「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました

1．サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）について

制度検討の背景

近年、取引先に影響を与えるようなサイバー攻撃事案が頻発しており、サプライチェーン全体でのサイバーセキュリティ対策の強化が求められています。
そうした中、取引先のセキュリティ対策状況を外部から判断することが難しいといった発注元企業側の課題や、複数の取引先から様々な対策を要求されるといった委託先企業側の課題が生じています。
こうした課題に対応するため、経済産業省及び内閣官房国家サイバー統括室では、サプライチェーンにおける重要性を踏まえた上で満たすべき各企業の対策を提示しつつ、その対策状況を可視化する仕組み（「サプライチェーン強化に向けたセキュリティ対策評価制度」）の検討を進めるべく、産業サイバーセキュリティ研究会ワーキンググループ1サプライチェーン強化に向けたセキュリティ対策評価制度に関するサブワーキンググループにおいて、制度の目的や位置付け、要求項目・評価基準の内容、制度の普及のために必要な施策等について有識者・産業界とも継続して議論を進め、本年4月に本制度構築に向けた「中間取りまとめ」を公表しました。
中間取りまとめの公表以降、本制度の実証事業に取り組んできた結果を踏まえ、今般、制度の運用体制案、制度で用いるセキュリティ要求事項・評価基準、制度における評価スキームなどを盛り込んだ「制度構築方針（案）」を取りまとめ、意見公募を開始しました。

制度の趣旨

本制度では、サプライチェーンにおけるリスクを対象にした上で、各企業の立ち位置に応じて必要なセキュリティ対策を提示するため、複数のセキュリティ対策の段階★を設けています。こうした段階を設けることにより、特に、限られたリソースの中で自社のリスクを踏まえてセキュリティ対策を行うことが困難な中小企業を中心に、サプライチェーンに属するすべての企業が、容易かつ適切に必要なセキュリティ対策を決定できるようになることが期待されます。
本制度の活用促進を通じて、取引先へのサイバー攻撃を起因とした不正侵入等のリスクや製品・サービスの提供が途絶えるリスクの軽減を図り、サプライチェーン全体のセキュリティ対策水準を向上させることが、本制度の目的です^※。
具体的には、2社間の取引契約等において、発注元企業が、委託先企業側に適切な段階★を提示し、示された対策を促すとともに実施状況を確認することを想定しています。

本制度において設けるセキュリティ対策の段階

本制度では、以下の3つのセキュリティ対策の段階（★）を設けることを予定しています。

• ★3：全てのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的なシステム防御策と体制整備を中心に実施する段階（専門家確認付き自己評価^※1）
• ★4：サプライチェーン企業等が標準的に目指すべきセキュリティ対策として、組織ガバナンス・取引先管理、システム防御・検知及びインシデント対応等包括的な対策を実施する段階（第三者評価^※2）
• ★5：サプライチェーン企業等が到達点として目指すべき対策として、国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上で、システムに対しては現時点でのベストプラクティスに基づく対策を実施する段階（第三者評価^※2（令和8年度以降、対策基準や評価スキームの具体化の検討を予定しています））

（注）上位の段階はそれ以下の段階で求められる事項を包括するため、例えば、★3を事前に取得していなければ★4を取得できないという関係とはなりません。

今後の予定

3段階の水準のうち、★3及び★4について、令和8年度末の制度開始を目指し、制度運営基盤の整備や制度の導入促進等を進めていきます。
★5については、令和8年度以降、対策基準や評価スキームの具体化の検討を進めていきます。

2．サプライチェーン強化に向けたセキュリティ対策評価制度を活用する中小企業向け支援策について

（1）サプライチェーン強化に向けたセキュリティ対策評価制度を活用する中小企業向け「サイバーセキュリティお助け隊サービス」（新類型）の創設について

サプライチェーン強化に向けたセキュリティ対策評価制度の制度開始に向けて、経済産業省及び独立行政法人情報処理推進機構（IPA）は、中小企業が同制度の★3及び★4を安価かつ簡便に取得できるよう、新たな支援策として「サイバーセキュリティお助け隊サービス」（新類型）を創設する予定です。

経済産業省及びIPAでは、今後、「サイバーセキュリティお助け隊サービス」（新類型）の創設に向けた具体的な検討を進める予定ですが、現時点で以下のサービス内容を想定しています。

