RESOURCE

SCS評価制度の基本規程とは？★3・★4の登録・更新の流れ｜ハチマルヤ合同会社（808）

2026.10.13

「SCS評価制度の『基本規程』が出たらしい。でも17ページもあって、どこを読めばいいのか分からない」

SCS評価制度の対応を任された担当者の方の中には、こう感じている方も多いのではないでしょうか。2026年8月28日、SCS評価制度の基本的なルールを定めた「基本規程」が公開・施行されました。[※1] ★3・★4をどんな手順で登録し、どう更新していくのかが、この文書で初めて明文化されています。

この記事では、基本規程に書かれている内容を、ハチマルヤ合同会社（808）が条文の番号つきで整理します。「もう決まったこと」と「まだ決まっていないこと」を分けてお伝えするので、社内での説明や準備の計画づくりに使ってください。

SCS評価制度そのものの全体像を先に知りたい方は、以下の記事をご覧ください。

→ SCS評価制度とは？2027年から始まる新制度の全体像と対象企業

SCS評価制度の基本規程とは？2026年8月に何が決まったか

基本規程は、SCS評価制度に関わるすべての人が守るべき基本的なルールを定めた文書です。[※1] 制度の文書は「規程」「規則」「基準・ガイド」「手引・手順」の4階層で、基本規程はその最上位です（1.3.3〜1.3.6）。

制度を運営するのはIPA（情報処理推進機構）で、基本規程では「制度運営機関」と呼ばれています（2.1.3）。制度の方針を示し、運用を監督する「制度所管省庁」は、経済産業省と内閣官房国家サイバー統括室です（2.1.1）。

基本規程で決まった主なこと

基本規程に書かれている内容は、大きく分けて次の5つです。

★3・★4の登録の手順（3.1.1、3.2.1）
有効期間と更新の手順（3.1.2、3.2.2）
登録の取消し（3.1.3、3.2.3、6.3）
登録した組織や専門家の権利と責務（4章、5章）
費用の考え方や秘密保持などのルール（6章）

★1〜★5の評価レベルのうち、★3・★4・★5の3つが制度上の登録の区分です。★5の要求事項や手続きは、別途定めるとされています（1.2）。★1〜★5の体系については、以下の記事で詳しく解説しています。

→ SCS評価制度の★1〜★5とは？自社の現在地セルフチェック

要求事項・評価基準との違い

2026年4月に公開された「★3・★4 要求事項・評価基準」は、「何を満たせば登録できるか」を定めた文書です。[※2] ★3は26件、★4は43件の要求事項があります。

これに対して基本規程は、「どんな手順で登録し、どう更新するか」を定めた文書です。何を満たすかは要求事項・評価基準、どう手続きするかは基本規程、と役割が分かれていると考えると整理しやすくなります。

★3の登録の流れ｜専門家確認付き自己評価の5ステップ

★3は、「専門家確認付き自己評価」という仕組みで登録します。自社で評価したうえで、専門家に確認してもらう形です。基本規程では、次の5つのステップが定められています（3.1.1）。

自社で、★3の要求事項・評価基準にもとづいて自己評価を行う（必要に応じて、社内外の★3確認責任者の支援を受けられる）
社内外の★3確認責任者が、自己評価の内容が妥当かを確認し、確認した旨を署名で示す
自社で、自己適合宣言（要求事項をすべて満たしていると宣言すること）を行う
制度運営機関（IPA）に、★3の登録を申請する
制度運営機関が申請内容を確認し、不備がなければ登録組織台帳（登録した組織の一覧）に登録して公表する

ポイントは、評価の主体があくまで自社だという点です。専門家は評価を代行するのではなく、妥当性を確認し、助言する役割です。

★3確認責任者とは

★3確認責任者は、★3の要求事項・評価基準に適合しているかを確認する責任者です（1.3.7）。この役割を担えるのは、制度に登録された「SCSセキュリティ専門家」です（2.1.11）。

