【速報】2026年8月28日、IPAがSCS評価制度の「制度規程」7本（基本規程・制度運営機関規則・運営審議委員会規則・指定委員会規則・評価機関指定規則・技術検証事業者指定規則・研修事業者指定規則）を公開しました。いずれも同日付で施行されています。 これまで「概要」や「案」として示されてきた制度の枠組みが、初めて正式な規程として文書化されました。 制度の「憲法」にあたる基本規程を中心に、中小企業（お客様）と販売店がそれぞれ押さえるべきポイントを読み解きます。

 

１．公開された7つの規程──それぞれ何が書かれているか

---

今回公開された規程は、制度の運営方法と各機関の役割を定めるものです。IPAは「評価機関、技術検証事業者、研修事業者への申請を検討している事業者」に向けて特に一読を勧めていますが、★取得を目指す中小企業にとっても、基本規程は「自分たちが何を求められ、何を守ってもらえるのか」を知る一次情報になります。


 

文書番号	規程名	主な内容	主な読者
SCS-100	基本規程	制度の目的・用語定義・関係者の役割・★3/★4の登録の流れ・有効期間・登録取消し・秘密保持・免責	★取得を目指す企業、専門家、事業者すべて
SCS-110	制度運営機関規則	IPAの組織体制（最高責任者～業務担当者）と所掌事務（登録・指定・専門家登録・規程整備）	制度運営側
SCS-111	運営審議委員会規則	基本規程・評価基準・ガイド類を審議決定する委員会の構成と運営	制度運営側
SCS-112	指定委員会規則	評価機関等の指定・取消しを審議決定する委員会の構成と運営（委員15名以内、任期2年以内、過半数で議決）	制度運営側・申請事業者
SCS-210	評価機関指定規則	★4の第三者評価を行う評価機関の指定要件・申請手続・有効期間（3年）・取消し・サーベイランス	評価機関を目指す法人
SCS-220	技術検証事業者指定規則	★4の技術検証（脆弱性診断等）を行う事業者の指定。「情報セキュリティ関連業務を行っている法人」が対象	セキュリティ診断事業者
SCS-230	研修事業者指定規則	SCSセキュリティ専門家を育成する研修事業者の指定要件・手続・有効期間（3年）	研修・教育事業者

基本規程には、制度を構成する文書体系として21種類の文書が列挙されています。今回公開された7本はその「制度運営の骨格」にあたる部分で、★3・★4の要求事項・評価基準、★4第三者評価ガイド、★4技術検証ガイド、各事業者の指定基準・手順などは今後順次公開されます。IPAは「★3・★4 自己評価等ガイド」「要求事項・評価基準 解説書」を10月公開に向けて作成中と案内しています。

 

２．制度の全体像──誰が何を担うのか

---

基本規程では、制度に関わる関係者の役割が明確に定義されました。これまで説明資料ごとに表現が揺れていた「誰が評価するのか」「誰が決めるのか」が、以下のように整理されています。
 

役割	担い手	主な仕事
制度所管省庁	経済産業省・内閣官房国家サイバー統括室	制度方針の提示、運用状況の監督
国SWG	産業サイバーセキュリティ研究会WG1の下のサブワーキンググループ	制度構築方針の変更等の審議・決定
制度運営機関	IPA	登録審査・登録組織台帳の管理・ロゴマーク発行、評価機関等の指定と監督、専門家登録、規程・評価基準の整備
運営審議委員会	有識者委員（委員長：満塩尚史 順天堂大学准教授）	基本規程・評価基準・ガイド類の審議決定
指定委員会	有識者委員（委員長：島田毅 松山大学教授）	評価機関・技術検証事業者・研修事業者の指定と取消しの審議決定
評価機関	IPAが指定する民間法人	★4の第三者評価（文書確認・実地審査）
技術検証事業者	IPAが指定する民間法人	★4の技術検証（脆弱性診断等）
研修事業者	IPAが指定する民間法人	SCSセキュリティ専門家を育成する研修の実施
SCSセキュリティ専門家	研修を受講しIPAに登録した個人	★3確認責任者、★4評価責任者・技術検証責任者等として確認・評価に従事

