SCS評価制度の費用はいくら？内訳の考え方と稟議の通し方
「SCS評価制度の★3を取るのに、いくらかかりますか」——この質問に、いまはっきり答えられる会社はありません。
結論から申し上げます。制度に払う申請・登録の費用は、まだ公表されていません。 IPAのよくある質問に「★3・★4の申請・登録にかかる費用は今後公開予定です」と明記されています。相場を示す一次情報も存在しません。
ただし、総額を4つに分けて考えれば、いま見積もれる部分と、待つしかない部分を切り分けられます。 そして実務では、公表されていない申請料よりも、社内の工数のほうが金額として大きくなることが多いです。
この記事では、費用の内訳の立て方と、金額が確定しない段階で稟議を通す方法を整理します。
目次[非表示]
制度に払う費用は、まだ公表されていない
まず事実確認です。IPAは費用について次のように述べています。
★3・★4の申請・登録にかかる費用は今後公開予定です。
（IPA「SCS評価制度 よくある質問」A3-4）
「未定」ではなく「今後公開予定」という書き方です。金額そのものは示されていませんが、有償である前提が読み取れます。
制度構築方針にも、IPAの詳細情報ページにも、金額の記載はありません。したがって「★3は◯万円」と書いている情報を見かけたら、一次情報に基づかない推測だと考えてください。
なお公表の時期についても明示がありません。申請方法の公開が2026年10月頃、運用開始が2027年3月頃とされているため、遅くとも運用開始までには示されると見るのが自然ですが、これは当社の見立てです。
費用は4つに分けて考える
総額を1つの数字で捉えようとすると、公表待ちで手が止まります。4つに分ければ、3つは今から詰められます。
# | 費用の種類 | 誰に払うか | いま分かるか |
|---|---|---|---|
① | 申請・登録の費用 | 制度（事務局） | 未公表 |
② | セキュリティ専門家の確認・署名 | 社外の専門家、または社内（人件費・研修費） | 構造は分かる。単価は未確定 |
③ | 社内の工数 | 自社（人件費） | 今すぐ見積もれる |
④ | 支援会社への費用 | 支援会社 | 今すぐ分かる |
①だけが完全な未公表です。 ②③④は、自社の状況を確認すれば今から精度を上げられます。
② セキュリティ専門家の費用は、社内か社外かで構造が変わる
★3は自己評価ですが、セキュリティ専門家の確認と署名が必須です。この専門家は社外に依頼することもできますが、社内にいてもかまいません。
社内で担う場合、資格要件（情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO/IEC 27001主任審査員のいずれか）を満たす人がいることが前提です。そのうえで制度が定める研修の受講と、事務局への登録が必要になります。つまり社内で担っても、研修の費用と担当者の時間は発生します。
社外に依頼する場合の単価は、まだ相場がありません。登録済みの専門家が公開されるのは2027年1月以降なので、それまで「誰にいくらで頼めるか」は分かりません。
③ 社内の工数が、いちばん見落とされる
金額として最も大きくなりやすいのが、ここです。 そして見積書に出てこないため、稟議から漏れます。
★3で時間がかかるのは、規程を作ることよりも運用して記録を残すことです。具体的には次のような作業で、いずれも社内の人しかできません。
- IT資産（PC・サーバー・ネットワーク機器）の台帳を、実機と合った状態にする
- どの取引先と、どのように接続・情報連携しているかを洗い出す
- 決めたルールを実際に運用し、実施記録を残す
台帳の棚卸しは外部に丸投げできません。 社内の誰が何を使っているかは、社内の人しか分からないからです。ここに人を出せないと、支援会社を入れても止まります。
④ 支援会社への費用
当社の目安を公開しています。
サービス | 費用の目安 | 何をするか |
|---|---|---|
YOROZU SCS評価 現状診断 | 20〜40万円（1回） | 対象範囲と現在地を確定し、残作業を順番・工数・期限に落として、稟議に出せる資料にする |
