SCS評価制度の評価用ガイドはいつ公表される？公表前の今できる3つの準備

「評価用ガイドが出てから動こう」——SCS評価制度について、そう考えている企業は少なくありません。

結論から申し上げます。評価用ガイド等の公表は2026年度下期（2026年10月〜2027年3月）の予定とされており、現時点で本文は公開されていません。ただしガイドを待つ必要のない準備が3つあります。逆に、ガイドを待つべきこともあります。この線引きを間違えると、数か月を無駄にするか、逆に手戻りを起こします。

この記事では、いま何が公表されていて、これから何が出るのかを整理したうえで、今やるべきことと待つべきことを切り分けます。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）では、企業が自社のセキュリティ対策の状況を評価し、その結果を申請します。そのときに何をどう評価すればよいかを示す文書が評価用ガイドです。

制度構築方針のスケジュールでは、この評価用ガイド等の公表をもって**運用開始（想定）**とされています。つまりガイドの公表が、制度が実際に動き出す合図になります。

制度そのものの概要は SCS評価制度とは？★3の要求事項と2027年3月までの進め方 で解説しています。★3・★4・★5の違いから確認したい方は先にそちらをご覧ください。

「ガイドが出ていない」ことと「何も出ていない」ことは違います。判断材料はすでにかなり揃っています。

注目していただきたいのは2つめです。★3の要求事項26件と、それに紐づく評価基準の本文は、すでに公開されています。 「何を求められるか」は、ガイドを待たずに読めます。

では評価用ガイドで何が増えるのか。制度構築方針から読み取れるのは、評価の実施手順・様式・提出方法といった「進め方」の部分です。要求事項そのものが差し替わることを示す記述はありません。

公表予定を時系列で整理します。

上の表に「評価機関」が2回出てきます。ここは実務で取り違えやすいところです。

2026年8月頃に公表されるのは評価機関の「要件」です。どういう条件を満たせば評価機関になれるか、という基準の話です。評価機関そのものの指定・公表は2026年12月頃とされています。

つまり、8月に要件が出ても、その時点ではまだ「どこに評価を頼めるか」は分かりません。★4を狙う企業が評価機関を選べるようになるのは12月頃です。★4の取得を2027年3月までに目指すなら、この時期を前提に逆算する必要があります。

実務の観点で最も影響が大きいのは、評価用ガイドよりも解説書だと当社は見ています。

要求事項・評価基準は本文が公開済みですが、読むと「この書き方だと、どこまでやれば適合と判断されるのか」が判然としない箇所があります。たとえば記録の保管期間、対象範囲の切り方、既存の運用で代替できる範囲——このあたりです。解説書はそこに公式な解釈を与えるものと考えられます。

したがって、要求事項の解釈をぎりぎりまで詰める作業は10月以降にやるほうが効率的です。それより前の時期は、解釈が要らない作業に充てるのが合理的です。

ここからは当社の見立てです。

評価用ガイドの公表は2026年度下期、申請・取得の集中は2027年1〜3月と見込まれます。公表から申請の山までの距離は長くありません。

一方で★3の準備には数か月かかります。規程を整え、台帳を最新にし、決めたルールを実際に運用して記録を残すまでが必要です。そして記録は、後からさかのぼって作れません。 「年1回以上の教育・訓練を実施し、その記録を保管する」という要求は、時間を巻き戻せない性質のものです。加えてこの時期は、セキュリティ専門家の手も一斉に混み合います。

要求事項の細部が変わっても無駄にならない作業が3つあります。

1. 現在地の把握。 7つの大分類（ガバナンス／取引先管理／リスクの特定／攻撃等の防御／攻撃等の検知／インシデントへの対応／インシデントからの復旧）に沿って、自社が今どの状態にあるかを洗い出します。これは要求事項の解釈が変わっても、洗い出した事実そのものは残ります。

2. 体制の決定。 セキュリティの責任者と推進体制を決め、文書にします。あわせて、社内に情報処理安全確保支援士などの有資格者がいるかを確認します。セキュリティ専門家は社外に依頼することもできますが、社内にいてもかまいません。 研修事業者の公表が2026年12月末頃の予定なので、候補者を先に決めておけば公表と同時に動けます。

3. 台帳の棚卸し。 IT資産（PC・サーバー・ネットワーク機器）と、取引先との接続・情報連携の一覧を、実機・実態と合った状態にします。この作業がいちばん時間を食い、かつ外部に丸投げしにくい部分です。 社内の誰が何を使っているかは、社内の人しか分かりません。