SCSセキュリティ専門家とは、セキュリティの力量を示す資格を持ち、指定された研修を受けて、制度運営機関に登録した人です（2.1.11）。資格や研修の具体的な要件は、別途定めるとされています。

注目したいのは、基本規程が「社内外の★3確認責任者」と書いている点です（3.1.1）。要件を満たして登録した人であれば、社内の人が★3確認責任者を務めることも想定されています。外部の専門家に頼むか、社内で育成するかは、各社が選べることになります。

ただし、研修を行う研修事業者の指定はこれからです。指定機関台帳への登録・公表は、2026年12月下旬の予定とされています。[※3] 専門家の確保が★3取得の最大のボトルネックになりやすい理由は、以下の記事で解説しています。

→ SCS評価制度★3の取得最短ルート｜ボトルネックは専門家確保

自己適合宣言は経営層が行う

ステップ3の「自己適合宣言」は、担当者ではなく経営層が行うものです。基本規程では、要求事項・評価基準の「すべて」に適合していることを、経営層が組織の責任において宣言することと定義されています（1.3.14）。

つまり★3の取得は、情報システム部門だけで完結する取り組みではありません。最後に経営層が宣言する以上、早い段階から経営層に状況を共有し、理解を得ておくことが欠かせません。経営層への説明の組み立て方は、以下の記事で解説しています。

→ SCS対応の予算が通らないときの考え方｜経営層への説明の組み立て方

★4の登録の流れ｜第三者評価の7ステップ

★4は、「第三者評価」という仕組みで登録します。評価機関（制度運営機関の指定を受けて評価を行う組織）の評価を受けるのが、★3との大きな違いです（3.2.1）。

自社で、★4の要求事項・評価基準にもとづいて自己評価を行う（必要に応じて、社内外のSCSセキュリティ専門家の支援を受けられる）
自社で、自己適合宣言を行う
評価機関に、自己適合宣言を含む自己評価の結果を提出し、第三者評価を依頼する
評価機関が、第三者評価を行う
評価機関が、適合・不適合の判断結果を評価報告書として自社に提供する
適合と認められたら、制度運営機関に★4の登録を申請する
制度運営機関が申請内容を確認し、問題がなければ登録組織台帳に登録して公開する

第三者評価の中身

第三者評価は、次の3つで構成されています（1.3.16〜1.3.18）。

文書確認：自社が作った自己評価の結果の文書を確認する
実地審査：ヒアリングや、文書・記録・機器の操作画面の目視などで確認する。実地だけでなく遠隔地からの実施も可能
技術検証：自社の機器やシステムに対して、技術的な手法で確認する

技術検証は、評価機関が自ら行う場合と、指定を受けた技術検証事業者に委託する場合があります（2.1.7）。

★3と★4の違い

基本規程で定められた★3と★4の違いを、表にまとめます。

項目	★3	★4
評価の仕組み	専門家確認付き自己評価	第三者評価
確認・評価する人	★3確認責任者（社内外）	評価機関
第三者評価の中身	なし	文書確認・実地審査・技術検証
要求事項の数	26件	43件（★3の26件を含む）
有効期間	1年	3年
有効期間中の手続き	1年ごとに更新	1年ごとに自己評価を評価機関へ提出

基本規程で決まった有効期間と更新｜取った後に毎年やること

基本規程では、★3・★4のどちらも、毎年、対策状況を確認し直す仕組みになっています。

★3の有効期間と更新

★3の有効期間は、登録完了の通知を受けた日から1年間です（3.1.2）。更新するときは、登録内容に変更があってもなくても、有効期間の満了日より前に手続きをします。

具体的には、要求事項を守れているかについて★3確認責任者の確認・助言を受けたうえで、自己評価の更新版を制度運営機関に提出します。満了日より前に提出していれば、更新の審査が終わるまでの間も、登録は有効なものとして扱われます。

★4の有効期間と更新

★4の有効期間は、登録完了の通知を受けた日から3年間です（3.2.2）。ただし、3年間何もしなくてよいわけではありません。有効期間中も1年ごとに自己評価を行い、その結果を評価機関に提出する必要があります。

