SCS評価制度の費用はいくら?★3・★4の登録料と準備費・補助金

SCS評価制度を運営するIPAに払う費用は登録料で、★3は1年分で1万円、★4は3年分で6万円です(2028年3月31日までの申請、税込み)。 これとは別に、足りない対策を整える費用や専門家に確認してもらう費用など、会社ごとに金額が違う準備の費用がかかります。

この記事でわかるのは、公式に決まっている登録料、登録料のほかに何にお金がかかり何で金額が変わるか、費用を抑える無料の支援と補助金、取引先との価格交渉、そしてIT担当が社長に出す予算案の作り方です。

公式の費用は登録料だけ#

公式に金額が決まっている費用は、★を登録するときにIPAへ払う登録料だけです。2027年3月以降に受付が始まる予定の★3・★4の登録について、登録料は次のとおりです^[1]。

金額は消費税込みで、どちらの料金になるかは申請した日で決まります^[1]。金額は、IPAの料金設定のお知らせで自分で確かめられます。★3・★4の申請の受付は、2027年3月以降に始まる予定です。

気をつけたいのは、★3の有効期間は1年という点です。★3は毎年、対策の状況を点検し、専門家の確認・助言を経た自己評価の更新版を事務局に出して更新します。★4は有効期間が3年で、その間も1年ごとに自己評価をして結果を評価機関に出し、3年に1回の更新では第三者評価を受けることが想定されています^[2]。更新の手続きは、今後公表される登録申請の手引で示される予定です^[4]。

そのため★3は「1回1万円で終わり」と考えず、毎年の点検の手間と、専門家の確認の費用も見込んでおきましょう。

なお、SCSセキュリティ専門家(★3の確認をする人)の登録料は、料金案で無料とされています^[1]。これは専門家がIPAに登録するときの料金で、会社が専門家に確認を頼むときの費用が無料という意味ではありません。

登録料のほかにかかる費用#

★を取るまでには、登録料のほかに、社内の作業、足りない対策、専門家の確認、そして頼む場合は支援会社の費用がかかります。どれも、会社の今の対策の状況と、頼む相手で金額が変わります。

この記事では、それぞれの費用の相場は載せていません。会社の状況や頼む相手で大きく変わるうえ、研修事業者や評価機関がまだ公表されておらず、公式の目安がないためです。かわりに、下の見出しで「何で金額が変わるか」を説明し、最後に自社の金額を出すための手順を置きます。

社内の時間#

見落としやすいのが、担当者の時間です。★3では、会社が自分で81件の評価基準ごとに評価を書き込み、専門家の確認を受けたうえで、経営層の合意にもとづいて自己適合宣言をして申請します^[4][12]。★を取るには、すべての評価基準を満たす必要があります^[13]。

評価基準には、ルールや手続を定めることや、年1回以上の頻度で点検することを求める項目が多くあります^[12]。機器の設定だけでなく、文書と記録を作る時間も見込んでおきましょう。どの項目が足りないかは、足りないものを一覧にする手順で洗い出せます。

担当者が通常の仕事と兼ねる場合、この時間はお金として見えにくい費用です。予算案には「誰が、月に何時間くらい使うか」を書いておくと、社長が判断しやすくなります。

足りない対策#

足りない対策の費用は、何が足りないかで大きく変わり、お金がかからない対策もあります。国の想定事例(★4相当の対策を求められた例)では、中小企業がIPAのコンテンツで従業員の教育をし、IPAのひな形で情報セキュリティポリシーを作った結果、これらの対策には費用が発生しませんでした^[7]。

一方で、セキュリティ機器やサービスを入れて継続的にシステムを監視する場合や、専門の人材を雇う場合などは、追加の費用がかかる場合があります^[8]。また、評価基準を満たすために、特定のセキュリティ対策製品を入れることは必須とされていません^[6]。

例えば、ルールと手順書が足りないだけの会社と、機器の一覧づくりや遠隔地のバックアップから始める会社では、費用がかなり違います。★3の評価基準には、情報機器の把握や、重要な機密情報の遠隔地バックアップ、バックアップ対象ごとのリストア手順書も入っています^[12]。

規程づくりには、IPAの中小企業の情報セキュリティ対策ガイドラインの付録5「情報セキュリティ関連規程(サンプル)」が使えます。このサンプルは、★3・★4の要求事項・評価基準に対応する形で見直されています^[10]。中身はガイドラインの付録・ひな型で紹介しています。

専門家の確認#

★3には、登録されたSCSセキュリティ専門家の確認と署名が必要です。専門家は、情報処理安全確保支援士など6つの資格のいずれかを持ち、研修を受け、事務局に登録した人です^[3][13]。

社内に要件を満たす人がいれば社内の専門家に、いなければ社外の専門家と契約して確認を頼みます。社内の専門家に頼む場合は、2027年1月以降に研修事業者の研修を受け、試験に合格した人がIPAに登録します。研修事業者は2026年12月下旬、専門家は2027年1月以降に公表される予定です^[4]。評価用ガイド類の案では、★3の確認をする人は「★3確認責任者」と呼ばれています^[4]。

