SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）、最上位文書「基本規程」を施行 IPA
情報処理推進機構（IPA）は2026年8月28日、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の基本規程および規則を公表し、同日付で施行しました。公表された「基本規程（SCS-100）」によると、SCS評価制度は全20種類の文書群によって体系化されています。
まず、制度の総則となる「基本規程（SCS-100）」が公表・施行されました。このほか、運営側の規則（100番台）である「制度運営機関規則（SCS-110）」「運営審議委員会規則（SCS-111）」「指定委員会規則（SCS-112）」が公開・施行されました。
あわせて、審査や研修を担う事業者向けルール（200番台）として「評価機関指定規則（SCS-210）」「技術検証事業者指定規則（SCS-220）」「研修事業者指定規則（SCS-230）」も公開・施行されました。
全20種類のうち残る指定基準、各種ガイド、登録申請の手引き、解説書などについては、今後順次公開される予定です。
企業・組織が取得を目指す「★3（専門家確認付き自己評価）」および「★4（第三者評価）」の登録手続きも、基本規程の中で示されました。
★3では、自社で行ったセキュリティ対策の自己評価に対し、登録された「SCSセキュリティ専門家（★3確認責任者）」による妥当性確認と署名を受けた上でIPAへ申請します。有効期間は登録完了から1年間です。
★4では、自社での自己評価・自己適合宣言を終えた後、指定を受けた「評価機関」による文書確認・実地審査、および同機関（または委託を受けた技術検証事業者）による脆弱性診断を含む技術検証を経てIPAへ申請します。有効期間は3年間で、期間中も年1回の自己評価実施と評価機関への提出が義務付けられます。
審査を通過し「登録組織台帳」に掲載された組織には、条件に従って公式ロゴマークを使用できます。
本制度の運用には、評価・診断を担う事業者の指定が必要になります。今回公表された指定規則の施行に伴い、IPAは「評価機関」「技術検証事業者」「研修事業者」の指定獲得を目指す事業者に向け、2026年9月14日に説明会を開催します。