また、前回の登録時に決めた適用範囲が変わった場合や、要求事項の達成に大きく影響する変更があった場合は、改めて評価機関の評価を受けます。そのうえで、結果を制度運営機関に提出しなければなりません。

更新は3年ごとです。第三者評価を受け直し、有効期間の満了日より前に、その結果を添えて更新を申請します。★3と同じく、満了日より前に提出していれば、審査中も登録は有効なものとして扱われます。

毎年の確認を負担にしないための日常の運用は、以下の記事で解説しています。

→ SCS評価制度、取得後はどう運用する？更新に備える進め方

費用・取消し・ロゴマーク｜実務で押さえておきたいルール

基本規程には、手続きのほかにも、実務で知っておきたいルールが定められています。

費用は2種類

基本規程では、登録にかかる費用として、次の2種類が示されています（6.5）。

制度運営機関に支払う費用：登録の申請に必要な申請料と、登録に必要な登録料
外部の専門家・評価機関に支払う費用：外部の★3確認責任者や評価機関に依頼する場合の費用

このうち登録料は、IPAが2026年9月18日に公表しています。[※5]

区分	2028年3月31日までの申請	2028年4月1日以降の申請
★3	10,000円（1年分）	20,000円（1年分）
★4	60,000円（3年分）	60,000円（3年分）

金額は税込で、どちらの料金になるかは申請日で決まります。[※5] 一方、申請料の金額は、本記事の執筆時点（2026年10月12日）ではまだ公表されていません。外部の★3確認責任者や評価機関への費用は、それぞれとの契約によって決まるとされています。

登録が取り消されるケース

虚偽の申請や情報の隠蔽などの不正が確認された場合、制度運営機関は登録を取り消すことができます（3.1.3）。取消しの前には、事実確認が行われ、必要に応じて弁明の機会が与えられます。

不正が疑われる場合は調査と改善の指示が行われ、改善が見られなければ取消しにつながります（6.3.1）。登録した組織には、宣言した内容を誠実に守り続ける責務があります（5.8）。

登録するとロゴマークを使える

登録した組織は、制度運営機関が定める条件に従って、登録組織であることを表明し、ロゴマークを使うことができます（4.1）。取引先に対して、自社の対策状況を示す手段になります。

IPAは個別の支援をしない

基本規程では、制度運営機関（IPA）を構成する人が、登録や更新に向けた個別の支援をしてはならないと定められています（6.2）。制度の一般的な情報提供は行われますが、自社の準備を個別に見てもらうことはできません。準備の進め方は、自社で考えるか、外部の専門家に相談する必要があります。

基本規程ではまだ決まっていないこと｜今後公表される文書

手続きの細部は、今後公表される文書で定められます。本記事の執筆時点（2026年10月12日）で、次のことはまだ公表されていません。

申請の具体的な方法：IPAのFAQでは、2026年10月頃に公開予定とされています[※4]
取得ガイド・要求事項の解説書：2026年10月頃に公表予定とされています[※4]
申請料の金額：登録料は公表済みですが、申請料はまだ公表されていません[※5]
SCSセキュリティ専門家の要件の詳細：基本規程では「別途定める」とされています。研修事業者の公表は2026年12月下旬、専門家の登録受付は2027年1月以降の予定です[※3][※5]
★5の要求事項・手続き：別途定めるとされています
★3から★4へ切り替える専用の手続き：基本規程には定められていません

基本規程では、今後出てくる文書として「登録申請の手引」「自己評価等ガイド」「要求事項・評価基準解説書」などが挙げられています（2.2）。いずれも一般に公開される予定です。

★3・★4の運用開始は、2027年3月頃の予定とされています。[※4]