• STEP1として、サービス提供に当たって、サプライチェーン強化に向けたセキュリティ対策評価制度の★3又は★4の取得時及び更新時に、中小企業のセキュリティ対策状況を評価する。
• STEP2として、同制度★3又は★4の要求事項のうち未達成の項目について、ITツールの導入や人的支援によって、その達成を支援する。
• 上記のサービスについて、一定の価格要件等を満たすものを、国が「サイバーセキュリティお助け隊サービス」（新類型）として認定する。

経済産業省及びIPAでは、令和8年春頃から、「サイバーセキュリティお助け隊サービス」（新類型）の制度設計を行うための実証事業を開始する予定です。この実証事業では、サービス提供事業者と連携して、実際に中小企業に対してサプライチェーン強化に向けたセキュリティ対策評価制度★3又は★4取得のためのサービスを試行的に提供します。その活用状況や結果を踏まえて、中小企業にとって導入しやすいサービスであること等を担保するための品質要件や価格要件などについて検討を行います。
詳細については、今後、下記関連リンク中「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）を活用する中小企業向け支援策について」において順次情報を掲載します。

（2）取引関係のある企業間においてセキュリティ対策の要請を行う際の関係法令の整理について

発注者側である大企業が取引先である中小企業等に対してサイバーセキュリティ対策の実施要請をするに当たって、一定のサイバーセキュリティ対策を実施していることを取引の条件とすること等について、独占禁止法や取適法の適用関係を明確にするため、経済産業省及び公正取引委員会では、令和4年10月に、「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」を公表し、一定の考え方を示しています。
今般、経済産業省及び公正取引委員会では、「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」を補足することを目的に、独占禁止法や取適法との関係を整理し、「問題とならない」ケースを想定した事例と、想定事例の内容を補足するための解説文書も作成しました。
具体的には、発注者側が取引先に対し、サプライチェーン強化に向けたセキュリティ対策評価制度に基づく対策の要請を行うケースを想定し、発注者側・相手方がパートナーシップを構築してセキュリティ対策と価格交渉を実施し、円満に合意するに至るための想定事例及び解説としています。
今後、本文書について、経済団体や中小企業支援機関等に協力いただきつつ、発注者側・取引先のそれぞれの企業に対して、普及展開を進めていく予定です。

3．サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）に対する意見募集の概要

意見募集の対象

• サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）
• 別添★3・★4要求事項案及び評価基準案

資料入手方法

• 電子政府の総合窓口「e-Gov」における掲載

意見募集期間

• 令和7年12月26日（金曜日）から令和8年1月24日（土曜日）必着（日本時間）

意見提出先・提出方法

電子政府の総合窓口「e-Gov」から本件の意見提出フォーム^※に進み、日本語又は英語で記入の上、ご提出ください。

その他

皆様からいただいた意見については、最終的な決定における参考とさせていただきます。なお、いただいた意見についての個別の回答はいたしかねますので、あらかじめ、その旨を御了承ください。

提出いただきました意見については、氏名（法人又は団体の場合は名称）、住所、電話番号及びメールアドレスを除き、すべて公開される可能性があることを、あらかじめ御承知おきください。ただし、意見中に、個人に関する情報であって特定の個人を識別しうる記述がある場合及び個人・法人等の財産権等を害するおそれがあると判断される場合には、公表の際に当該箇所を伏せさせていただきます。

意見に附記された氏名、連絡先等の個人情報については、適正に管理し、意見の内容に不明な点があった場合等の連絡・確認といった、本案に対する意見公募に関する業務にのみ利用させていただきます。

関連資料

• 意見公募要領（PDF形式：141KB）
• サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）概要（PDF形式：618KB）
• サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）（PDF形式：2,547KB）
• 別添★3・★4要求事項案及び評価基準案
• サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップ構築促進に向けた想定事例及び解説（概要）（PDF形式：240KB）
• サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップ構築促進に向けた想定事例及び解説（本体）（PDF形式：433KB）

関連リンク

• ワーキンググループ1（サプライチェーン強化に向けたセキュリティ対策評価制度に関するサブワーキンググループ）
• サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）を活用する中小企業向け支援策について

担当

商務情報政策局 サイバーセキュリティ課長 武尾
担当者：橋本、緑川、大久保
電話：03-3501-1511（内線 3964）
メール：bzl-cyber-madoguchi★meti.go.jp
※［★］を［@］に置き換えてください。
※ 原則、メールでお問合せください。