な対策を講じることが求められます。

（5）★★★★★（5つ星）

★★★★★（5つ星）とは、 サプライチェーン企業が到達点として目指す最高位のセキュリティレベルとして検討されています。

APT攻撃、ゼロデイ攻撃などにも対応でき、実効的なインシデント対応や継続的な改善を第三者機関の評価により証明する水準として設計されています。

★★★★（4つ星）と比較しても上位に位置し、★★★★（4つ星）と同様に第三者からの評価が必要で、2027年度の運用開始が予定されています。

3.SCS評価制度とISMSの違い

「ISMSを取得しているので、新制度への取り組みは不要？」

とお考えの担当者様もいらっしゃることでしょう。

実は、SCS評価制度とISMSでは異なる制度になり、ISMSを取得された担当者様も★の取得には追加の対応が必要になります。

位置づけとしては、SCS評価制度とISMSは相互補完的な制度として発展することが求められています。つまり、補い合う関係です。

そして、ISMSは、組織全体のガバナンス構造やリスクマネジメントの枠組みが強い部分である一方、ISMSではサプライチェーンの相手方への要求・確認の実効性が必ずしも深掘りされません。

そのため、片方しか対応しない場合、発注元企業からの信頼を得づらくなったり、セキュリティ体制が甘くなるという危険性が発生してしまいます。

SCS評価制度とISMSでは、目的や役割が全く異なるため、両方に対応することで情報管理の徹底や取引の円滑化をできるようにしましょう。

4.まとめ

いかがでしたか。

SCS評価制度においては、★（1つ星）・★★（2つ星）・★★★（3つ星）・★★★★（4つ星）・★★★★★（5つ星）を用いて評価を行います。

具体的な運用開始の予定時期は以下になります。

• ★（1つ星）・★★（2つ星）　⇒　運用中
• ★★★（3つ星）・★★★★（4つ星）　⇒　2026年下期（9〜10月頃）
• ★★★★★（5つ星）　⇒　2027年度の運用開始が予定

この制度では、企業間の取引において、セキュリティ対策の状況を共通の基準で評価・可視化することを目的としており、セキュリティ水準が★の数で評価されます。

これにより、委託元企業や委託先企業の両社の負担が軽減され、サプライチェーン全体のセキュリティ対策の向上を図る仕組みとして本制度を位置付けます。

また、ISMSに対応しているからSCS評価制度に対応しなくていいというわけではありません。

SCS評価制度とISMSでは目的や役割が全く異なるため、ISMSを取得された担当者様も★の取得には追加の対応が必要になります。