YOROZU SCS評価 実装伴走 | 月10〜50万円 | 決めた計画にそって、規程・台帳を整備し、運用して記録を残すところまで実行する |
YOROZU SCS評価 運用・更新支援 | 月3〜30万円 | 取得後の運用と、毎年の更新対応 |
現状診断は「決めるための材料をつくる」、実装伴走は「決めたことを実行する」という分担です。建物にたとえれば図面と施工の関係で、順番に使うことも、計画だけ作って実行は自社で進めることもできます。
金額の幅は、対象範囲（拠点数・システム数）と、既存の整備状況で変わります。
★3と★4で、費用構造が変わる
★4を狙う場合、★3にはない費用が2つ加わります。
★3 | ★4 | |
|---|---|---|
評価のしかた | 専門家の確認を付けた自己評価 | 第三者評価＋技術検証 |
追加で発生するもの | — | 評価機関による実地審査、インターネット公開機器の脆弱性検査 |
有効期間 | 1年 | 3年 |
★4は評価機関に払う費用が発生します。 ただし評価機関の公開は2026年12月末頃とされており、現時点では依頼先も費用も分かりません。★3と★4の要求水準の違いは SCS評価制度とは？★3の要求事項と2027年3月までの進め方 で解説しています。
一方で有効期間の違いが、年あたりの費用に効いてきます。 ★3は1年、★4は3年です。
見落とされやすい2つのこと
★3は毎年費用が発生する
★3の有効期間は1年です。 一度取得すれば終わりではなく、毎年更新することになります。
つまり単年度の予算で組むと、2年目に詰まります。 稟議の段階で「初年度の取得費用」と「2年目以降の維持費用」を分けて示しておかないと、翌年に改めて予算を取り直す話になります。
費用が確定してから動くと、時間が足りない
セキュリティ専門家の公開は2027年1月以降、申請受付の開始は2027年3月頃です。専門家に確認を依頼できるのは、実質この2か月だけです。
★3の準備（規程の整備・台帳の棚卸し・運用記録の蓄積）には数か月かかり、記録は後からさかのぼって作れません。 申請料が公表されるのを待ってから着手すると、この2か月に間に合わなくなります。
公表を待たずに着手できることと、待つべきことは SCS評価制度の評価用ガイドはいつ公表される？公表前の今できる3つの準備 で整理しています。
金額が確定していない段階で、稟議をどう通すか
ここが実務で最も困るところだと思います。「費用は未定です」と書いた稟議書は通りません。 かといって根拠のない数字を置くと、後で説明できなくなります。
現実的な書き方は、確定しているものと未確定のものを、稟議書の中で分けることです。
1. 確定できる費用を先に積む。 社内工数（③）と支援会社への費用（④）は、いま見積もれます。ここを主要な金額として示します。
2. 未確定分は「前提条件」として明記する。 「申請・登録費用は制度側で未公表のため本稟議に含まない。公表後に追加申請する」と書いておきます。含めていない理由が一次情報に基づくと示せれば、抜け漏れではなく判断として扱われます。
3. 初年度と2年目以降を分ける。 ★3の有効期間が1年であることを根拠に、維持費用を別立てにします。
4. 決裁のタイミングを、公表スケジュールに合わせる。 申請方法の公開が2026年10月頃です。それより前に準備の予算を通し、申請費用は公表後に追加で取るという二段構えが、時間の制約と整合します。
なお、社内説明では「取得すると何が得られるか」を聞かれます。 現時点で制度は任意であり、公共調達との連動も今後の検討課題とされています。確定した見返りを示すのは難しいため、取引先からの要請の有無や、複数の取引先から届くセキュリティチェックシートへの対応負荷を、判断材料として整理しておくほうが説明が通りやすくなります。
費用を見積もる前に決めておくこと
「いいえ」が2つ以上あると、見積もりの精度が上がりません。
- ★3を目指すのか★4なのか、社内で方針が決まっていますか
- 対象範囲（どの拠点・どのシステムまで含めるか）が決まっていますか
