SCS評価制度は2027年3月頃に★3・★4の運用が開始されます。運用開始と同時に申請するには、2026年夏からの準備着手が理想的です。特に自動車・半導体・金融業界のサプライチェーンに属する企業は、優先的に対応を進めましょう。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイドSCS評価制度の全体スケジュール
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省・内閣官房国家サイバー統括室の監督のもとIPA（情報処理推進機構）が運営するサイバーセキュリティの格付け制度です。2026年3月に制度構築方針が公表され、2027年3月頃に★3・★4の運用開始が予定されています。
制度全体のロードマップは以下のとおりです。
| 時期 | マイルストーン | 概要 |
|---|---|---|
| 2026年3月27日 | 制度構築方針の公表 | 経済産業省・内閣官房国家サイバー統括室が制度の骨格を公表 |
| 2026年4月 | IPAが詳細情報を公表 | ★3＝要求事項26件／評価基準81件、★4＝要求事項43件／評価基準153件を提示 |
| 2026年10月頃 | 申請方法の公開 | ★3・★4の申請方法・必要書類が公開される予定 |
| 2026年度下期 | 評価用ガイド等の公表 | 評価基準の解釈やエビデンスの考え方を示すガイドを公表 |
| 2026年12月末頃 | 評価機関の公開 | ★4の第三者評価を実施する評価機関のリストを公開 |
| 2027年1月以降 | セキュリティ専門家の公開 | ★3の自己評価を確認するセキュリティ専門家のリストを公開 |
| 2027年3月頃 | ★3・★4 運用開始 | ★3・★4の申請受付を開始（IPAが運営） |
| 未定 | ★5 | スキーム・開始時期ともに継続議論中 |
★3・★4の申請受付が始まるのは2027年3月頃です。2026年10月頃に公開されるのは申請方法であり、この時点では申請できません。ただし★3は専門家確認付き自己評価で、セキュリティ専門家による確認工程が入るため、運用開始と同時に申請するには事前準備が必要です。
2026年度の月別マイルストーン
2026年度の各月で想定される制度側のイベントと、企業側で対応すべきアクションを整理します。
| 時期 | 制度側のイベント | 企業側のアクション |
|---|---|---|
| 2026年4月 | IPAが詳細情報を公表 | ★3の26要求事項・81評価基準を入手し、現状とのギャップ分析を開始 |
| 5〜7月 | 制度の詳細整備 | 対応計画の策定。優先度・担当・期限を決定し、予算を確保 |
| 8〜9月 | 評価用ガイド等の準備 | MFA適用・EDR導入など技術対策を実施 |
| 10月頃 | ★3・★4の申請方法を公開 | 申請様式・必要書類を確認し、エビデンスの形式を整える |
| 10〜12月 | 評価用ガイド等の公表 | インシデント対応計画・資産台帳の整備。エビデンス収集 |
| 12月末頃 | 評価機関の公開 | ★4を目指す企業は評価機関を選定・見積取得 |
| 2027年1月以降 | セキュリティ専門家の公開 | ★3を目指す企業は確認を依頼する専門家を選定・契約 |
| 2027年2月 | 運用開始直前 | 自己評価を実施。全26項目の準拠を確認し、専門家の確認を受ける |
| 2027年3月頃 | ★3・★4 運用開始 | 申請を提出 |
企業側の準備タイムライン（逆算スケジュール）
2027年3月頃の★3申請を目標とした場合、逆算すると2026年夏から準備を開始するのが理想的です。
| 期間 | 作業内容 | 所要期間 |
|---|---|---|
| 2026年8〜9月 | 現状把握・ギャップ分析（26要求事項との照合） | 4〜6週間 |
| 9〜10月 | 対応計画の策定（優先度付け・予算確保・体制整備） | 2〜3週間 |
| 10〜12月 | 技術対策の実施（MFA適用、EDR導入、台帳整備等） | 2〜3ヶ月 |
| 2027年1月 | 文書整備・エビデンス収集（方針書、対応計画、証跡） | 2〜4週間 |
| 1〜2月 | 自己評価の実施・最終確認 | 1〜2週間 |
| 2月 | セキュリティ専門家による確認 | 数週間（専門家の空き状況による） |
| 2027年3月頃 | ★3申請の提出 | — |
★3は自己評価で完結せず、セキュリティ専門家による確認が必要です。専門家のリスト公開は2027年1月以降の予定で、運用開始直前は依頼が集中する可能性があります。EDR導入やIntuneの展開など技術対策にも時間がかかるため、早期着手が重要です。対応手順の詳細は「SCS★3の取得方法」をご覧ください。
業界別の対応目安
業界によって取引先からの要求時期が異なります。自社が属する業界の動向を踏まえた対応が必要です。
| 業界 | 取引先からの要求時期（予測） | 推奨する準備開始時期 |
|---|---|---|
| 自動車 | 2027年度〜（Tier1から順次） | 2026年夏 |
| 半導体・電子部品 | 2027年度〜 | 2026年夏 |
| 金融（銀行・保険） | 2027年度〜 | 2026年夏 |
| 製造業（その他） | 2027年度後半〜 | 2026年度内 |
| IT・SaaS | 2027年度後半〜 | 2026年度内 |
| 建設・不動産 | 2028年度以降 | 2027年度 |
| 小売・サービス | 2028年度以降 | 2027年度 |
自動車・半導体・金融の3業界は、サプライチェーン攻撃の被害が多発しているため、制度運用開始と同時に取引先への要求が始まる見込みです。なお上記の要求時期はいずれも予測であり、制度側で確定しているものではありません。2026年のサイバーセキュリティ制度変更まとめも併せてご確認ください。
よくある質問
制度のスケジュールはどうなっていますか？
2026年3月27日に経済産業省・内閣官房国家サイバー統括室が制度構築方針を公表、2026年4月にIPAが詳細情報（★3＝要求事項26件／評価基準81件、★4＝要求事項43件／評価基準153件）を公表し、2027年3月頃の運用開始が予定されています。
2026年度は何をすればよいですか？
4月にIPAの詳細情報を入手して26要求事項とのギャップ分析を開始、5〜7月に対応計画を策定して優先度・担当・期限を決め予算を確保、8〜9月にMFA適用などの技術対策を進めます。
逆算するといつから始めるべきですか？
2026年8〜9月に現状把握・ギャップ分析（4〜6週間）、9〜10月に対応計画の策定（2〜3週間）、10〜12月に技術対策の実施（2〜3ヶ月）、2027年1月に文書整備、という逆算スケジュールになります。
業界別の準備開始時期の目安は？
自動車、半導体・電子部品、金融（銀行・保険）は取引先からの要求が2027年度から始まると予測されるため2026年夏、その他の製造業は2027年度後半からの要求を見込んで2026年度内の開始が目安です。
まとめ
SCS評価制度は2027年3月頃に★3・★4の運用が開始されます。運用開始と同時に申請するには、2026年夏からの準備着手が理想的です。特に自動車・半導体・金融業界のサプライチェーンに属する企業は、優先的に対応を進めましょう。
- 2026年8〜9月：ギャップ分析（★3の26要求事項との照合）
- 2026年10〜12月：技術対策・文書整備の実施。申請方法の公開内容を確認
- 2027年1〜2月：自己評価の実施とセキュリティ専門家による確認
- 2027年3月頃：★3申請の提出
「SCS評価制度の対応ガイド」で対応の全体像を、「SCS評価制度対応支援」でBTNコンサルティングの支援内容をご確認いただけます。