SCS評価制度は義務？取らないとどうなるか：取引の条件になる場合と、まだ取れない期間の対応

法律や制度で、取得が義務になっているのか

なっていません。経済産業省のFAQ（2026年3月27日更新）は、SCS評価制度を「任意の制度」とし、「★の取得は委託元（または委託先）との取引契約において決められるもの」「本制度として何らかの規制を課すものではありません」と答えています。

経済産業省と内閣官房国家サイバー統括室は2026年4月27日、この制度を引き合いにした次のような営業が報告されているとして、注意を呼びかけました。

• 「評価を取得していないと商取引が規制される」
• 「今すぐ評価を取得しないと入札から除外される」

注意喚起では、こうした営業は制度の趣旨と異なり、評価基準を満たすために特定のセキュリティ製品の導入は必須ではないとしています。

取らないと、取引を打ち切られるのか

制度そのものは取引を止めません。取引にどう影響するかは、取引先との契約次第です。

経済産業省のFAQは、★の取得を契約上どんな要件として扱うかは「契約当事者同士で円満に合意されるべきもの」で、独占禁止法と取適法（旧下請法）に照らして適切に使うことが求められるとしています。経済産業省と公正取引委員会は、取引先に対策を求めるときの「問題とならない」想定事例を公表し、次の点を解説しています。

• 制度に基づく対策の要請は、合理的な範囲を超えた負担を課すものではないこと
• セキュリティ対策の費用は、物件費や人件費などの間接経費として計上されること
• 対策の費用は価格交渉の対象になり、発注者は交渉に応じること。交渉の結果は書面で残すこと
• 要請していない別の発注者と価格交渉するときは、取引かけこみ寺などの支援機関に相談できること

発注者は、どんなときに★を求めるのか

制度は、発注者が取引先ごとに必要な段階（★）を示し、対策の実施を促し、実施状況を確かめる使い方を想定しています。段階の割り当て方の例として、制度構築方針は次の考え方を示しています。

もう一つのきっかけは、発注者自身が★4を取る場合です。★4の要求事項2-1-3は、自社の機密情報を共有する・事業継続上重要・自社システムにアクセスできる取引先の対策状況を、年1回以上把握することを求めています。把握の方法の例は、★の取得状況の回答を受け取る、IPAのWebサイトで確かめる、訪問して点検する、チェックシートに回答してもらう、です。

公共の入札の条件になるのか

現時点では決まっていません。経済産業省のFAQは、政府機関や重要インフラ事業者などの調達で使うかどうかは「今後検討」としています。

まだ★を取れない間は、どう応えるか

申請受付は2027年3月からの予定で、制度が始まる時点で★を持つ企業はいません（経済産業省FAQ、IPA運営審議委員会 2026年9月11日）。それまでに求められた場合、資料に根拠があるのは次の3つです。

どれで足りるかは発注者が決めることなので、求められた段階・期限・代わりの方法で足りるかを、発注者に確認します。

取った後、取り続けなければならないのか

★3の有効期間は1年、★4は3年です。★3は毎年、SCSセキュリティ専門家の確認を受けた自己評価を出し直し、★4は毎年の自己評価を評価機関へ提出し、3年ごとに第三者評価を受けます。経済産業省のFAQは、取引期間が1年を超える場合、たとえば契約の満了まで必要な★を維持し続けることを求める運用が考えられるとしています。

自己評価に虚偽などの不正があった場合は、★の一時停止や取消しを受けることがあります。

一部の基準を満たせないと、取引停止になるのか

★の取得には、原則としてすべての評価基準への適合が必要です。ただし、経済産業省のFAQは、すべてを満たさないと制度開始後すぐ取引停止になるのかという質問に対し、扱いは契約当事者同士で合意するものとしたうえで、★の有無のほかに、要求事項・評価基準を共通のチェックリストとして使い、必要な基準を満たしているかを確かめる使い方もあると答えています。