今のうちに進めておきたいこと

細かい手続きが決まるのを待っていると、準備の時間が短くなります。決まったルールから逆算すると、今のうちに進められることは次の4つです。

1. 適用範囲のIT基盤を洗い出す

基本規程では、評価の対象となるIT基盤として、サーバ、パソコンなどの端末、クラウドサービス、ネットワーク機器が挙げられています（1.3.26）。親会社が提供するグループ共通のネットワークなど、他社と責任を分け合っているものも含まれます。まずは、自社が使っているIT資産を一覧にしておきましょう。

2. ★3確認責任者を社内で立てるか、外部に頼むかを考える

★3確認責任者は社内外のどちらでもよいとされています。社内で立てる場合は、資格と研修の要件を満たして登録する必要があります。研修事業者の公表は2026年12月下旬、専門家の登録受付は2027年1月以降の予定です。[※3][※5] 社内育成を考えるなら、候補者を今のうちに決めておくと動きやすくなります。

3. 経営層に状況を共有する

自己適合宣言は経営層が行います。取得の目標時期や必要な体制について、早めに経営層と認識をそろえておきましょう。

4. 要求事項にもとづく自己評価に着手する

自己評価は、★3・★4のどちらでも最初のステップです。★3の26件の要求事項について、自社の現状確認から始められます。

→ SCS評価制度★3の要求事項26件を全解説｜優先順位と進め方

→ SCS評価制度★3の自社診断チェックリスト26項目

まとめ

SCS評価制度の基本規程は2026年8月28日に施行された、制度の最上位の文書。登録・更新の手順、取消し、費用の考え方などを定めている
★3は「専門家確認付き自己評価」の5ステップ。★3確認責任者は社内外のどちらでもよく、自己適合宣言は経営層が行う
★4は「第三者評価」の7ステップ。評価機関が文書確認・実地審査・技術検証を行う
有効期間は★3が1年、★4が3年。どちらも毎年、対策状況を確認し直す仕組みになっている
登録料は公表済み（★3は1万円、★4は6万円。2028年3月31日までの申請）。申請方法・解説書・申請料の金額などは、まだ公表されていない（申請方法と解説書は2026年10月頃の予定）

よくある質問（FAQ）

Q1：★3確認責任者は社内の人でもよいですか？

基本規程では「社内外の★3確認責任者」とされており、社内の人が務めることも想定されています。ただし、★3確認責任者を務められるのは、資格と研修の要件を満たし、制度に登録したSCSセキュリティ専門家です。要件の詳細は今後公表され、専門家の登録受付は2027年1月以降の予定です。

Q2：有効期間はいつから数えますか？期限が切れそうなときはどうなりますか？

有効期間は、登録完了の通知を受けた日から数えます。★3は1年、★4は3年です。更新の手続きを有効期間の満了日より前に済ませていれば、更新の審査が終わるまでの間も登録は有効なものとして扱われます。満了日を意識して、余裕をもって準備を始めることが大切です。

Q3：申請料・登録料はいくらですか？

登録料は、IPAが2026年9月18日に公表しています。2028年3月31日までの申請なら、★3は1万円（1年分）、★4は6万円（3年分）です（税込）。2028年4月1日以降は、★3が2万円になります。申請料の金額は、本記事の執筆時点ではまだ公表されていません。外部の専門家や評価機関への費用は、それぞれとの契約で決まります。

★3確認責任者を社内で立てるか外部に頼むかの検討や、自己評価の進め方からご相談いただけます。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。「何から始めればいいかわからない」という段階からご相談を受け付けています。まずはお気軽に無料相談をご利用ください。 → 無料相談はこちら

参考資料・出典

※1 SCS評価制度制度運営機関「SCS-100 基本規程」（2026年8月28日施行、2026-10-05確認）。本文中の（3.1.1）などの番号は、基本規程の条項番号です https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf

※2 IPA「★3・★4 要求事項・評価基準」（2026年4月21日公開） https://www.ipa.go.jp/security/scs/requirements-criteria.html

※3 IPA「評価機関、技術検証事業者、研修事業者の指定申請」（2026-10-05確認） https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html

※4 IPA「SCS評価制度よくある質問」（2026-10-05確認） https://www.ipa.go.jp/security/scs/faq.html

※5 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf