取引先から「★はいくつ？」と聞かれたら｜今の段階での答え方と回答文例｜ハチマルヤ合同会社（808）

「御社は、SCS評価制度の★はいくつをお持ちですか？」

取引先からこのような問い合わせを受けて、返事に困っている方もいるのではないでしょうか。SCS評価制度は、★3・★4の受付がまだ始まっていない新しい制度です。そのため「何と答えればよいのか」「正直に答えて取引に影響しないか」と迷うのは自然なことです。

この記事では、今の段階で言えること・言えないことを公表資料をもとに整理し、状況別の回答文例を紹介します。情報はすべて本記事の執筆時点（2026年10月21日）のものです。

SCS評価制度そのものの全体像を先に知りたい方は、以下の記事をご覧ください。

→ SCS評価制度とは？2027年から始まる新制度の全体像と対象企業

---

取引先が「★はいくつ？」と聞く理由

SCS評価制度は、企業のセキュリティ対策の状況を★（段階）で示す制度です。経済産業省と内閣官房は、この制度を次のように説明しています。[※1]

２社間の取引契約等において、発注者が受注者に適切なサイバーセキュリティ対策の段階(★)を提示し、受注者に示された対策の実施を促すとともに、両者で実施状況を確認することを想定した任意の制度

つまり、発注する側が取引先に「この★の対策をしてほしい」と示し、両者で確認していくことが想定されています。制度の基本規程でも、登録の狙いの1つとして、発注しようとする側が、相手の対策の状況を確認しやすくすることが挙げられています。[※2]

取引先から★について聞かれるのは、こうした制度の使い方を見据えた動きです。ただし、聞かれたからといって「すぐに★を取ってほしい」という意味とは限りません。受付が始まっていない今は、発注する側もまだ情報を集めている段階だったり、自社の取引先の状況を把握したいだけだったりする可能性があります。まずは落ち着いて、相手が何を知りたいのかを確かめることから始めましょう。

---

今の段階で言えること・言えないこと

返事を書く前に、今の時点で事実として言えることと、言えないことを整理しておきましょう。

言えること｜★3・★4を取得した会社はまだない

★3・★4を登録したい企業の受付は、2027年3月以降に始まる予定です。[※3] つまり執筆時点では、★3・★4を登録している会社は1社もありません。

「まだ★3・★4を取得していない」と答えても、それだけで他社より遅れていることにはなりません。取引先が聞いているほかの会社も、同じ状況です。

なお、中小企業の自己宣言制度「SECURITY ACTION」の一つ星・二つ星を宣言している場合は、その旨を書き添えると、セキュリティ対策に取り組む姿勢が伝わります。[※7]

言えないこと｜「★3です」

制度の基本規程では、IPAの台帳に登録され、公開された組織を「登録組織」と定めています。[※2] IPAの定める条件に従って、自らを登録組織として表明し、ロゴマークを使えるのは、この登録組織です。

そのため、登録前の段階で「当社は★3です」「★3を取得済みです」と答えることはできません。

避けたい表現｜「ほぼ★3」「★3相当」

IPAは、★3・★4を取得するには、定められたすべての要求事項・評価基準を満たす必要があるとしています。[※4] 一部を満たしていても、★3を満たしたことにはなりません。

「★3相当」という表現そのものを禁じる規定は、公表資料には見当たりません。ただ、取引先が「★3と同じ水準にある」と受け取り、あとで認識の違いが生まれるおそれがあります。808としては、「現時点の自社の確認では、★3の要求事項26件のうち◯件に対応済み」のように、事実をそのまま伝えることをおすすめします。

表現	おすすめ度	理由
「受付開始前のため、★3・★4はまだ取得していません」	◎	事実どおり
「★3の取得に向けて準備を進めています」	◎	準備の事実があれば、そのまま伝えられる
「現時点の自社の確認では、★3の要求事項26件のうち◯件に対応済みです」	◎	進み具合が具体的に伝わる
「★3相当です」「ほぼ★3です」	△	★3と同じ水準と受け取られるおそれがある
「★3です」「★3を取得済みです」	×	登録前は名乗れない

---

答える前に確認しておきたい3つのこと

取引先への返事を書く前に、次の3つを確かめておくと、的外れな答えを避けられます。わからないことは、取引先の担当者に聞き返して問題ありません。

① 求められているのは★3か★4か

★3と★4では、取得までの手間が大きく異なります。★3はセキュリティ専門家の確認を受けたうえでの自己評価、★4は評価機関による第三者評価です。[※5] どちらを求められているかで、必要な準備も期間も変わります。