注目すべきは、制度の重要な判断がIPA単独ではなく「委員会」で決まる構造になっている点です。委員会の配付資料と議事要旨は公開され、規程改定時には意見公募が行われ、異議申立て・苦情・通報の窓口も設置されます。制度運営機関規則には「不当な差別的扱いを行わない」「財政要件や団体会員要件を課さない」と明記されており、特定の業界団体に属していなくても、公平に評価・指定を受けられる仕組みが規程上担保されました。

３．★3・★4の登録の流れと有効期間

---

基本規程で最も実務に直結するのが、登録手続と有効期間の規定です。★3は「専門家の確認付き自己評価」、★4は「評価機関による第三者評価」という基本構造が、条文として確定しました。

①★3の登録の流れ
 

ステップ	内容
①自己評価	★3要求事項（26件）に基づき、自社でセキュリティ対策の実施状況を評価する
②専門家による確認	★3確認責任者（SCSセキュリティ専門家）が自己評価の妥当性を確認し、署名する
③自己適合宣言	経営層が「当該組織の責任において」要求事項への適合を宣言する
④登録申請	IPA（制度運営機関）へ登録を申請する
⑤登録・公表	不備がなければ登録組織台帳に記載・公表される。IPAが定める条件に従いロゴマークを使用できる

②★4の登録の流れ
 

ステップ	内容
①自己評価	★4要求事項（43件）に基づき自己評価する
②自己適合宣言	経営層が自己適合宣言を行う
③第三者評価の依頼	評価機関へ自己評価結果を提出し、第三者評価を依頼する
④評価の実施	評価機関が文書確認・実地審査・技術検証（技術検証事業者が担当）を実施する
⑤評価報告書	評価機関が適合判定を評価報告書にまとめ、申請組織に提供する
⑥登録申請	申請組織がIPAへ登録を申請する
⑦登録・公表	登録組織台帳に記載・公表される

③有効期間と更新
 

区分	有効期間	更新の考え方
★3	1年間	毎年、自己評価と専門家確認を経て更新が必要
★4	3年間	1年ごとに自己評価を行い、3年ごとに第三者評価による更新が必要

満了日前に更新申請をしていれば、審査が完了するまで登録の効力は継続します。つまり「更新審査中に★が消える」ことはありませんが、申請を忘れれば失効します。★3は毎年更新であり、「一度取ったら終わり」ではない点は、お客様への説明で最初に伝えるべき事項です。

 

４．中小企業（お客様）が押さえるべき5つのポイント

---

基本規程の条文のうち、★3取得を目指す中小企業に直接影響する内容を5点に絞って整理します。
 

●自己適合宣言は「経営層の責任」で行う──セキュリティ担当者やIT部門任せではなく、経営者が自社の対策状況に責任を持って宣言する制度設計です。★3取得は「経営マター」として社内で位置づける必要があります。
 

●虚偽申請・情報隠蔽は登録取消し──不正行為が確認された場合、事実確認と弁明の機会を経て登録が取り消されます。「とりあえず全部○にして出す」は制度上のリスクになります。
 

●登録内容は台帳で公表される──登録組織台帳はIPAが公表します。発注元企業は取引先の★取得状況をここで確認できるようになります。
 

●IPAは「安全」を保証しない──基本規程には、制度運営機関は登録組織のセキュリティの有効性やインシデントについて責任を負わないという免責規定があります。★は「対策の実施状況を確認したしるし」であり、「攻撃を受けない保証」ではありません。
 

●評価者側には秘密保持義務がある──確認・評価・技術検証に関わる者は、知り得た情報を制度の目的の範囲内でのみ扱い、役務終了後も秘密保持義務が続きます。自社のシステム構成や弱点を評価者に開示することへの不安に対して、規程上の根拠をもって説明できます。

 

 

 

５．販売店・ITベンダーが押さえるべきポイント──「支援する側」と「評価する側」の線引き

---

販売店にとって最も重要なのは、基本規程が「利益相反の回避」を制度の基本原則として掲げた点です。規程には、評価や登録の結果に影響を及ぼす利益を得ること、評価対象となるIT基盤の運用を行うこと、登録希望組織への個別支援（一般的な情報提供を除く）を、制度運営に携わる者に禁じる条項が置かれ、SCSセキュリティ専門家にも「利益相反を回避し、事実に基づき誠実に業務を遂行する」義務が課されています。

さらに8月20日の第2回指定委員会では、評価機関等の指定基準における利益相反を「資本関係・財務的利害・役務提供」の観点で整理し、「報酬を伴う役務提供（構築支援等）」が財務的利害に含まれることを明示する方針が示されました。

