「SCS評価制度に対応しないと取引を切られる」は本当か ― 経産省・NCOの注意喚起と、悪質な勧誘の見分け方
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
2026年に入ってから、中小企業の経営者・情シスの方から次のような相談が増えています。
「知らない会社から電話があって、『SCS評価制度に対応しないと、来年から大手との取引が切られる』『今すぐ着手しないと入札に参加できなくなる』と言われた。数百万円の見積もりを出されているが、本当に必要なのか」
結論から言えば、そうした売り文句の大半は事実に反します。 経済産業省と内閣官房 国家サイバー統括室（NCO）は2026年4月27日、SCS評価制度を口実とした不適切な勧誘について注意喚起を公表しました。IPAも4月30日に制度サイトへ掲載しています。
この記事では、注意喚起の内容を一次情報に沿って整理したうえで、「どこまでが事実で、どこからがセールストークか」を切り分け、支援会社を見極めるためのチェックリストを提示します。
注意喚起で何が問題とされたのか
公表された注意喚起の要点は、次の3点に集約されます。
- SCS評価制度は任意の制度である。 取得を義務づけたり、取得しないことを理由に商取引を規制したりする制度ではありません。
- 特定のセキュリティ製品・サービスの導入を求める制度ではない。 「この製品を入れないと★3は取れない」という説明は制度の趣旨に反します。
- 「取得しなければ取引が制限される」「今すぐ取得しなければ入札から排除される」といった説明を用いた勧誘が確認されている。 これらは制度の内容を正確に反映していません。
つまり、制度そのものは「サプライチェーン全体のセキュリティ水準を底上げするための、任意の評価の物差し」です。取引先が自社の調達基準として★を参照することは将来的にあり得ますが、それは取引先企業の判断であって、制度が商取引を規制するわけではありません。
セールストーク別・事実確認
実際に相談を受けたトークを、一次情報と突き合わせて検証します。
「今すぐ取得しないと間に合わない」
事実：★3・★4の運用開始は2027年3月頃の予定です。 IPAのFAQでも「★3・★4は2027年3月頃の運用開始予定」と明記されています。申請方法の公開は2026年10月頃、要求事項・評価基準の解説書と取得ガイドも2026年10月頃の公表予定です。
したがって、2026年8月時点で「申請して★を取得する」ことは制度上できません。 「今すぐ取得代行します」という提案は、そもそも成立しない商品を売っていることになります。
準備を早めに始めること自体は合理的です（対策実装には数か月かかります）。しかし「取得が今すぐできる」という前提の見積もりが出てきたら、その時点で説明の正確性を疑うべきです。
「当社は認定を受けた支援機関です」
事実：2026年8月時点で、SCS評価制度の「認定支援機関」を名乗れる事業者は存在しません。
- セキュリティ専門家・評価機関の登録に関する規則は2026年8月頃に公表予定
- 評価機関の公開は2026年12月末頃
- セキュリティ専門家の公開は2027年1月以降
- 制度の研修を実施する研修事業者の一覧も2026年12月末頃
登録の枠組み自体がこれから公表される段階であり、登録された専門家・評価機関の一覧はまだ世に出ていません。「認定コンサルタント」「公認パートナー」といった肩書きが出てきたら、どの機関がいつ認定したのかを必ず確認してください。
なお、IPAの「セキュリティ専門家」と、中小企業向けの支援者リストに掲載される専門家は別の要件であるとFAQで明記されています。両者を混同した説明にも注意が必要です。
「この製品を導入しないと★3は取れません」
事実：制度は特定製品の導入を求めていません。 ★3の要求事項は「マルウェア対策が全端末に導入され定義が最新であること」「管理者アカウントに多要素認証が適用されていること」といった機能・運用の水準で書かれています。どの製品で満たすかは企業側の選択です。
実際、★3の対策要件はMicrosoft 365 / Google Workspaceの標準機能で大部分が実装可能です。すでに払っているライセンスの設定で満たせる要件に対して、新規の製品購入をセットで提案されている場合は、その必要性を要求事項の条文レベルで説明してもらいましょう。
「取得しないと大手との取引が切れます」
事実：制度は取引を規制しません。 ただし、ここは丁寧に見る必要があります。取引先が自社の調達方針として「委託先には★3相当を求める」と決めることは、将来的に十分あり得ます。実際に取引先からセキュリティチェックシートを求められる場面はすでに一般化しています。
見分け方はシンプルです。「あなたの取引先が」求めているのか、「制度が」求めているのか。 前者なら、その取引先の要求文書（調達基準・チェックシート・契約書の改定案）が必ず存在します。文書の提示なしに「一般論として取引が切られる」と言われている場合は、勧誘のための脅し文句である可能性が高いと考えてください。実際に取引先から要請を受けている場合の進め方は取引先から「SCS評価制度に対応してほしい」と言われたらにまとめています。
「政府調達の要件になるので入札に参加できなくなります」
