2026年度末（2027年1〜3月頃）から経済産業省と内閣官房国家サイバー統括室主導の「サプライチェーン強化に向けたセキュリティ対策評価制度」が開始されます。調達・購買部門にとっては、取引先にどの段階のセキュリティ対策を求めるか、その判断基準や進め方を理解しておくことが重要です。この記事では、制度の仕組みとおさえたいポイントを解説します。
サプライチェーン強化に向けたセキュリティ対策評価制度とは？
サプライチェーン強化に向けたセキュリティ対策評価制度は「SCS評価制度」とも呼ばれ、サプライチェーン全体のセキュリティ強化を目指した取り組みです。企業のサイバーセキュリティ対策を★3〜★5の段階で評価する新しい制度で、経済産業省と内閣官房国家サイバー統括室が主導し、2026年度末頃の開始を予定しています（※1）。
ここでは、おさえておきたい基本を以下3つに絞り、解説していきます。
経済産業省が主導する企業のセキュリティ可視化制度である
取引契約における活用を想定した実務的な制度である
IPAのSECURITY ACTIONの上位制度である
順番に見ていきましょう。
（※1）出典：経済産業省「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました」
基本1：経済産業省が主導する企業のセキュリティ可視化制度である
この制度では、企業の取り組みを★3（Basic）、★4（Standard）、★5の3段階で評価し、外部から見えにくいセキュリティ対策の状況を可視化します。従来は取引先のセキュリティレベルを判断する明確な基準がありませんでしたが、この制度により統一された評価軸ができる見通しです。調達・購買部門にとっては、取引先の選定や評価の際に客観的な判断材料として活用できる制度といえます。
基本2：取引契約における活用を想定した実務的な制度である
この仕組みは、発注元の企業が委託先の企業に対して適切なセキュリティの段階（★）を提示して、対策の実施状況を確認することを目的とした制度です。これまでは発注元ごとにセキュリティチェックの基準がバラバラだったため、委託先の企業はA社・B社・C社それぞれの要求に個別で対応しなければならず、大きな負担となっていました。
しかし新しい制度により、統一された評価基準で取引先のセキュリティレベルを確認できるようになる見込みです。
調達部門としては、取引先への要求内容を制度に沿って標準化でき、確認作業の効率化にもつながります。取引の条件としてセキュリティの証明を求める際の「共通の物差し」として活用できる点が大きなメリットです。
基本3：IPAのSECURITY ACTIONの上位制度である
この新制度は、IPA（情報処理推進機構）が運営する既存の制度「SECURITY ACTION」（★1・★2）の発展形として位置づけられています。SECURITY ACTIONの★1・★2は自己申告による簡易的な制度ですが、新制度の★3以上は専門家による確認や第三者機関による評価が必要です。
制度はステップアップできる設計になっており、まずSECURITY ACTIONで基礎を固めてから★3・★4を目指すという流れが推奨されています。ただし★3を取得していなくても★4の取得は可能です。調達部門が取引先に対応を求める際には、取引先の現状に応じてSECURITY ACTIONから始めてもらうか、直接★3・★4を目指してもらうかを判断する必要があります。
評価制度が必要とされる3つの背景
本制度が必要とされる背景として、おもに以下の3つがあげられます。
サプライチェーンを狙ったサイバー攻撃の増加
発注元企業の取引先評価の困難さ
受注企業が複数の異なる要求に対応する負担
順番に見ていきましょう。
背景1：サプライチェーンを狙ったサイバー攻撃の増加
近年、セキュリティ対策が不十分な取引先を踏み台にして、大企業のシステムに侵入するサイバー攻撃が増加しています。攻撃者は大企業を直接狙うのではなく、セキュリティが手薄になりがちな中小の取引先を入口として利用する手口が特徴的です。
こうした手法による被害が広がった結果、1社だけが対策をしていても十分とはいえません。サプライチェーン全体のどこかに弱点があれば、そこを起点に全体が危険にさらされてしまうためです。こうした背景から、取引先も含めたサプライチェーン全体でセキュリティ対策を底上げするための、統一された評価基準が求められるようになりました。
さらに近年は、サイバー攻撃だけでなく地政学リスクやサプライヤーの倒産リスクも重要度が急上昇しており、サプライチェーンを取り巻くリスクは多様化の一途をたどっています。
背景2：発注元企業の取引先評価の困難さ
これまで発注元の企業にとって、取引先がどの程度のセキュリティ対策を行っているかを外部から正確に把握するのは難しい状況でした。また、客観的な評価基準がなかったため「どのレベルのセキュリティを求めるべきか」の判断が難しく、取引先ごとに個別で確認する手間も生じています。
しかし本制度を活用することで、★3・★4といった明確な段階で取引先のセキュリティレベルをひと目で確認できるようになるため、適切なリスク管理がしやすくなるのです。