なお、★3を持っていなければ★4を取れない、という関係ではありません。[※5] ★4を求められた場合に、★3から順に取る必要はありません。

② いつまでに必要か

取引の契約更新、新しい案件の発注、入札など、取引先が★を求める時期には理由があるはずです。期限がある場合は、その時期と、期限の理由を確かめておきましょう。

期限によっては、準備が間に合わない可能性もあります。早めにわかれば、取引先と相談しながら計画を立てられます。

③ どの範囲で必要か

★の登録は、登録する組織が決めた「適用範囲」のIT基盤などについて行います。[※2] 適用範囲の決め方について、現時点の公表資料には詳しい定めが見当たりません。登録の基本的な要件や登録までの流れは、IPAが今後公開する「★3・★4 登録申請の手引」で定められます。[※2]

それでも、取引先が全社を想定しているのか、その取引に関わる部門やシステムを想定しているのかを確かめておくと、手引が公表されたときに計画を立てやすくなります。

あわせて決めておきたい｜社内の回答窓口

取引先からの問い合わせは、営業担当、情報システム担当、経営層など、さまざまな窓口に届きます。窓口ごとに答え方がばらばらだと、取引先に「どれが正しい情報なのか」と思わせてしまいます。

最初の問い合わせを受けた段階で、社内で回答の窓口を1つに決め、答える内容をそろえておきましょう。複数の取引先から聞かれるようになったときも、同じ内容で答えられます。

---

状況別の回答文例

ここからは、よくある4つの状況ごとに回答文例を紹介します。自社の状況に合わせて、言葉を調整してお使いください。

文例① 準備を始めている場合

SCS評価制度についてお問い合わせいただき、ありがとうございます。 ★3・★4の登録受付は2027年3月以降に始まる予定のため、当社はまだ★3・★4を取得していません。 現在、★3の取得に向けて準備を進めており、現時点の自社の確認では、要求事項26件のうち◯件に対応済みです。 2027年◯月の登録申請を目標にしています。進み具合は、あらためてご報告いたします。

この文例のポイント：「まだ取得していない」という事実と、準備の進み具合をセットで伝えます。対応済みの件数は、IPAが公表予定の取得ガイドや、専門家の確認によって変わる可能性があるため、自社の確認であることを明記します。[※4][※5] 目標時期を書く場合は、社内で実現できる見通しを立ててからにしましょう。

文例② まだ何も始めていない場合

SCS評価制度についてお問い合わせいただき、ありがとうございます。 ★3・★4の登録受付は2027年3月以降に始まる予定のため、当社はまだ★3・★4を取得していません。 現在、取得に向けた進め方を社内で検討しています。 差し支えなければ、御社で求める★（★3・★4）と時期のご予定をお聞かせいただけますでしょうか。 計画を立てるうえで参考にさせていただきます。

この文例のポイント：何も始めていなくても、無理に「準備中」と書く必要はありません。取引先の希望を聞き返すことで、次の行動を決める材料が得られます。

文例③ ★4を求められた場合

SCS評価制度についてお問い合わせいただき、ありがとうございます。 ★4は、評価機関による第三者評価を受けて登録する段階です。 評価機関の公表は2026年12月下旬、登録受付は2027年3月以降の予定のため、当社はまだ★4を取得していません。 御社との取引で★4が必要となる範囲と時期をお聞かせいただけますでしょうか。 範囲と時期を踏まえて、取得の計画を検討いたします。

この文例のポイント：★4は★3より準備の量が多く、評価機関に評価を依頼する必要があります。[※5]範囲によって負担が変わる可能性があるため、範囲の確認を入れます。評価機関の公表時期は、IPAの指定申請のページで案内されています。[※6]

文例④ 期限を示されて求められた場合

SCS評価制度についてご連絡いただき、ありがとうございます。 ◯年◯月までに★3の登録が必要とのご連絡、拝受いたしました。 当社では現在、要求事項への対応状況を確認しており、◯月までに取得計画をお示しします。 計画を作る中で、期限までの対応が難しい項目が見つかった場合は、早めにご相談させてください。

この文例のポイント：期限を受け入れたと読まれないよう、「拝受いたしました」と受け取ったことだけを伝え、計画を示す時期を約束します。示された期限が★3・★4の受付開始予定（2027年3月以降）より前の場合は、受付開始時期をお伝えし、期限の扱いを相談しましょう。[※3]できるかどうかわからない段階で「間に合います」と答えるのは避けましょう。間に合わない可能性がある場合に、早めに相談すると伝えておくことが、取引先との信頼につながります。

---

回答のあとにやること

返事を送ったら、次の3つを進めましょう。取引先に伝えた内容を、実際の行動で裏付けることが大切です。

① 26件の要求事項で現状を確認する

★3には26件の要求事項があります。自社がどこまで対応できているかを1件ずつ確認すると、「◯件に対応済み」と具体的に伝えられるようになります。26件の中身は、以下の記事で解説しています。

