SCS評価制度★3 申請プロセスと自己宣言書の書き方 ― 提出先・所要日数・公表される情報まで
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
「★3の対策はだいたい揃った。あとは申請するだけ」――そう思ったときに突き当たるのが、実際の申請プロセスの解像度の低さです。SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3は、ISMSのような審査機関の審査ではなく、自己評価＋確認責任者による確認＋経営層の自己適合宣言＋登録申請という仕組みです。
本記事では、2026年10月28日公表の「★3・★4 自己評価等ガイド」（別紙アセスメントシート）をもとに、★3申請の実務フローを整理します。登録申請の手引は2026年11月末頃の公表予定で、提出方法や所要日数など手続の細部はそこで確定します。
★3申請プロセスの全体像
5つのステップ
自己評価等ガイドでは、★3の申請は次の流れで示されています。
- 取得単位・適用範囲の決定：原則として法人（または個人事業主）単位で、対象範囲を確定
- 自己評価：アセスメントシート（要求事項26項目／評価基準81件）で評価基準ごとに適合／不適合を判定
- 確認責任者による確認：制度運営機関に登録されたSCSセキュリティ専門家が「★3確認責任者」として確認し、署名または記名（社内外どちらでも可）
- 経営層による自己適合宣言：経営者が自己適合宣言を行う
- 登録申請：自己適合宣言とアセスメントシートをもとに登録申請（★3 登録料 20,000円/年、2028年3月31日までは10,000円）
ISMSのような数か月の現地審査はないため、書類整備が完了していれば申請から登録まで1〜2か月程度を見込むのが現実的です。
自己適合宣言書の項目構成
自己適合宣言書の標準項目（想定）
★3の自己適合宣言書には次の情報が記載される見込みです（書式は登録申請の手引で確定）。
- 事業者情報：法人名、本社所在地、事業内容、従業員数、売上高
- 対象範囲：宣言の対象となる事業所・事業部・拠点
- 適合宣言：26項目すべてに適合していることの宣言
- 経営者の署名：代表取締役または相当の経営層の署名
- 確認責任者の署名または記名：確認した★3確認責任者の氏名、確認日
- 有効期間：宣言日と次回更新予定日（1年後）
「対象範囲」の設計が重要
自己評価等ガイドでは、取得単位は原則として法人（または個人事業主）です。事業部単位や企業グループ単位も、確認責任者が妥当性を確認することを前提に認められますが、時限的なプロジェクト組織は取得単位にできず、一部の業務システムだけを切り出した適用範囲も認められません。そのうえで、会社全体とするか特定の事業部のみとするかは大きな選択になります。
- 会社全体を対象とする：取引先への対外的な説得力が高い／全社的な対策が必要で工数が大きい
- 特定の事業部のみを対象とする：早期に申請できる状態まで整えられる／対外的に「全社対応」と誤解されないよう範囲明示が必要
中小企業の多くは「会社全体」を選びますが、グループ会社や複数の事業部を持つ企業は事業部単位・グループ単位での宣言を検討します。範囲の決定は確認責任者による確認の前に確定させ、アセスメントシート全体に反映します。
アセスメントシートと自己適合宣言書の紐づけ
アセスメントシートに記入する内容
アセスメントシートには、評価基準81件のそれぞれについて次の3情報を記入します。
- 判定：評価基準ごとに適合／不適合（適合基準が複数ある場合は原則すべて満たして適合。対象外にできる条件はガイドで14の評価基準に定められています）
- 対策の実施状況：何をどのように実施しているか（簡潔な記述）
- 証跡の参照：対策を裏付けるドキュメント名・記録名（例「情報セキュリティ規程 v2.3」「2026年4月パッチ適用記録」）
「適合」と書くだけでは確認責任者による確認で差し戻されます。証跡が紐づいていることが必須です。
よくある記入ミス
- 証跡が抽象的：「適切に実施」とだけ書かれている → 具体的な文書名・日付を書く
- 対策と証跡の不整合：規程上は「四半期ごと」だが、証跡は半年に1回 → 実態に合わせて規程を改訂してから記入
- 既存ISMS文書をそのまま流用：ISMSの記載をコピーして「ISMS文書参照」とだけ書く → SCSの要求事項にどう対応するかをマッピングして記述
- 担当者の記入で経営者が把握していない：適合宣言は経営者の責任で行うため、内容を経営者がレビューできる形にまとめる
確認責任者による確認・署名の実装
確認責任者による確認のフロー
自己評価等ガイドでは、確認責任者はアセスメントシートの自己評価について網羅性・正確性・適時性・一貫性を確認するとされています（証跡の実在性の確認までは求められていません）。実務上の一般的な流れは次のとおりです。
