経済産業省と内閣官房国家サイバー統括室は2026年4月27日、SCS評価制度を引き合いにした不適切な勧誘について注意喚起を公表しました。「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」という説明はいずれも誤りです。本制度は任意の制度であり、個社間の商取引に規制措置を講じるものではありません。また、評価基準の達成にあたって特定のセキュリティ対策製品の導入が必須とされているものでもありません。判断の起点は制度の開始時期ではなく、自社の取引先が実際にどの水準を求めているかです。
何が公表されたのか
2026年4月27日、経済産業省商務情報政策局サイバーセキュリティ課と内閣官房国家サイバー統括室制度・監督ユニットの連名で、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください」という注意喚起が公表されました。
公表の背景は、令和8年度末頃の制度開始を予定している本制度を引き合いに、次のような営業活動による製品・サービスの勧誘が報告されていることです。
- 「評価を取得していないと商取引が規制される」
- 「今すぐ評価を取得しないと入札から除外される」
これに対して両省庁は、本制度が2社間の取引契約等において、発注者が受注者に適切なサイバーセキュリティ対策の段階（★）を提示し、受注者に示された対策の実施を促すとともに、両者で実施状況を確認することを想定した任意の制度であり、上記のような営業活動は制度の趣旨・目的とは異なるものだと明示しました。
制度構築方針は2026年3月27日に公表され、詳細はスキームオーナーである独立行政法人情報処理推進機構（IPA）が構築中です。IPAの公式サイトは2026年4月21日に公開されました。要求事項・評価基準を満たす具体的な実装例などをまとめた評価ガイドは、2026年秋頃を目途に公表される予定です。つまり、現時点では「何をどこまでやれば要件を満たすのか」の具体像がまだ出ていません。
誤り①「取得しないと商取引が規制される」
注意喚起は、本制度が個社間における商取引に関し規制措置を講じるものではないと明言しています。取得しなかったことを理由に、法令や制度が取引を制限する仕組みは存在しません。
混同されやすいのは、制度による規制と個社間の取引判断の違いです。本制度は、発注者が受注者に必要な対策の段階を提示することを想定した設計になっています。したがって、取引先が自社の方針として「★3を満たしてほしい」と求めてくることはあり得ます。しかしそれは取引先との個別の合意の問題であり、制度が課す義務ではありません。
この区別が重要なのは、対応の判断軸が変わるからです。制度による規制であれば一律に対応が必要ですが、個社間の取引判断であれば、自社の取引先が実際に何を求めているかを確認することが出発点になります。詳しくはSCS評価制度は義務か？罰則・法的位置づけで解説しています。
取引先から具体的な要求を受けている場合は、提示された水準に対して自社の現状がどこまで足りているかを確認するところから始まります。BTNコンサルティングでは、現状の棚卸しと必要な範囲の見極めからご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイド誤り②「今すぐ取得しないと入札から除外される」
これは注意喚起が名指しした表現そのものです。2026年8月時点で、政府調達においてSCS格付けをどう扱うかは公表されていません。2026年3月の制度構築方針にも、★格付けを入札参加資格や加点要素と結びつける方針は示されていません。
そもそも制度の開始自体が令和8年度末頃の予定です。現時点で「入札から除外される」という事実は存在しません。将来的に何らかの形で活用される可能性を否定するものではありませんが、確定していない事項を根拠に取得を急がせる説明は、制度の趣旨と異なります。
「今すぐ」という緊急性の強調は、比較検討の時間を与えないための常套手段でもあります。期限を示された場合は、その期限の出典を確認してください。公表資料に基づくものであれば、資料名とページを示せるはずです。
誤り③「この製品を入れないと★3は取れない」
注意喚起は、本制度の評価基準を達成するにあたって、特定のセキュリティ対策製品の導入が必須とされているものではないと明示しています。
要求事項は「達成すべき状態」を示すものであり、実現手段を特定の製品に限定するものではありません。実務上も、すでに契約しているグループウェアやOSの標準機能で満たせる項目は少なくありません。多要素認証、ログの取得、バックアップ、資産の把握といった要素は、多くの企業がすでに部分的に持っています。
順序としては、まず既存資産でどこまで満たせるかを確認し、そのうえで不足分の購入を検討するのが妥当です。「まず何か買う」から入ると、既存ライセンスの機能と重複した支出が生じます。既存資産で対応できる範囲と、買い足しが避けられない典型ケースは新しい機器・サービスの導入は必要かで整理しています。
勧誘を見分ける5つの確認点
支援サービス自体を否定するものではありません。問題は説明の中身です。次の点を確認すると、制度の趣旨に沿った説明かどうかを判断できます。
| 確認点 | 制度の趣旨に沿った説明 | 注意が必要な説明 |
|---|---|---|
| 制度の性質 | 任意の制度であることを説明する | 義務・規制であるかのように説明する |
| 期限の根拠 | 公表資料の名称と該当箇所を示せる | 「今すぐ」と急がせるが出典を示せない |
| 政府調達の扱い | 現時点で公表されていないと述べる | 加点・要件化が決定済みであるかのように述べる |
| 製品の位置づけ | 既存資産で満たせる範囲を先に確認する | 特定製品の導入を必須の前提として提示する |