事実：政府調達への組み込みは「将来的に検討する」という方針までが公表されている段階で、対象調達区分や時期は未公表です。 現時点で「◯年◯月の入札から★3が必須」と断言できる材料はありません。想定されるパターンの整理は政府調達への組み込みロードマップで扱っていますが、あくまで既存制度（ISMAP等）の運用からの推測です。
支援会社を見極める7つのチェックポイント
そのうえで、「準備を外部に頼むこと」自体は合理的な選択です。判断材料として、以下を確認してください。
| # | 確認事項 | 望ましい回答 |
|---|---|---|
| 1 | 制度は義務か任意か | 「任意」と即答する |
| 2 | 今すぐ★は取得できるか | 「申請受付は2027年3月頃予定。今できるのは準備」と説明する |
| 3 | 認定・公認の根拠 | 登録制度が未整備であることを認識している |
| 4 | 提案の根拠となる要求事項 | 要求事項・評価基準（IPA公開Excel）の該当項目を示せる |
| 5 | 製品購入の必要性 | 既存ライセンスで満たせる範囲を先に精査する |
| 6 | 費用の内訳 | 診断・実装・文書化・専門家確認を分けて提示できる |
| 7 | 未確定事項の扱い | 「運営規程の公表待ち」と正直に言える |
特に4番が本質です。要求事項のどの項目を、どの対策で、どの証跡で満たすのかを説明できない提案は、制度対応ではなく製品販売です。
「支援」と「評価」の兼務について
もう一点、実務上の論点があります。対策の実装を支援した会社が、そのまま自己宣言の専門家確認や第三者評価を担えるのかという中立性の問題です。
IPAのFAQでは、専門家・評価機関が支援業務を行うことについて「中立性や公平性に関する要件等は今後詳細化する予定」とされており、現時点でルールは確定していません。したがって「うちが対策も入れて確認もするので一気通貫です」という提案は、将来的にルール上できなくなる可能性があります。契約前に、この点をどう見込んでいるかを確認しておくと安全です。
社内で稟議を通す前に確認すること
勧誘を受けた側の実務としては、次の3点を押さえておけば大きく外しません。
- 一次情報にあたる。 IPAのSCS評価制度サイトとよくある質問を見れば、スケジュールと未確定事項はすべて確認できます。IPAはメールニュースの配信も2026年7月7日から開始しています。
- 急がされたら、いったん止める。 制度の申請開始は2027年3月頃です。数日で決めなければならない理由は制度側にはありません。
- 不審な勧誘は相談する。 制度に関する問い合わせはIPAがメールで受け付けています（電話対応は行っていません）。「IPAから電話がきた」という時点で不審と判断できます。
それでも準備は前倒しが正解
誤解のないように補足すると、「勧誘が不適切である」ことと「準備が不要である」ことは別の話です。
★3の要求事項は26項目（評価基準81件）、★4は43項目（評価基準153件）。IT資産台帳の整備、MFAの全社適用、バックアップと遠隔地保管、リストア手順書、教育・訓練の記録——いずれも一晩でできるものではありません。技術的な実装だけで2〜3か月、文書と証跡の整備を含めれば半年見ておくのが現実的です。
2027年3月頃の申請受付開始から逆算すると、2026年内に技術実装、年明けに文書・証跡の仕上げというスケジュールが無理のない線です。焦って高額な「取得代行」を買う必要はありませんが、着手を先延ばしにする理由もありません。進め方は準備ガイドにまとめています。
情シス365の支援方針
情シス365では、SCS評価制度の対応支援にあたって以下を明示しています。
- 制度は任意であることを前提に説明します。 取引を切られる、入札から外されるといった不確実な予測で契約を迫ることはしません。
- 既存ライセンスの活用を優先します。 Microsoft 365 / Google Workspaceの標準機能で満たせる要件を先に洗い出し、追加投資は最後の手段として提案します。
- 未確定事項は未確定と申し上げます。 運営規程・評価ガイド・申請方法は2026年8月頃〜10月頃の公表予定です。確定していない部分を確定したかのように説明することはありません。
- 費用は工程別に分けて提示します。 現状診断／対策実装／文書化／運用支援の内訳を明らかにしたうえでご判断いただきます。
「勧誘を受けているが、内容が妥当かどうかだけ見てほしい」というご相談も歓迎です。
まとめ
- 経産省・NCOは2026年4月27日、SCS評価制度をかたる不適切な勧誘への注意喚起を公表した（IPAは4月30日に掲載）
- 制度は任意であり、取得しないことを理由に商取引を規制する制度ではない。特定製品の導入を求める制度でもない
- ★3・★4の運用開始は2027年3月頃。2026年8月時点で「取得」はできず、できるのは準備のみ
- 認定支援機関を名乗れる事業者は現時点で存在しない。評価機関の公開は2026年12月末頃、専門家の公開は2027年1月以降
- 「制度が求めている」のか「取引先が求めている」のかを切り分ける。後者なら必ず文書が存在する
- 勧誘の妥当性は、要求事項のどの項目を、どの対策と証跡で満たすかを説明できるかで判断できる
参考リンク：