 

【この規定が意味すること】 ・お客様のセキュリティ構築を有償で支援した事業者が、同じお客様の★3確認や★4評価を担うことは、制度上想定されていない ・「支援（ツール導入・規程整備・お助け隊サービス）」と「評価（専門家確認・第三者評価）」は、別の主体が担う前提で制度が設計されている ・販売店の主戦場は「支援側」。専門家確認は、自社と利害関係のない独立したSCSセキュリティ専門家に依頼する流れを、今から業務フローに組み込んでおく必要がある

これは販売店にとってマイナスの話ではありません。むしろ「支援側」の役割が制度上明確に切り出されたことで、お助け隊サービス（新類型）を含む★取得支援サービスの位置づけがはっきりしました。「私たちが対策を整え、独立した専門家が確認する。だからお客様の★には信頼性がある」という説明は、お客様にも発注元企業にも伝わりやすい構図です。

なお、基本規程で扱われる区分は★3・★4（★5は別途定める予定）です。★3の要求事項26件・★4の43件という枠組みはそのまま維持されています。
 

６．今後のスケジュールと、いまやるべきこと

---

規程公開を起点に、制度は運用開始に向けて一気に動きます。8月31日時点で公表されているスケジュールを整理します。

 

時期	動き
2026年8月28日	制度規程7本を公開・施行
2026年9月14日	評価機関・技術検証事業者・研修事業者向けオンライン説明会（申込期限9月9日）
2026年9月中旬～10月下旬	評価機関等の第1回公募 申請受付
2026年10月（予定）	「★3・★4 自己評価等ガイド」「要求事項・評価基準 解説書」公開
2026年12月上旬～下旬	指定委員会で審議、評価機関等の指定結果を公表（12月末頃）
2027年1月頃	SCSセキュリティ専門家の公表開始（予定）
2026年度末頃～	制度の運用開始（予定）

販売店として9月中に着手したいこと
 

●基本規程（SCS-100）を一読し、21種類の文書体系の中で「どの文書がいつ出るか」を把握する
 

● ★3の登録フロー（自己評価→専門家確認→経営層の自己適合宣言→IPA申請）を、お客様向け説明資料に落とし込む
 

●「支援」と「評価」の分離を前提に、自社の役割と、連携するSCSセキュリティ専門家・評価機関の確保方針を決める
 

●10月公開予定の自己評価等ガイドを待って自己評価支援を本格化できるよう、★3の26要求事項と自社サービスの対応表を先に整えておく
 

●お客様への説明では「経営層の宣言」「毎年更新」「虚偽は取消し」の3点を必ず伝える

 

【関連リンク】 ・IPA SCS評価制度 制度規程・委員会：https://www.ipa.go.jp/security/scs/regulation-advisory-committeess.html ・基本規程（SCS-100）PDF： https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf ・IPA SCS評価制度 トップページ： https://www.ipa.go.jp/security/scs/ ・お問い合わせ：IPA セキュリティセンター リスクマネジメント部 セキュリティ制度グループ isec-scs@ipa.go.jp

 

石渡電気では、制度規程の内容をお客様の業務に落とし込むための解説を随時お届けします。 ★3取得に向けた社内体制づくり、専門家との連携方法など、お気軽にご相談ください。

 

本記事はIPA「SCS評価制度 制度規程・委員会」ページ（2026年8月28日更新）、基本規程（SCS-100）ほか制度規程7本、第2回指定委員会配付資料、およびIPA SCS評価制度メールニュース第2号をもとに、2026年8月31日時点の情報で作成しています。
規程は今後改定される可能性があります。最新情報はIPAサイトでご確認ください。

石渡電気が一緒に準備します

---

石渡電気では、販売店様がSCS評価制度に関する顧客対応力を早期に身につけられるよう、制度情報の提供・勉強会・製品提案サポートを継続的に行っていきます。

制度は動き始めています。「顧客から聞かれてから考える」では遅いかもしれません。今この時期に情報を蓄え、提案の準備を整えた販売店が、これからの競争で先行優位を得ることになります。

ご不明な点・ご相談は石渡電気までお気軽にお問い合わせください。
  ［第15回］評価機関・技術検証事業者・研修事業者の第1回公募が始動。9月14日に説明会、12月に指定へ──指定委員会の議論から読む「求められる事業者像」を読む ＞＞