第4回は「いつ始まるのか」と「今から何をしておけばよいか」です。制度の開始時期とそこまでの流れを知り、取引先から求められて慌てる前に、できる準備を始めましょう。
■ 運用開始の時期――申請受付は2027年1〜3月頃
SCS評価制度の申請受付は、令和8年度末頃（2027年1〜3月頃）の開始が予定されています。まずは中小企業の主な対象となる★3・★4から運用が始まる見込みです。制度開始までの主な流れを整理すると、次のようになります。
| 時期 | 動き |
|---|---|
| 2026年3月 | 経済産業省・内閣官房が「制度構築方針」を公表。★3・★4の対策項目の骨子が固まる |
| 2026年度中 | IPAで制度の詳細設計が進む。チェックシートや評価手順などが順次公開予定 |
| 2026年8月頃〜 | 支援策「サイバーセキュリティお助け隊サービス（新類型）」の実証事業が開始。中小企業の参加受付もこの頃から開始予定 |
| 2027年1〜3月頃 | SCS評価制度の申請受付を開始（予定）。★3・★4が先行 |
「まだ先の話」と感じるかもしれませんが、対策は一朝一夕には整いません。★3で求められる要求事項は26項目。数としては決して多くありませんが、機器の棚卸しやルール作り、社内への浸透には数か月単位の時間がかかります。申請開始から逆算すると、”今から”が準備の適期です。
■ 早く動くほど有利な3つの理由
- 取引条件になる前に備えられる：発注側の大企業が取引先に★取得を求める動きは、制度開始後に本格化すると見られます。「来月までに★3を示してほしい」と言われてから動いても間に合いません。実際、IPAの調査では、サイバー攻撃の被害に遭った中小企業の約7割が「取引先にまで影響が及んだ」と回答しており、発注側が取引先の対策状況を気にする流れは今後ますます強まります。
- 対策そのものが自社を守る：★の取得は目的ではなく結果です。準備で進める更新・認証強化・バックアップなどの対策は、そのままランサムウェアや不正アクセスから自社を守る力になります。制度対応と自社防衛は同じ一本道です。
- 補助金・支援策を活用しやすい：早めに動けば、国の実証事業（後述）やIT導入補助金などの支援策を、締切に追われず計画的に使えます。
■ 今から始められる準備ステップ4つ
制度の細部（チェックシートの最終版など）を待たなくても、★3に共通して効いてくる準備は今すぐ着手できます。おすすめの順番は次の4ステップです。
- 現状の棚卸し：どんなPC・サーバ・ソフト・クラウドサービス・データがあり、誰がどう使っているかを一覧にします。台帳はExcelで十分です。会社が把握していないまま従業員が使っているサービス（いわゆる野良IT）もこの機会に洗い出しましょう。「守るべきものが何か」が分からないと、対策の優先順位は決められません。
- 基本方針を決める：経営者が「わが社はセキュリティにこう取り組む」という方針を定め、社内に示します。A4で1枚程度の宣言で構いません。これはIPAの「SECURITY ACTION」（★1・★2の自己宣言）にそのまま直結し、★3の土台にもなります。
- 当たり前の対策を固める：OS・ソフトの更新を最新に保つ、パスワードの使い回しをやめ多要素認証を入れる、重要データのバックアップを取り復元できるか試す――この”基本”の徹底が★3の中核です。特別な製品の導入より先に、まず足元を固めましょう。
- 相談先を持っておく：自社だけで抱え込まず、専門家や支援サービスに早めにつながっておきます。いざ制度が始まってから相談先を探すと、駆け込み需要で専門家の予約が取りにくくなることも想定されます。
■ 中小企業向けの支援策――「お助け隊サービス（新類型）」が始動
経済産業省とIPAは、中小企業の★3・★4取得を後押しするため、「サイバーセキュリティお助け隊サービス」（新類型）を創設します。★3・★4の要件のうち未達成の項目を、認定サービスの導入で埋められるようにする仕組みです。
2026年8月頃からは制度設計のための実証事業が始まり、参加する中小企業は、★取得に必要なセキュリティサービスを実証期間中（最大1年程度）無料で受けられる予定です。中小企業の参加受付は2026年8月頃から始まる見込みで、参加要件などの詳細は今後公表されます。専門人材が不足しがちな中小企業でも、外部の力を借りながら対策を進められるチャンスですので、最新情報をぜひチェックしてください。
■ よくある質問
Q1. 制度の詳細が固まってから動いたほうが無駄がないのでは？
A. 棚卸し・方針づくり・基本対策は、チェックシートの最終版がどうなっても必ず求められる土台です。ここに「待つ理由」はありません。細部が変わり得るのは書式や手続き面が中心です。
Q2. うちは従業員10名程度ですが、★3は現実的ですか？
A. ★3は専門家確認付きの自己評価で、要求事項は26項目です。外部審査が入る★4と違い、小規模企業でも十分手が届く水準として設計されています。だからこそ本シリーズは「まず★3」を目標にしています。
Q3. 費用はどのくらい見ておけばよいですか？
A. 審査費用等の公式な料金体系はまだ公表されていません。ただ、準備の中心である基本対策（更新・認証・バックアップ）は大きな投資を必要としないものが多く、お助け隊（新類型）の実証や補助金を組み合わせれば負担はさらに抑えられます。