背景3：受注企業が複数の異なる要求に対応する負担
委託先の企業はこれまで、複数の取引先からそれぞれ異なるセキュリティ対策を求められ、対応に頭を悩ませていました。たとえば、A社からは「ISO27001の認証を取得してほしい」、B社からは「独自のセキュリティチェックシートへの回答がほしい」、C社からは「年1回の監査の受け入れをお願いする」といったように、取引先ごとに要求内容が異なります。
特に中小企業では、限られた人員でこれらの異なる基準にそれぞれ対応しなければならず、本来の業務に使えるリソースが削られてしまう状況でした。しかし統一された評価制度があれば、一度★3や★4を取得することで複数の取引先に対して同じ証明を提示できるため、対応の手間と負担を大幅に減らせるのです。
評価制度の3段階（★3・★4・★5）の違い
評価制度では★3（Basic）、★4（Standard）、★5の3段階で構成され、企業の状況に応じて目指すレベルを選べます。各段階の具体的な内容を見ていきましょう。
段階1：★3（Basic）｜全企業が目指す最低限の対策
★3は、サプライチェーンに関わる企業が最低限備えておくべき基礎的なセキュリティ対策を評価する段階です。
方針案では評価項目は83項目とされており、
ガバナンスの整備
取引先管理
リスクの特定
攻撃等の防御
攻撃等の検知
インシデントへの対応
インシデントからの復旧
という7つの分野で構成されています。
評価の方式は「専門家確認付き自己評価」です。企業が自己評価した内容を、情報処理安全確保支援士やCISSPなどの資格を持つセキュリティ専門家が確認する形で進められます。有効期間は1年で、毎年の更新が必要になる予定です（※2）。
項目数や評価方式は中小企業でも対応しやすい内容になっており、規模を問わずすべての企業がまず目指すべき段階として位置づけられています。
（※2）参考：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針(案)」令和7年12月
段階2：★4（Standard）｜標準的に目指すべき対策
★4は、サプライチェーン企業が標準的に目指すべきセキュリティ対策で、★3よりも高度な内容を求められます。評価項目は157項目に増え、幅広い分野をカバーします。
評価方式は「第三者評価」で、
文書確認（1〜2日程度）
実地審査（同上）
技術検証（同上）
といった3段階の審査が想定されています。
実地審査では評価機関の担当者が企業を訪問し、規程の運用状況やヒアリングを実施し、技術検証では脆弱性検査などの技術的な検証も行われます。有効期間は3年ですが、有効期間内であっても1年ごとに自己評価を実施して評価機関に提出する必要があります。調達部門が取引先に★4を求める場合は、取得後の維持手続きについてもあわせて説明しておくとよいでしょう。
段階3：★5｜到達点として目指すべき対策
★5は、サプライチェーンに関わる企業が最終的な到達点として目指す、最高レベルのセキュリティ対策の段階です。国際規格などで採用されているリスクベースの考え方に基づき、継続的な改善プロセスとベストプラクティスの実践が求められます。
ただし具体的な対策基準や評価の仕組みについては、2026年度以降に検討される予定で、制度構築方針案が公表された2025年12月時点では詳細が未定となっています。
評価制度開始までのスケジュール
制度は段階的に進められており、2026年度末の本格開始に向けて準備が進んでいます。
おおまかなスケジュールは以下のとおりです。
2025年12月｜制度構築方針案の公表
2026年春頃｜制度の詳細化及び運用開始準備
2026年度末｜★3・★4の制度開始
順番に見ていきましょう。
ステップ1：2025年12月｜制度構築方針案の公表
2025年12月26日に経済産業省が制度構築方針案を公表し、パブリックコメント（意見募集）を開始しました。意見募集期間は2026年1月24日までで、企業や業界団体から幅広く意見を集めています。集まった意見を踏まえて内容を調整し、最終的な制度案を確定する予定です（※3）。
（※3）参考：経済産業省「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました」
ステップ2：2026年春頃｜制度の詳細化及び運用開始準備
2026年春頃からは、制度の詳細化及び運用開始に向けた準備が進められる予定です。具体的には、業務プロセスの整備や制度の試行的な実施の検討などが含まれます。なお実証事業は2025年度中にすでに実施されており、その結果を踏まえて要求事項・評価基準（案）の確定が行われています。
また、中小企業向けの支援策として「サイバーセキュリティお助け隊サービス（新類型）」の整備が検討されています。このサービスは★3・★4の取得支援を目的としたもので、対策状況の診断からITツールの導入支援、セキュリティポリシーの整備支援までを一定の価格要件のもとで提供することが想定されています。
ステップ3：2026年度末｜★3・★4の制度開始