- IT資産の台帳が、実機と合っていますか
- 社内に情報処理安全確保支援士などの有資格者がいるかを確認しましたか
- この対応に、社内から何人日を出せるか目安がありますか
5問目が最も重要です。 ③の社内工数が出せないと、④の支援費用をいくら積んでも進みません。
よくある質問
Q. SCS評価制度の★3を取るのに、いくらかかりますか。
制度に払う申請・登録の費用は公表されていません。IPAは「今後公開予定」としています。総額は、申請・登録費用、セキュリティ専門家の費用、社内の工数、支援会社への費用の4つに分かれ、このうち社内工数と支援会社への費用は今から見積もれます。
Q. 申請費用はいつ公表されますか。
公表時期は明示されていません。申請方法の公開が2026年10月頃、運用開始が2027年3月頃とされていることから、遅くとも運用開始までには示されると見られますが、これは当社の見立てです。
Q. ★3と★4で費用はどれくらい違いますか。
金額の比較はできません。ただし★4には★3にない費用が加わります。評価機関による第三者評価と、インターネットに公開している機器の脆弱性検査です。一方で有効期間は★3が1年、★4が3年のため、年あたりで見ると差は縮まります。
Q. 費用は毎年かかりますか。
★3は有効期間が1年のため、毎年更新が必要です。★4は3年です。稟議では初年度の取得費用と2年目以降の維持費用を分けて示すことをお勧めします。
Q. セキュリティ専門家への費用を抑える方法はありますか。
専門家は社外に依頼することもできますが、社内にいてもかまいません。社内に該当資格の保持者がいれば、研修の受講と事務局への登録を経て自社で担うことができます。ただし研修の費用と担当者の時間は発生します。登録済みの専門家が公開されるのは2027年1月以降のため、社外に依頼する場合の単価は現時点では分かりません。
まとめ
- 制度に払う申請・登録の費用は未公表。 IPAは「今後公開予定」としており、相場を示す一次情報はない
- 総額は①申請・登録費用／②専門家の費用／③社内の工数／④支援会社への費用の4つに分かれる。未公表なのは①だけ
- 金額として大きくなりやすいのは③社内の工数。 台帳の棚卸しは外部に丸投げできず、ここに人を出せないと止まる
- ★4は評価機関の第三者評価と技術検証の費用が加わる。ただし依頼先の公開は2026年12月末頃
- ★3の有効期間は1年。 単年度予算で組むと2年目に詰まる
- 稟議は確定分（③④）を積み、未確定分（①）は前提条件として明記する。決裁は申請方法の公開（2026年10月頃）より前に準備予算を通す二段構えが現実的
費用の内訳をご自身で組み立てる前に、対象範囲と現在地を確かめておくと精度が上がります。
SCS簡易ギャップ診断（無料・Web・全15問／約5分） では、7つの柱ごとに「自社がいま★3にどれくらい近いか」の目安が分かります。③社内の工数がどれくらい必要かの見当をつける材料になります。入力は自己申告のみで、資料の準備は不要です。
支援の内容と費用の目安は SCS評価制度 対応支援 でご案内しています。対象範囲を伺えたうえでのお見積りも承ります。
制度の全体像から知りたい方には、**無料ウェビナー「30分で分かるSCS評価制度」** をご用意しています。ご参加いただいた方には、★3対応で使う規程・台帳のひな型8点「SCS★3スターターキット」を後日お送りします。社内の稟議に使える形でご説明します。
本記事は2026年8月17日時点で公開されている経済産業省・IPAの情報に基づいています。制度の詳細は今後変更される可能性があります。最新情報は下記の出典元をご確認ください。
出典
- IPA「SCS評価制度 よくある質問」（A3-4 申請費用／A1-1 運用開始時期／A2-1 専門家・評価機関の公開時期／A3-1 申請方法）
- 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表・PDF）
- IPA「SCS評価制度の詳細情報」（2026年4月21日公開／2026年5月29日最終更新）
