SCS評価制度の評価用ガイドはいつ公表される？公表前の今できる3つの準備

「評価用ガイドが出てから動こう」——SCS評価制度について、そう考えている企業は少なくありません。

結論から申し上げます。★3・★4の運用開始は2027年3月頃の予定とされており、申請できるのはそれ以降です。そして申請に必要なセキュリティ専門家の公開は2027年1月以降。つまり「誰に確認を頼めるか分かってから、申請するまで」は実質2か月しかありません。

一方で、公表を待つ必要のない準備が3つあります。逆に、待つべきこともあります。この記事では、いま何が公表されていて、これから何が出るのかを整理したうえで、今やるべきことと待つべきことを切り分けます。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）では、企業が自社のセキュリティ対策の状況を評価し、その結果を申請します。そのときに何をどう評価すればよいかを示す文書が評価用ガイドです。

制度構築方針では「評価用ガイド等」を2026年度下期に公表し、以降に運用開始（想定）とされていました。その後IPAのよくある質問で、より具体的な日付が示されています。申請方法と解説書・取得ガイドは2026年10月頃、運用開始は2027年3月頃です。

制度そのものの概要は SCS評価制度とは？★3の要求事項と2027年3月までの進め方 で解説しています。★3・★4・★5の違いから確認したい方は先にそちらをご覧ください。

「ガイドが出ていない」ことと「何も出ていない」ことは違います。判断材料はすでにかなり揃っています。

注目していただきたいのは2つめです。★3の要求事項26件と、それに紐づく評価基準の本文は、すでに公開されています。 「何を求められるか」は、ガイドを待たずに読めます。

では今後の公表で何が増えるのか。申請のしかた（申請方法）、要求事項の公式な解釈（解説書）、適合・不適合を自分で判断するための手順（取得ガイド）です。要求事項そのものが差し替わることを示す記述は、現時点の一次情報にはありません。

公表予定を時系列で整理します。

上の表に「評価機関」が2回出てきます。ここは実務で取り違えやすいところです。

2026年8月頃に公表されるのは、専門家や評価機関に関する規則です。どういう条件を満たせば評価機関になれるか、という基準の話で、登録手続きの方法はその後に改めて公表されるとされています。評価機関そのものの公開は2026年12月末頃です。

つまり、8月に規則が出ても、その時点ではまだ「どこに評価を頼めるか」は分かりません。★4を狙う企業が評価機関を選べるようになるのは12月末頃です。

評価用ガイドの公表を待つ、という言い方をよく聞きますが、実務の観点で節目になるのは2026年10月頃です。ここで3つが同時に出ます。

申請方法が公開され、どの書類をどの様式でどこに出すのかが決まります。

解説書が公表されます。要求事項・評価基準は本文が公開済みですが、読むと「どこまでやれば適合と判断されるのか」が判然としない箇所があります。記録の保管期間、対象範囲の切り方、既存の運用で代替できる範囲——このあたりです。解説書はそこに公式な解釈を与えるものと考えられます。

そして取得ガイド。IPAは「要求事項への適合・不適合の判断を自身で行うための取得ガイド」と説明しており、自己判断の手順が公式に示されることになります。

したがって、要求事項の解釈をぎりぎりまで詰める作業は10月以降にやるほうが効率的です。それより前の時期は、解釈が要らない作業に充てるのが合理的です。

ここからは当社の見立てです。

★3に必須のセキュリティ専門家は、2027年1月以降にしか分かりません。 そして申請受付の開始は2027年3月頃。確認を依頼できる期間は、実質この2か月です。

★3は「自己評価」と紹介されることが多いため社内で書類を作れば申請できると思われがちですが、専門家の確認と署名は必須要件です。依頼先が判明してから申請までが2か月しかないため、ここに依頼が集中します。

一方で★3の準備には数か月かかります。規程を整え、台帳を最新にし、決めたルールを実際に運用して記録を残すまでが必要です。そして記録は、後からさかのぼって作れません。 「年1回以上の教育・訓練を実施し、その記録を保管する」という要求は、時間を巻き戻せない性質のものです。

つまり、2027年1月に専門家を探し始めてから準備に入るのでは間に合いません。 専門家に見せる中身を、それまでに作り終えている必要があります。

要求事項の細部が変わっても無駄にならない作業が3つあります。

1. 現在地の把握。 7つの大分類（ガバナンス／取引先管理／リスクの特定／攻撃等の防御／攻撃等の検知／インシデントへの対応／インシデントからの復旧）に沿って、自社が今どの状態にあるかを洗い出します。これは要求事項の解釈が変わっても、洗い出した事実そのものは残ります。

2. 体制の決定。 セキュリティの責任者と推進体制を決め、文書にします。あわせて、社内に情報処理安全確保支援士などの有資格者がいるかを確認します。セキュリティ専門家は社外に依頼することもできますが、社内にいてもかまいません。 社内で担う場合は研修の受講と事務局への登録が必要になるため、候補者を先に決めておけば、研修事業者が公表され次第動けます。

