RESOURCE

SCS評価制度にSBOMの要求事項はない。それでも整備すべき理由｜ハチマルヤ合同会社（808）

2026.07.28

「SCS評価制度の対応でSBOMを整備しないといけないと聞いたのですが、本当ですか？」

こうした相談をいただくことがあります。SCS評価制度もSBOMも「サプライチェーンのセキュリティ」という文脈で語られるため、混同されやすい話題です。

結論から言うと、SCS評価制度の★3・★4の要求事項に、SBOMの整備を直接求める項目はありません。 IPAが公開している公式の要求事項一覧（★3が26件、★4が43件）を確認しても、「SBOM」「ソフトウェア部品表」という語は登場しません。[※1]

ただし、これは「SBOMは不要」という意味ではありません。SCS評価制度の中に関連する要求事項が存在しますし、EU CRA（サイバーレジリエンス法）や取引先からの要請では、SBOMそのものが必要になるケースがあります。

この記事では、ハチマルヤ合同会社（808）のコンサルタントが、公式資料をもとにSCS評価制度とSBOMの関係を正確に整理します。

公式の要求事項を確認する

IPAは2026年4月に、★3・★4の要求事項・評価基準を公式に公開しました。[※1] この一覧を確認すると、要求事項は7つの大分類で構成されています。

★4は★3の26件を含む累計43件という構成です。この43件すべてを確認しても、SBOMの整備・提出を直接求める要求事項は含まれていません。

ただし「関連する要求事項」は存在する

SBOMという言葉こそ使われていませんが、ソフトウェア管理に関わる要求事項は複数あります。SBOMを整備していると、これらへの対応が進めやすくなるという関係です。

リスクの特定：情報機器、OS及びソフトウェアに関する情報の把握（3-1-1）

★3の要求事項として、「情報機器、OS及びソフトウェアに関する情報を把握すること」が求められています。[※1]

これは自社が使用しているIT資産の把握を求めるもので、SBOMが対象とする「ソフトウェアの内部コンポーネント」よりも広い粒度の話です。ただし、ソフトウェア開発を行っている企業であれば、SBOMの整備がこの要求事項への対応材料の一部になり得ます。

攻撃等の防御：情報機器、OS及びソフトウェアの安全な構成（4-4-1）

同じく★3の要求事項で、「情報機器、OS及びソフトウェアの安全な構成を確立し、維持すること」が求められています。評価基準では、利用を許可していないソフトウェアの削除・無効化や、標準構成・設定ルールの策定などが挙げられています。[※1]

攻撃等の防御：セキュリティパッチ・アップデートの手続（4-4-4）

「情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること」という要求事項です。[※1]

脆弱性が公表された際に「自社のどの製品が影響を受けるか」を素早く特定するうえで、SBOMは有効な手段になります。ただし、SBOMがなければこの要求事項を満たせないわけではありません。

★4で追加される：脆弱性の管理体制（3-2-1）

★4では「脆弱性の管理体制、管理プロセスを定め、それに基づく管理を行うこと」が追加されます。[※1] 脆弱性管理を組織的に運用する段階になると、SBOMによるコンポーネント可視化の価値が高まります。

SBOMが本当に必要になる3つのケース

SCS評価制度の要求事項ではないとしても、次のようなケースではSBOMの整備が実質的に必要になります。

ケース①：EU市場向けに製品を出している

EU CRA（サイバーレジリエンス法）では、EU市場に投入するデジタル製品について、メーカーに機械可読形式のSBOMの作成と技術文書への保持が求められます。作成したSBOMは、市場監視当局から要求があった場合に提出できる状態にしておく必要があります。2027年12月の全面適用に向けた対応が必要です。[※2]

なお、CRAはSBOMの一般公開や顧客への提供までを義務づけているわけではありません。顧客へSBOMを提供するかどうかは、取引上の判断になります。

いずれにせよ、こちらは評価制度への任意の適合ではなく法規制であり、対応しなければEU市場での販売ができなくなります。SCS評価制度よりも優先度が高い企業も多いはずです。

ケース②：取引先からSBOMの提出を求められている

大手企業や政府調達に関わる取引において、契約要件としてSBOMの提出を求められるケースが増えています。SCS評価制度の要求事項とは別に、個別の商流の中で発生する要請です。

ケース③：脆弱性への対応速度を上げたい

Log4Shell（2021年）のような広範囲に影響する脆弱性が公表されたとき、「自社製品にその部品が含まれているか」を即座に判断できるかどうかで、初動対応の速度が大きく変わります。これは制度対応というより、自社のリスク管理の問題です。