| 必要な水準 | 取引先の要求水準の確認から入る | 確認しないまま一律に★3・★4を勧める |
とくに出典を示せるかどうかは有効な判断材料です。制度に関する公表資料は限られており、根拠のある説明であれば資料名を示せます。示せない場合、それは確定した事実ではなく、営業上の見立てです。
では、今なにをすべきか
「急ぐ必要はない」は「何もしなくてよい」とは異なります。現時点で意味のある作業は次の3つです。
1. 取引先が求めている水準を確認する
これが最も重要です。求められていない段階で一律に★3を目指すと、費用と工数が過剰になります。主要な取引先に対して、セキュリティ要求の方針が示されているかを確認してください。すでに質問票やチェックシートを受け取っている場合は、その内容が要求水準の手がかりになります。
2. 要求事項をチェックリストとして使い、現状を棚卸しする
公表済みの要求事項を、自社の対策状況を確認するための道具として使います。この作業は取得の可否と切り離して進められるため、仮に取得しない判断になっても無駄になりません。多要素認証の適用範囲、ログの保存期間、バックアップの復旧テスト、資産台帳の更新状況といった項目は、制度と関係なく確認する価値があります。着手の手順は自己評価の最初の一歩で解説しています。
3. 大きな投資判断は評価ガイドの公表を待つ
要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイドは、2026年秋頃の公表が予定されています。「どの程度やれば足りるのか」の水準感は、この公表で相当明確になります。高額な製品導入や第三者評価の契約といった判断は、内容を確認してからのほうが手戻りが少なくなります。
正しい情報源と今後の公表予定
注意喚起は、詳細をスキームオーナーであるIPAが構築・周知するため、IPAから正しい情報を入手するよう呼びかけています。現時点で公表が予定されている主なものは次のとおりです。
| 時期 | 公表予定の内容 |
|---|---|
| 2026年8月頃 | 評価機関・技術検証事業者が満たすべき要件の詳細 |
| 2026年秋頃 | 要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイド等 |
| 2026年12月末頃 | セキュリティ専門家向けの研修事業者 |
| 2026年度末頃 | 制度開始（予定） |
スケジュール全体の見取り図はSCS評価制度のスケジュールにまとめています。なお、これらはいずれも「予定」であり、変更され得ます。日付を断定的に示す説明を受けた場合は、その出典を確認してください。
よくある質問
SCS評価制度を取得しないと取引できなくなりますか？
いいえ。本制度は任意の制度であり、個社間における商取引に関し規制措置を講じるものではありません。経済産業省と内閣官房国家サイバー統括室は2026年4月27日の注意喚起でこの点を明示しています。ただし、2社間の取引契約等において発注者が受注者に対策の段階を提示することを想定した制度設計であるため、取引先が個別に取得を求めてくることはあり得ます。これは制度による規制ではなく、個社間の取引判断です。
「今すぐ取得しないと入札から除外される」と言われましたが本当ですか？
経済産業省が注意喚起で名指しした表現そのものです。2026年8月時点で、政府調達においてSCS格付けをどう扱うかは公表されておらず、2026年3月の制度構築方針でも入札参加資格と結びつける方針は示されていません。制度の開始自体が2026年度末頃の予定であり、現時点で入札から除外されるという事実はありません。この説明を伴う勧誘は、制度の趣旨と異なるものとして注意してください。
特定のセキュリティ製品を導入しないと★3は取得できませんか？
いいえ。注意喚起では、本制度の評価基準を達成するにあたって特定のセキュリティ対策製品の導入が必須とされているものではないと明示されています。要求事項は達成すべき状態を示すものであり、実現手段は問われません。すでに契約しているグループウェアやOSの標準機能で満たせる項目も多く、まず既存資産で対応できる範囲を確認してから、不足分の購入を検討するのが順序です。
不適切な勧誘を受けた場合はどうすればよいですか？
その場で契約せず、まず一次情報を確認してください。本制度のスキームオーナーは独立行政法人情報処理推進機構（IPA）であり、正しい情報はIPAの公式サイトから入手できます。営業担当者の説明と一次情報が食い違う場合は、根拠となる公表資料の名称とページを示すよう求めてください。示せない場合、その説明は確定した事実ではありません。
今の段階で何をしておくべきですか？
第一に、自社の主要取引先が実際にどの水準を求めているかを確認することです。求められていない段階で一律に★3を目指す必要はありません。第二に、要求事項を自社の対策状況を棚卸しするチェックリストとして使うことです。この作業は取得の可否と切り離して進められ、無駄になりません。要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイドは2026年秋頃の公表が予定されているため、大きな投資判断はその内容を確認してからでも遅くありません。
まとめ
SCS評価制度は任意の制度であり、取得しないことで商取引が規制されることはありません。政府調達での取扱いは2026年8月時点で公表されておらず、特定製品の導入が必須とされているものでもありません。経済産業省が名指しした「取得しないと商取引が規制される」「今すぐ取得しないと入札から除外される」という説明を受けた場合は、その場で判断せず、出典を確認してください。
一方で、要求事項を自社の対策状況の確認に使うことには意味があります。制度の開始時期に急かされるのではなく、取引先が実際に求めている水準を起点に、必要な範囲を見極めることが実務上の要点です。