3. 台帳の棚卸し。 IT資産（PC・サーバー・ネットワーク機器）と、取引先との接続・情報連携の一覧を、実機・実態と合った状態にします。この作業がいちばん時間を食い、かつ外部に丸投げしにくい部分です。 社内の誰が何を使っているかは、社内の人しか分かりません。

3つに共通するのは、成果物が「事実の記録」であって「解釈の産物」ではないという点です。だから公表を待つ理由がありません。

正直にお伝えすると、先にやると手戻りになるものもあります。

「今すぐすべて着手すべき」とは申し上げません。待つべきものを待ち、待たなくてよいものを先に片づける——この切り分けが、限られた時間の使い方として合理的です。

「ガイドを待たずにできる3つ」の進捗を確認する6問です。「いいえ」が3つ以上あれば、公表を待たずに着手したほうが安全です。

1. 7つの大分類それぞれについて、自社の現状を誰かが把握していますか
2. セキュリティの責任者と推進体制が、文書になっていますか
3. IT資産の台帳が、実機と合っていますか
4. どの取引先と、どのように接続・情報連携しているかの一覧がありますか
5. 社内に情報処理安全確保支援士などの有資格者がいるかを確認しましたか
6. ★3を目指すのか★4なのか、社内で方針が決まっていますか

6問目を入れているのは、★3と★4で逆算のしかたが変わるからです。★4は評価機関の公開（2026年12月末頃）を待ち、第三者評価と技術検証の日程も押さえる必要があるため、組み立てが別になります。

Q. SCS評価制度の運用開始はいつですか。

★3・★4は2027年3月頃の運用開始を予定とされています。申請できるのはそれ以降です。

Q. 評価用ガイドが出る前に、要求事項の内容は分かりますか。

分かります。★3・★4の要求事項・評価基準は2026年4月21日にIPAから公開されています。★3の要求事項は26件です。ただし要求事項の公式な解釈を示す解説書と、適合・不適合を自分で判断するための取得ガイドは2026年10月頃の公表予定とされており、判断が難しい箇所はそこで明確になる見込みです。

Q. 申請のしかたはいつ分かりますか。

★3・★4の申請方法は2026年10月頃に公開予定とされています。

Q. 公表を待ってから準備を始めても間に合いますか。

一次情報に「間に合う／間に合わない」の記載はありません。当社の見立てとしては、セキュリティ専門家の公開が2027年1月以降、申請受付の開始が2027年3月頃であることから、専門家に確認を依頼できる期間は実質2か月です。規程の整備・台帳の棚卸し・運用記録の蓄積に数か月かかり、特に運用記録はさかのぼって作れないため、その2か月に入る前に中身を作り終えておく必要があると考えています。

Q. セキュリティ専門家や評価機関はいつ分かりますか。

評価機関は2026年12月末頃、セキュリティ専門家は2027年1月以降に、IPAの「セキュリティ専門家・評価機関」のページで公開予定とされています。専門家や評価機関に関する規則は2026年8月頃の公表予定です。

• ★3・★4の運用開始は2027年3月頃の予定。申請できるのはそれ以降
• 要求事項・評価基準の本文はすでに公開済み（2026年4月21日）。「何を求められるか」は待たずに読める
• 2026年10月頃に、申請方法・解説書・取得ガイドが公表予定。 実務上はこの3つがいちばん影響が大きい
• 評価機関の公開は2026年12月末頃、セキュリティ専門家の公開は2027年1月以降。 8月頃に出るのは「規則」で、依頼先が分かるわけではない
• ★3に必須の専門家の確認を依頼できるのは、実質2027年1〜3月の2か月だけ。 ここに依頼が集中する
• 待たずにできるのは現在地の把握・体制の決定・台帳の棚卸しの3つ。成果物が事実の記録なので、解釈が変わっても無駄にならない
• 逆に申請様式の作成・要求事項の解釈の詰め・評価機関の選定・専門家への依頼は待つべき

SCS評価制度への対応支援の内容は SCS評価制度 対応支援 でご案内しています。

「ガイドを待たずにできる3つ」のうち、最初の現在地の把握は、その場で着手できます。

SCS簡易ギャップ診断（無料・Web・全15問／約5分） では、7つの柱ごとに「自社がいま★3にどれくらい近いか」の目安が分かります。入力は自己申告のみで、資料の準備は不要です。

制度の全体像から知りたい方には、無料ウェビナー「30分で分かるSCS評価制度」 をご用意しています。ご参加いただいた方には、★3対応で使う規程・台帳のひな型8点「SCS★3スターターキット」を後日お送りします。専門用語を使わず、社内の稟議に使える形でご説明します。

本記事は2026年8月17日時点で公開されている経済産業省・IPAの情報に基づいています。制度の詳細は今後変更される可能性があります。最新情報は下記の出典元をご確認ください。

出典

• IPA「SCS評価制度 よくある質問」（運用開始時期・申請方法・解説書・取得ガイド・専門家および評価機関の公開時期）
• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表・PDF）
• IPA「SCS評価制度の詳細情報」（2026年4月21日公開／2026年5月29日最終更新）
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（特設サイト）