取引先に★3を求められたら費用はいくらか、経産省のセキュリティ対策評価制度とIPAの登録料1万円

★3・★4とはどんな制度か

取引先ごとにばらばらだったセキュリティ対策の求め方を、国が★の数でそろえる制度です。2026年3月に構築方針がまとまり、IPAが運営の準備を進めています。

★の数で対策の水準を示す

経済産業省と内閣官房の国家サイバー統括室は、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度」の構築方針を公表しました。取引先に求める対策の中身と水準を決めやすくし、サプライチェーン全体の対策の水準を上げることが目的です。

対象は、物やサービスの取引でつながる会社のIT基盤です。工場の制御システム（OT）と、発注元に納める製品そのものは対象外です。

出典：構築方針（2026年3月、IPA掲載の資料）、IPA「SCS評価制度」の詳細ページと料金表（2026年9月18日）。2026年10月8日に確認。

★3と★4の違い

★3は、一般的な攻撃への対策を求める基礎の段階です。26件の要求事項について自社で評価し、社内外のセキュリティの専門家が確認したうえで事務局に出します。有効期間は1年です。

★4は、取引先のシステムやデータへ被害を広げないための標準の段階です。43件の要求事項について、評価機関による文書の確認と実地審査、技術検証事業者による技術検証を受けます。実地審査と技術検証はそれぞれ1〜2日程度が目安で、有効期間は3年です。

要求事項は、組織のガバナンス、取引先の管理、システムの防御、脆弱性の管理、インシデントへの対応、事業継続などの分野にわたります。

いつから、いくらかかるのか

構築方針は2026年度下期の開始を目指すとし、IPAは★3・★4の運用開始を2027年3月頃と予定しています。IPAに払う登録料も公表されています。

開始は2026年度下期を目指す

構築方針は「令和8年度下期の制度開始を目指し」としています。IPAは2026年4月21日に制度のサイトを公開し、8月28日に基本規程、9月11日に制度の基準と手順、9月18日に料金を公表しました。

IPAのよくある質問（2026年5月29日更新）は、★3・★4の運用開始を2027年3月頃と予定し、評価機関は2026年12月末頃に公開するとしています。料金表でも、★3・★4を取りたい会社の登録の受付は2027年3月以降、★3の確認に関わるセキュリティ専門家の登録は2027年1月以降に始まる予定です。

登録料と、それ以外にかかる費用

IPAに払う登録料（税込）は、★3が1年1万円（2028年3月31日まで。4月1日以降は2万円）、★4が3年6万円です。

★4は、このほかに評価機関と技術検証事業者に払う審査の費用がかかります。料金表は評価機関などがIPAに払う申請料・指定料を定めたもので、会社が評価機関に払う審査の費用は示していません。★3も、確認をしてもらう専門家への費用が別にかかる場合があります（当社の見方）。

さらに、要求事項を満たすための対策そのものの費用があります。中小企業向けには、専門家のリスト作りや、★3・★4の取得を支援する「お助け隊サービス」の新しい類型が準備されており、IPAが実証事業を紹介しています。

なぜ取引先から求められるのか、費用は誰が持つのか

委託先やクラウドサービス1社への攻撃で、複数の会社の情報が一度に漏れる被害が続いています。一方で国は、対策を求める側に費用への配慮を求めています。

1社への攻撃が複数の会社に広がる

2026年10月、FAQ・問い合わせ管理サービス「i-ask」を運営するスカラコミュニケーションズの管理サイトに不正ログインがあり、利用企業最大5社の環境で、延べ最大713,126件の問い合わせ情報に影響が出たおそれがあります。ネットショップの基盤「ショップサーブ」では、購入者の情報に加えて、出店者の管理画面のID・パスワードや振込先口座も漏れたおそれがあります。

出典：株式会社スカラ（スカラコミュニケーションズの親会社）の公表（2026年10月6日）を伝えた報道、Eストアーの公表（2026年8月2日）。2026年10月8日に確認。

IPAの「情報セキュリティ10大脅威 2026」でも、組織にとっての2位は「サプライチェーンや委託先を狙った攻撃」です。発注する側が委託先の対策の水準を確かめたい理由はここにあります。

費用を価格に反映しないまま求めると問題になりうる

経済産業省と公正取引委員会は2022年10月28日、取引先にセキュリティ対策を求めること自体は直ちに独占禁止法上の問題にはならないとしつつ、次の場合は優越的地位の濫用になりうると整理しました。

• 対策で増えた費用を協議しないまま、取引価格を据え置くこと
• 負担額や算出の根拠がはっきりしない費用を負担させること
• 合理的な必要がないのに、指定するサービスの利用を強いること

構築方針も、発注者はセキュリティ対策が価格交渉の対象になることを周知し、交渉に積極的に応じる必要があるとしています。2026年1月1日に施行された取適法（中小受託取引適正化法）は、中小の受託事業者から価格協議を求められたのに応じず、一方的に代金を決めることを禁じています。

★3を求められたときに確かめる3つのこと

取引先から★の取得を求められたときに、確かめておくことをまとめました。どの段階を目指すかは、取引の中身と自社の体制にあわせて判断してください。

よくある質問

SCS評価制度はいつから始まりますか

構築方針は2026年度下期の制度開始を目指すとしています。IPAは★3・★4の運用開始を2027年3月頃と予定しており、料金表でも登録の受付は2027年3月以降の予定です。確定した日はまだ公表されていません。

★3を取るのにいくらかかりますか

IPAに払う登録料は1年1万円（2028年4月以降は2万円）です。このほか、確認をしてもらう専門家への費用や、要求事項を満たすための対策の費用がかかる場合があります。

★3と★4の違いは何ですか

★3は26件の要求事項を専門家の確認つきで自己評価し、有効期間は1年です。★4は43件の要求事項について評価機関の審査と技術検証を受け、有効期間は3年、登録料は3年6万円です。

取引先に★の取得を求められたら、断れますか

法令で取得が義務づけられる制度ではなく、取引の中で委託元が委託先に求めることを想定した制度です（構築方針）。そのため取引の条件として求められることはありえます。経済産業省と公正取引委員会は、費用を価格に反映しないまま求めることなどは優越的地位の濫用になりうると整理しており、費用を示して価格協議を申し入れることができます。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う中小企業で、製造業や物流の取引先とつながっています。取引先からセキュリティ対策を求められる場面が増えると見込まれるため、国とIPAの資料をもとに整理しました。