2026年度末頃（2027年1月〜3月頃）に、★3および★4の制度が本格的にスタートする予定です。制度の開始と同時に、運営基盤の整備と企業への普及・導入促進に向けた取り組みも並行して進められます。★5については、★3・★4の運用状況を見ながら、2026年度以降に対策基準や評価の仕組みを具体化していく方針です。
評価制度における取引先との調整でおさえる6つのポイント
評価制度における取引先との調整でおさえるポイントとしては、以下の6つがあげられます。
自社の現状把握とSECURITY ACTION取得
自社の目標とする評価段階の見極め
取引先へ制度の説明と取得依頼を行う
要求する段階★の設定根拠を示す
対策コストの負担について事前協議を実施
取得までの猶予期間と支援体制
順番に見ていきましょう。
ポイント1：自社の現状把握とSECURITY ACTION取得
調達・購買部門としてまず取り組みたいのは、自社のセキュリティ対策の現状把握です。自社もサプライチェーンの一員として受注側になるケースがあるため、自社の対策レベルを整理しておくことが出発点となります。
具体的には、IPAの「SECURITY ACTION」制度で★1または★2を取得し、基礎的な対策を整えることをおすすめします。申し込みはオンラインで完結し、申し込みから約1週間程度で自己宣言IDが発行されます（※4）。
（※4）参考：独立行政法人 情報処理推進機構「SECURITY ACTION セキュリティ対策自己宣言」
ポイント2：自社の目標とする評価段階の見極め
制度開始前に、自社が目指すべき評価段階（★3または★4）を決定しておくことをおすすめします。
判断基準は、
自社が扱う情報の機密性
取引先から求められるレベル
事業継続の重要度
などを総合的に考慮しましょう。
目標段階が決まったら現在のセキュリティ対策状況と目標段階の要求項目との差分を分析し、不足している項目をリストアップして対応に必要な予算、人員、期間を見積もったうえで、段階的な対応計画を立案します。早めに準備を始めることで、制度開始時に慌てずに対応できるでしょう。
ポイント3：取引先へ制度の説明と取得依頼を行う
おもな取引先に対して、制度の概要をわかりやすく説明し、評価の取得を依頼する必要があります。特に中小企業の取引先では、制度の存在自体を知らないケースもあるため、わかりやすい資料を用意したうえで丁寧に説明する必要があります。
一方的な通知にならないよう、取引先の疑問や不安にしっかり向き合いながら対話を進めることで、スムーズに進められるでしょう。
ポイント4：要求する段階★の設定根拠を示す
取引先に求める評価段階（★3または★4）は、合理的な根拠に基づいて設定する必要があります。
設定の基準は、
取引先による自社の重要な機密情報へのアクセス可否
取引先の事業中断による自社業務への影響度
取引先から自社システム・ネットワークへのアクセスが可能かどうか
という3つの観点で判断します。
取引先に納得してもらうためにも、なぜその段階が必要なのか丁寧に説明しましょう。
ポイント5：対策コストの負担について事前協議を実施
セキュリティ対策には設備投資や人材育成のコストが伴うため、費用の負担について取引先と事前に話し合っておくことが重要です。経済産業省と公正取引委員会が公表した想定事例では、「パートナーシップを構築したうえで対策と価格交渉を行う」ケースが、問題のない対応例として示されています。
なおセキュリティ対策にかかる費用は、物件費や人件費などの間接経費として計上され、適正な価格交渉の対象となります。一方的にコストを押し付けるのではなく、双方が納得できる条件を話し合いで決めることが、長期的な信頼関係の構築につながるでしょう。
ポイント6：取得までの猶予期間と支援体制
制度開始から評価取得までの期間は、取引先の規模や現状のセキュリティレベルに応じて柔軟に設定しましょう。また取引先が、セキュリティ対策の実装そのものに困っている場合は「サイバーセキュリティお助け隊サービス（新類型）」の活用を案内しましょう。
最新情報を入手するなら「調達DXカンファレンス」で
「調達DXカンファレンス」では、間接材調達の脱属人化、AI・DXがもたらす調達の未来、サプライヤーとの共創、調達人材の育成など、調達部門が直面する課題と最新の取り組みが紹介しています。
調達業務全体の効率化やデジタル化について関心がある方は、ぜひチェックしてみてください。
▶「調達DXカンファレンス」の詳細はこちらから
まとめ
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、取引先のセキュリティレベルを★3〜★5の段階で「見える化」する新しい仕組みです。2026年度末頃の開始が予定されており、発注元・受注企業の双方にとって、バラバラだった評価基準を統一できる点が大きなメリットといえます。
調達業務のデジタル化やサプライヤー管理の効率化に関心がある方には下記もおすすめです。この機会に、サプライチェーン全体のリスク管理強化に向けた取り組みを始めましょう。
また2026年1月1日から、これまで「下請法」と呼ばれていた法律が「中小受託取引適正化法」に改正・施行されました。調達購買部門としての対応ポイントや注意点を知りたい方は、下記も参考にしてください。
一覧に戻る