→ SCS評価制度★3の要求事項26件を全解説｜優先順位と進め方

② 取得計画を立てて取引先に共有する

現状がわかったら、いつまでに何をするかの計画を立てます。計画を取引先に共有しておくと、「取り組んでいる会社」として安心してもらいやすくなります。月ごとの進め方は、以下の記事で解説しています。

→ [SCS評価制度★3の取得スケジュール｜今から始める月別計画]（近日公開予定）

③ 進み具合を定期的に伝える

一度答えて終わりにせず、四半期に1回など、区切りのよい時期に進み具合を伝えましょう。伝える内容は、対応済みの要求事項の件数、計画からの遅れの有無、次の区切りまでにやることの3点で十分です。

計画どおりに進まないこともあります。遅れが出たときほど、早めに伝えることが大切です。理由と見直した計画を一緒に示せば、取引先も自社の予定を立て直せます。登録が済んだあとは、取引先がIPAの台帳で登録を確認できるようになります。[※2]

---

一人で抱え込まないために｜相談先と支援策

取引先から聞かれたことをきっかけに、社内の担当者が1人で対応を任されることもあります。次のような支援策や情報も活用しましょう。

中小企業であれば、SCS評価制度の★取得を支援する「サイバーセキュリティお助け隊サービス（新類型）」の実証事業に参加できる可能性があります。条件や事業者の違いは、以下の記事で整理しています。

→ SCS評価制度とお助け隊サービス（新類型）とは？｜参加条件と選び方

★3の取得には、セキュリティ専門家の確認が必要です。専門家の確保で困りやすい点は、以下の記事で解説しています。

→ SCS評価制度★3の取得最短ルート｜ボトルネックは専門家確保

また、取引先から聞かれたことをきっかけに、「今すぐ取らないと取引できなくなる」といった営業を受けることもあります。国も注意を呼びかけているため、以下の記事もあわせてご覧ください。

→ 「SCSを取らないと取引停止」は本当？国の注意喚起と確認ポイント

---

まとめ

• SCS評価制度は、発注者が受注者に★を示し、両者で対策の状況を確認することを想定した制度
• ★3・★4の受付は2027年3月以降の予定で、今はどの会社も★3・★4を取得していない。「まだ取得していない」と答えてよい
• IPAの台帳に登録・公開された組織だけが、IPAの定める条件に従って登録組織と表明し、ロゴマークを使える。「★3相当」などの表現は誤解を招くおそれがある
• 答える前に、求められている★、時期、範囲の3つを確認する
• 回答のあとは、現状の確認、計画の共有、進み具合の報告を続ける

---

よくある質問（FAQ）

Q1：「★3相当」と答えてもよいですか？

「★3相当」という表現を禁じる規定は、公表資料には見当たりません。ただし★3・★4の取得にはすべての要求事項を満たす必要があるため、取引先が「★3と同じ水準」と受け取ると、あとで認識の違いが生まれるおそれがあります。対応済みの件数など、事実をそのまま伝える方法をおすすめします。

Q2：取引先から調査票（チェックシート）で聞かれた場合も、同じ答え方でよいですか？

基本の考え方は同じです。★3・★4の欄には「受付開始前のため未取得」と事実を書き、準備の状況を記入できる欄があれば具体的に書きましょう。回答の選択肢が「取得済み・未取得」しかない場合は、未取得を選び、備考欄などで準備状況を補足するとよいでしょう。SECURITY ACTIONを宣言済みであれば、備考欄に書き添えておきましょう。

Q3：★を取らないと取引を打ち切られることはありますか？

SCS評価制度そのものは、個社間の取引を規制するものではありません。[※1] ただし、取引先が契約の条件として★を求めることはありえます。取引先が求める★と時期を早めに確認し、間に合わない場合は計画を示して相談することが大切です。

---

取引先への回答内容の整理や、要求事項26件の現状確認からご相談いただけます。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。 「何から始めればいいかわからない」という段階からご相談を受け付けています。

まずはお気軽に無料相談をご利用ください。 → 無料相談はこちら

---

参考資料・出典

※1 経済産業省 商務情報政策局サイバーセキュリティ課・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください」（令和8年4月27日） https://www.cyber.go.jp/pdf/news/press/20260427_supply-chain-security.pdf

※2 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度 基本規程（SCS-100）」（2026年8月28日施行） https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf

※3 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf

※4 IPA「SCS評価制度 よくある質問」（2026-10-21確認） https://www.ipa.go.jp/security/scs/faq.html

※5 IPA「SCS評価制度の詳細情報」（2026-10-21確認） https://www.ipa.go.jp/security/scs/details.html

※6 IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」（2026-10-21確認） https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html

※7 IPA「SECURITY ACTION セキュリティ対策自己宣言」（2026-10-21確認） https://www.ipa.go.jp/security/security-action/

---