- キックオフミーティング：評価対象範囲、自社の特徴、過去のインシデント等の共有（1〜2時間）
- 書類レビュー：アセスメントシートと証跡文書の突き合わせ（数日〜2週間）
- インタビュー・現場確認：気になった項目について情シス担当者・経営層へヒアリング（半日〜1日）
- 指摘事項の整理と是正：不備があれば是正、再レビュー
- 署名または記名：問題なければ確認責任者が署名または記名
外部に依頼する場合の費用感はレビューのみで50〜100万円、対策実装まで含めると50〜500万円規模です（専門家要件と確保の方法参照）。
確認責任者による確認で多い差し戻しパターン
- バックアップは取得しているが復元テストの記録がない
- パッチ適用ルールはあるが運用記録が断片的
- 退職者アカウント無効化の手続きがあるが、直近事例の証跡が出てこない
- 委託先リストはあるが、年次更新の記録がない
差し戻し対応の所要は2週間〜1か月程度を見込んでおきます。
登録申請と登録
提出書類
登録申請時に必要な書類は、2026年11月末頃に公表予定の「登録申請の手引」で確定します。現時点では次のものが想定されます。
- 自己適合宣言書（経営者の署名済み、確認責任者の署名または記名済み）
- アセスメントシート（記入済み。自己評価等ガイドでは登録時のシートをPDF化し、SHA-256ハッシュとともに保管することが求められています）
- 事業者情報の登録票
- 必要に応じて事業者の登記情報・組織図
提出方法と所要日数
提出方法と所要日数は登録申請の手引で確定します。オンライン提出が中心となり、提出から登録までの確認は形式確認が中心で2〜4週間程度と想定しています。登録料は★3で20,000円/年（2028年3月31日までは10,000円）です（2026年9月18日公表）。
不備があった場合は制度運営機関から照会があり、是正後に再提出となります。確認責任者による確認をしっかり済ませていれば、登録申請の段階での差し戻しは少ない想定です。
登録番号と利用方法
登録が完了すると、★3取得事業者として制度のWebサイトに公表され、登録番号が付与される見込みです。中小企業はこの登録番号や★3ロゴを次のように活用できます。
- 取引先へのセキュリティ対策状況の説明資料に記載
- 自社Webサイトへの掲載（「SCS評価制度★3 登録番号XXXX」）
- 営業提案書・名刺へのロゴ掲載
- 補助金申請の加点要素
公表される情報の範囲
★3取得事業者として公表される情報は次の範囲が想定されます（取得企業の公表は2027年4月以降の予定）。
- 法人名、本社所在地、事業内容
- 対象範囲（会社全体／特定事業所等）
- 取得日、有効期限
- 専門家の氏名・保有資格
アセスメントシートの詳細記入内容は公表されない想定です。ただし、取引先からの個別問い合わせに対しては、必要範囲で開示する運用が一般的になるでしょう。
登録抹消・取り下げの条件
★3の登録抹消・取り下げは次のケースで発生します（想定）。
- 更新を行わなかった場合：1年の有効期間経過後、更新申請がないと自動的に登録が取り消される
- 重大なインシデントの発生と隠蔽：重大インシデント発生時の通知義務違反など
- 自己宣言の虚偽が発覚した場合：実態と乖離した記載が後から判明
- 事業者からの自主取り下げ：事業形態の変更等で対象外となった場合
登録抹消は対外的な信用に関わるため、年次の自己評価・更新を着実に回す運用設計が重要です。
申請から登録までのモデルスケジュール
| 月 | アクション |
|---|---|
| M-3 | アセスメントシート記入を開始、証跡の整理 |
| M-2 | 確認責任者への確認依頼、書類レビュー |
| M-2〜M-1 | 指摘事項の是正、再レビュー |
| M-1 | 経営者の最終確認、自己適合宣言書の署名 |
| M | 登録申請 |
| M〜M+1 | 制度運営機関による形式確認 |
| M+1 | 登録完了・公表 |
合計3か月程度。対策実装・規程整備が完了している前提でのスケジュールです。登録申請の受付開始は2027年3月のため、それまでは申請できる状態まで整えておく段階です。
情シス365の申請支援
情シス365では、★3申請の最終段階を次の形で支援しています。
- アセスメントシート記入のレビューと記述ブラッシュアップ
- 証跡の整理・不足分の補強
- ★3確認責任者による確認・署名または記名への対応（SCSセキュリティ専門家の登録手続は2026年12月下旬公表予定）
- 経営層向けのレビュー資料作成
- 登録申請手続きのサポート
- 取引先への対外説明資料の作成
本記事は2026年5月5日時点の公表情報をもとに執筆し、2026年11月5日に公表状況を更新しました。