確認は、最初の取得のときだけでなく、毎年の更新のたびに必要です。研修の受講料や社外の専門家の料金は、研修事業者・専門家がまだ公表されていないため、この記事では載せていません。

IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」には、今後、★3の確認・助言を行う専門家を載せる予定です^[10]。ただし、今このリストに載っている専門家は、SCSのセキュリティ専門家とは要件が違います^[13]。専門家と評価機関の違いは、総合解説の誰に頼む?専門家と評価機関で説明しています。

★4の第三者評価と技術検証#

★4では、★3にない費用として、評価機関による第三者評価と技術検証がかかります。第三者評価は文書確認と実地審査(ヒアリングや規程・操作画面の確認)で、技術検証はインターネットに公開しているVPN装置やルータなど、侵入のリスクが高い機器への脆弱性検査です。所要期間の想定は、文書確認・実地審査・技術検証がそれぞれ1日〜2日程度で、実地審査と技術検証は事前準備と報告書づくりを除いた日数です^[2]。

評価機関は2026年12月下旬に公表され、契約は2027年1月以降、第三者評価は2027年2月からと想定されています^[4]。評価機関の料金は、評価機関が公表される前のため、この記事では載せていません。

支援会社に頼む場合#

支援会社に頼むかどうかは任意です。専門家や評価機関が★を取る支援(コンサルティングや製品・サービスの提供)を行えるかについて、中立性や公平性の具体的な要件は今後公表される予定です^[13]。

見積りを受け取ったら、次の点を確かめましょう。

• どこまでやってくれるか
• 専門家の確認が含まれるか
• 2年目以降の更新の費用
• 特定の製品の購入が前提か

経済産業省は、この制度を引き合いにした「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業による勧誘が報告されているとして、注意を呼びかけています^[6]。この制度は任意の制度で、会社どうしの取引を規制するものではありません。詳しくは総合解説の義務?取らないとどうなる?をご覧ください。

費用を抑える公的な支援と補助金#

費用を抑える方法には、★を取る支援を無料で受けられる「お助け隊(新類型)の実証」と、対策のサービスに使える補助金があります。準備に使えるIPAの制度や資料もあります。

お助け隊(新類型)の実証は無料#

サイバーセキュリティお助け隊サービス(新類型)は、中小企業が★3・★4を取れるよう、課題を見える化する診断・助言、推奨されるITツールの導入、ITツール以外の支援(コンサルティング・教育など)をまとめて提供し、伴走するサービスです。

今は制度化に向けた実証の段階で、実証への参加は無償です。実証の事業者から参加の費用を請求されることはありません。実証期間は2026年10月〜2027年9月の1年間の予定で、実証の後もサービスを続ける場合は有償です^[5]。

参加するには、IPAが公募で採択した15事業者のサービスから自社に合うものを選び、事業者に直接連絡します。条件が合わない場合や、事業者の予定数に達している場合などは参加できないことがあり、複数の事業者に重ねて参加することはできません。参加した会社には、制度づくりへの意見の提出や、不審な通信を検知したときの情報の提供などへの協力が求められる予定です^[5]。

15事業者のサービスの違いは、IPAの新類型の実証事業のページで見比べられます。参加の流れは実証に参加すれば無料で説明しています。

補助金は対策のサービスに使える#

補助金で費用を抑えられるのは、主に対策のサービスや機器の費用です。

デジタル化・AI導入補助金の「セキュリティ対策推進枠」は、IPAのお助け隊サービスリストに載り、IT導入支援事業者が提供し、事務局に登録されたサービスの利用料(最大2年分)を補助します。補助率は中小企業が1/2以内、小規模事業者が2/3以内で、補助額は5万〜150万円です。次の締切(6次)は2026年10月30日17時です^[11]。

国の想定事例でも、中小企業がお助け隊サービスを入れ、補助金を使って最初の2年間分の費用を半額にしています^[7]。ただし、今あるお助け隊サービスだけでは、★3の要求事項の一部しか満たせません^[5]。

締切や条件は、事務局のセキュリティ対策推進枠のページで確かめましょう。この枠の条件はセキュリティ対策推進枠: お助け隊の利用料にまとめています。機器の導入などに使える自治体の助成金も、同じ記事で紹介しています。

準備に使えるIPAの制度と資料#

準備を始めるときは、IPAがSCS評価制度の関連制度として挙げている次のものが使えます^[10]。

• SECURITY ACTION(自己宣言)
• 中小企業の情報セキュリティ対策ガイドライン
• 中小企業向けの対策支援者リスト

SECURITY ACTIONは、中小企業が自ら対策に取り組むことを宣言する制度で、★3・★4を取る準備の段階として、まず取り組むとよいものです。手順は宣言のやり方で説明しています。ガイドラインの付録5の規程サンプルは、上の「足りない対策」で触れたとおり、★3・★4の要求事項に合わせて見直されています。支援者リストは、自社の対策の相談先を探すときに使えます。リストの専門家に相談や支援を頼む費用は、それぞれの専門家に確かめてください。

