2026年はSCS評価制度、サイバー対処能力強化法、EUサイバーレジリエンス法など、企業のセキュリティ対応が大きく変わる年です。本記事のカレンダーを参考に、自社に関係する制度を特定し、Q1中にギャップ分析を開始しましょう。
2026年は制度変更の集中年
2026年は日本企業にとってサイバーセキュリティの転換点となる年です。SCS評価制度の運用開始、サイバー対処能力強化法の施行、EUサイバーレジリエンス法の報告義務開始など、複数の制度変更が同時に進行します。
制度変更カレンダー
| 時期 | 制度 | 内容 | 影響範囲 |
|---|---|---|---|
| 2026年4月 | サイバー通信情報監理委員会 | 能動的サイバー防御法に基づく独立監視機関の設置 | 政府機関 |
| 2026年中 | サイバー対処能力強化法 | 基幹インフラ事業者のインシデント報告義務等の施行 | 重要インフラ事業者、サプライチェーン企業 |
| 2026年春 | お助け隊サービス（新類型） | SCS評価制度連動の中小企業向けセキュリティ支援の実証事業開始 | 中小企業 |
| 2026年度末頃 | SCS評価制度（★3・★4） | サプライチェーンセキュリティ対策の可視化制度の運用開始 | 全企業（特にサプライチェーン上の企業） |
| 2026年9月 | EUサイバーレジリエンス法（CRA） | 重大脆弱性のENISAへの報告義務開始 | EU向け製品を販売する企業 |
| 2026年度中 | 重要インフラ セキュリティ新基準 | 重要インフラに係る新たなセキュリティ基準の策定 | 重要インフラ事業者 |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →SCS評価制度
SCS評価制度は経産省が主導する、企業のセキュリティ対策を★3〜★5で可視化する制度です。★3（自己評価・26項目）と★4（第三者評価・43項目）について、経済産業省は令和8年度（2026年度）末頃の制度開始を目指すとしています。取引先から★3以上の取得を求められるケースが増えると見込まれています。
サイバー対処能力強化法
サイバー対処能力強化法は基幹インフラ事業者にインシデント報告義務を課す法律です。基幹インフラ事業者だけでなく、そのサプライチェーン上の企業にも間接的な影響があります。
EUサイバーレジリエンス法
EUサイバーレジリエンス法（CRA）は、2026年9月から脆弱性の報告義務が先行適用され、2027年12月に完全適用されます。EU市場にデジタル製品を販売する日本企業は早期の準備が必要です。
その他の注目制度
- JC-STAR制度：IoT製品のセキュリティラベリング制度。★2以降の運用拡大が予定
- CMMC 2.0：米国防衛産業のサイバーセキュリティ認証。段階的適用が進行中
- 改正電気通信事業法：特定利用者情報の適正な取扱いに関する規律の運用強化
企業のアクションプラン
| 時期 | アクション |
|---|---|
| 今すぐ（2026年Q1） | 自社に関係する制度を特定し、影響範囲を把握 |
| 2026年Q2 | SCS★3の26要求事項とのギャップ分析を実施 |
| 2026年Q3 | 未対応項目への対策実装（MFA、資産台帳、インシデント対応計画等） |
| 2026年Q4 | SCS★3の自己評価を実施。サイバー対処能力強化法の対応状況を確認 |
このうち2026年9月のEU CRA報告義務については、24時間・72時間・14日の実務対応で期限ごとに何を提出するかを整理しています。
よくある質問
2026年に施行・運用開始される制度は何ですか？
2026年4月にサイバー通信情報監理委員会が設置され、2026年10月1日にサイバー対処能力強化法の主要な規定が施行されます。2026年春にはお助け隊サービスの新類型の実証事業が始まり、2026年9月からEUサイバーレジリエンス法（CRA）の脆弱性報告義務が先行適用、2026年度末頃にSCS評価制度の★3・★4が運用開始される見通しです。
SCS評価制度はいつから始まりますか？
経済産業省が主導する制度で、★3（自己評価・26項目）と★4（第三者評価・43項目）について、経済産業省は令和8年度（2026年度）末頃の制度開始を目指すとしています。取引先から★3以上の取得を求められるケースが増えると見込まれています。
EUサイバーレジリエンス法は日本企業にも関係しますか？
EU市場にデジタル製品を販売する日本企業は対象です。2026年9月から脆弱性の報告義務が先行適用され、2027年12月に完全適用されるため、早期の準備が必要です。
今から何を始めればよいですか？
2026年Q1のうちに自社に関係する制度を特定して影響範囲を把握し、Q2でSCS★3の26要求事項とのギャップ分析、Q3で未対応項目への対策実装（MFA、資産台帳、インシデント対応計画等）、Q4で★3の自己評価という流れが目安です。
まとめ
2026年はSCS評価制度、サイバー対処能力強化法、EUサイバーレジリエンス法など、企業のセキュリティ対応が大きく変わる年です。本記事のカレンダーを参考に、自社に関係する制度を特定し、Q1中にギャップ分析を開始しましょう。