SCS対応とSBOM整備、どう並行させるか

「SCS評価制度の取得も目指したいし、SBOMも整備したい」という企業は少なくありません。両者の優先順位をどう考えるべきかを整理します。

原則：SCS対応を優先し、SBOMは必要性に応じて判断する

SCS評価制度の★3取得を目標にしているなら、まず26件の要求事項への対応を優先してください。SBOMはこの26件に含まれないため、★3取得だけを考えるなら必須ではありません。

そのうえで、前述の3つのケース（EU市場・取引先要請・脆弱性対応の高速化）に当てはまるかを確認し、当てはまるなら並行して進める判断になります。

並行させる場合のポイント

SBOM整備で棚卸ししたソフトウェアの情報は、SCS評価制度の「情報機器、OS及びソフトウェアに関する情報の把握」（3-1-1）への対応材料としても活用できます。作業を分けて二重にやるのではなく、一度の棚卸しで両方に使える形にまとめておくと効率的です。

逆に、SCS対応のためだけにSBOMツールを導入しようとしているなら、いったん立ち止まって要否を検討することをおすすめします。ツール導入には予算と工数がかかるため、要求事項に含まれない対応にリソースを割く前に、26件の要求事項の充足状況を確認するほうが先です。

まとめ

SCS評価制度の★3（26件）・★4（43件）の要求事項に、SBOMを直接求める項目はない[※1]
ただし「ソフトウェアに関する情報の把握」「安全な構成」「セキュリティパッチの手続」など、関連する要求事項は存在する
SBOMが実質的に必要になるのは「EU市場向け製品がある」「取引先から要請されている」「脆弱性対応を高速化したい」の3ケース
★3取得だけを目指すなら、まず26件の要求事項への対応を優先する
並行させる場合は、棚卸し作業を共通化して二重作業を避ける
制度対応の判断は必ず公式の要求事項・評価基準を確認して行う

よくある質問（FAQ）

Q1：SCS評価制度の審査でSBOMの提出を求められることはありますか？

公式に公開されている★3・★4の要求事項・評価基準にSBOMの提出を求める項目は含まれていません。[※1] ただし、要求事項の解説書は2026年10月頃に公開予定とされており、運用の詳細はその内容もあわせて確認することをおすすめします。

Q2：EU CRAでは、顧客にSBOMを渡す義務があるのですか？

CRAが求めているのは、メーカーが機械可読形式のSBOMを作成し、技術文書として保持することです。作成したSBOMは市場監視当局から要求があった場合に提出できる状態にしておく必要がありますが、一般公開や顧客への提供までは義務づけられていません。[※2] ただし実務上は、取引先から調達要件としてSBOMの提出を求められるケースがあり、その場合は商流の中での対応が必要になります。

Q3：EU CRA対応でSBOMを整備済みですが、SCS対応に活用できますか？

活用できます。SBOMの整備過程で作成したソフトウェア資産の一覧は、SCS評価制度の「情報機器、OS及びソフトウェアに関する情報の把握」（3-1-1）への対応材料として使えます。ただし、SCS評価制度が求める把握の範囲はソフトウェアの内部コンポーネントに限らずIT資産全般に及ぶため、SBOMだけでは足りない部分があります。

Q4：自社は開発を外部委託していますが、委託先にSBOMを求めるべきでしょうか？

SCS評価制度の要求事項としては必須ではありません。ただし、SCS評価制度には「取引先管理」という大分類があり、★3では「取引先と自社とのビジネス又はシステム上の関係を把握すること」（2-1-1）などが求められます。[※1] 委託先が開発したシステムの構成を把握する手段のひとつとしてSBOMの提供を求めることは、この要求事項への対応としても有効です。

Q5：SBOM整備を後回しにして問題ありませんか？

SCS評価制度の★3取得のみが目的であれば、優先度は高くありません。ただし、EU市場向け製品を持つ企業や、取引先から提出を求められている企業は、その期限から逆算して計画を立てる必要があります。SBOM生成ツールの選定から本格運用まで1〜2ヶ月程度かかるケースが一般的なため、必要性がある場合は早めの着手をおすすめします。

ハチマルヤ合同会社（808）では、SCS評価制度への対応とSBOM導入支援の双方をサポートしています。「自社にSBOMが必要かどうか」の判断から、26件の要求事項のギャップ分析まで、ご相談を受け付けています。まずはお気軽に無料相談をご利用ください。