3つに共通するのは、成果物が「事実の記録」であって「解釈の産物」ではないという点です。だから公表を待つ理由がありません。

正直にお伝えすると、先にやると手戻りになるものもあります。

「今すぐすべて着手すべき」とは申し上げません。待つべきものを待ち、待たなくてよいものを先に片づける——この切り分けが、限られた時間の使い方として合理的です。

「ガイドを待たずにできる3つ」の進捗を確認する6問です。「いいえ」が3つ以上あれば、公表を待たずに着手したほうが安全です。

1. 7つの大分類それぞれについて、自社の現状を誰かが把握していますか
2. セキュリティの責任者と推進体制が、文書になっていますか
3. IT資産の台帳が、実機と合っていますか
4. どの取引先と、どのように接続・情報連携しているかの一覧がありますか
5. 社内に情報処理安全確保支援士などの有資格者がいるかを確認しましたか
6. ★3を目指すのか★4なのか、社内で方針が決まっていますか

6問目を入れているのは、★3と★4で逆算のしかたが変わるからです。★4は評価機関の指定・公表（2026年12月頃）を待つ必要があるため、スケジュールの組み立てが別になります。

Q. SCS評価制度の評価用ガイドはいつ公表されますか。

2026年度下期（2026年10月〜2027年3月）の公表予定とされています。制度構築方針では、公表以降に運用開始（想定）と記載されています。公表日は明示されていません。

Q. 評価用ガイドが出る前に、要求事項の内容は分かりますか。

分かります。★3・★4の要求事項・評価基準は2026年4月21日にIPAから公開されています。★3の要求事項は26件です。ただし要求事項の公式な解釈を示す解説書は2026年10月頃の公表予定とされており、判断が難しい箇所はそこで明確になる見込みです。

Q. ガイドが公表されたら、要求事項は変わりますか。

要求事項が差し替わることを示す記述は、現時点の一次情報にはありません。評価用ガイドは評価の実施手順や様式を示すものと位置づけられています。ただし制度は詳細を詰めている段階であり、変更の可能性は残ります。

Q. 評価用ガイドの公表を待ってから準備を始めても間に合いますか。

一次情報に「間に合う／間に合わない」の記載はありません。当社の見立てとしては、準備に数か月かかり申請の集中が2027年1〜3月と見込まれることから、公表を待ってからの着手は余裕がないと考えています。特に運用記録はさかのぼって作れません。

Q. 評価機関はいつ決まりますか。

評価機関の要件の詳細が2026年8月頃、評価機関そのものの指定・公表が2026年12月頃の予定とされています。★4の取得には第三者評価が必要なため、★4を目指す場合はこの時期を前提に計画してください。

• 評価用ガイド等の公表は2026年度下期（2026年10月〜2027年3月）予定。 公表以降に運用開始（想定）とされている
• 要求事項・評価基準の本文はすでに公開済み（2026年4月21日）。「何を求められるか」はガイドを待たずに読める
• 要求事項の公式な解釈を示す解説書は2026年10月頃予定。 実務上はこれがいちばん影響が大きい
• 「評価機関の要件」（2026年8月頃）と「評価機関の指定・公表」（2026年12月頃）は別物。 8月時点ではまだ依頼先は分からない
• ガイドを待たずにできるのは現在地の把握・体制の決定・台帳の棚卸しの3つ。成果物が事実の記録なので、解釈が変わっても無駄にならない
• 逆に申請様式の作成・評価機関の選定・専門家の登録・要求事項の解釈の詰めは待つべき

SCS評価制度への対応支援の内容は SCS評価制度 対応支援 でご案内しています。

「ガイドを待たずにできる3つ」のうち、最初の現在地の把握は、その場で着手できます。

SCS簡易ギャップ診断（無料・Web・全15問／約5分） では、7つの柱ごとに「自社がいま★3にどれくらい近いか」の目安が分かります。入力は自己申告のみで、資料の準備は不要です。

制度の全体像から知りたい方には、無料ウェビナー「30分で分かるSCS評価制度」 をご用意しています。ご参加いただいた方には、★3対応で使う規程・台帳のひな型8点「SCS★3スターターキット」を後日お送りします。専門用語を使わず、社内の稟議に使える形でご説明します。

本記事は2026年8月12日時点で公開されている経済産業省・IPAの情報に基づいています。制度の詳細は今後変更される可能性があります。最新情報は下記の出典元をご確認ください。

出典

• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表・PDF）
• IPA「SCS評価制度の詳細情報」（2026年4月21日公開／2026年5月29日最終更新）
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（特設サイト）