取引先と費用を話し合える(価格交渉)#

取引先から★を求められて対策に費用がかかった場合、その費用は取引先との価格交渉の対象になります。国の想定事例の解説では、対策の費用は製品・サービスの直接経費ではなく、労務費や一般管理費といった間接経費として計上されることが想定されています。発注側の企業は、間接経費の転嫁について価格交渉の申出があれば、その申出に応じる必要があります^[8]。

公正取引委員会と経済産業省は、取引上の地位が相手方に優越している事業者が、有償のセキュリティサービスの利用やセキュリティの認証の取得を求めながら、コストの上昇分について価格の交渉の場で明示的に協議せず、取引価格を据え置くことは、独占禁止法上問題となるおそれがあると整理しています^[9]。

★を求めていない取引先と、対策にかかった費用について価格交渉をする場合もあると考えられます。申し入れにくいときは、公正取引委員会の相談窓口や、無料で相談できる取引かけこみ寺を使う方法があります^[8]。

予算案を作るときは、かかった費用を項目ごとに残しておくと、交渉の根拠に使えます。交渉の進め方は費用は取引先と話し合えるで説明しています。

IT担当が次にやること: 予算案の作り方#

予算案は、求められる★を確かめ、自己点検で足りないものを出し、足りないものを費用の種類で分けてから見積りを取る、の順で作ります。社長に「いくらかかるか調べて」と言われたら、次の6つの手順で進めましょう。

1. 求められる★と時期を確かめる: 取引先の案内で、★3か★4か、いつまでかを確かめます。聞き方は取引先に確かめることにまとめています
2. 81件に印を付ける: ★3の評価基準ごとに、できている・一部できている・できていないの印を付けます。やり方は評価基準ごとに印を付けるで説明しています
3. 足りないものを3つに分ける: 印の付かなかった項目を「文書・ルールを作る」「今の機器・サービスの設定を変える」「機器・サービスを足す」に分けます。お金がかかりやすいのは3つ目で、見積りが要るのもここです
4. 専門家を社内にするか社外にするか決める: 社内に資格を持つ人がいれば研修を受けて試験に合格し、登録してもらい、いなければ社外の専門家と契約します
5. 実証に参加できるか聞く: お助け隊(新類型)の実証の事業者に、参加できるかを問い合わせます
6. 予算の表にまとめて社長に出す: 下の表を埋め、見積りの写しを付けて出します

予算の表は、次の形で作れます。登録料のほかは、会社ごとに違うため、見積りを取ってから金額を入れます。

いつお金が要るかは、IPAが示している★3の想定の流れから逆算できます^[4]。いずれも予定です。

• 2026年10月下旬: 評価用ガイド類の公表。これを見て自己評価と足りない対策を進める
• 2026年12月下旬: 研修事業者・評価機関の公表
• 2027年1月以降: 社内の専門家の研修、または社外の専門家との契約。決まり次第、確認
• 2027年3月以降: 申請(登録料)

この流れに沿って進めると、機器やサービスの費用は自己評価の後、専門家の費用は2027年1月以降、登録料は申請のときに出ていくことになります。足りない対策の見積りは、評価用ガイド類が出た後の自己点検の結果をもとに取ると、むだが少なくなります。

中小企業が今日やること#

よくある質問#

2028年3月までに申請したほうが安いですか?#

★3は安くなります。★3の登録料は、2028年3月31日までの申請なら1年分1万円、2028年4月1日以降の申請なら1年分2万円で、どちらになるかは申請した日で決まります。★4は、どちらの時期も3年分6万円で変わりません^[1]。差は★3で1年あたり1万円です。料金の切り替えを理由に急がせる営業があっても、それに合わせて準備を急ぐ必要はありません。勧誘への注意は急がせる営業に注意にまとめています。

社内の担当者だけで★3を取れますか?#

自己評価は社内でできますが、★3には登録されたセキュリティ専門家の確認が必要です。社内に資格の要件を満たす人がいて、研修を受けて試験に合格し、登録すれば、社内の専門家に確認してもらえます。

特定の製品を買わないと★は取れませんか?#

いいえ。評価基準を満たすために、特定のセキュリティ対策製品の導入は必須とされていません。見積りが特定の製品の購入を前提にしている場合は、その製品でどの評価基準を満たすのかを確かめましょう。

★4の評価機関の料金はいくらですか?#

まだわかりません。評価機関は2026年12月下旬に公表される予定です。料金が公表されたら、この記事に追記します。

補助金で★の登録料は払えますか?#

補助金で費用を抑えられるのは、主に対策のサービスや機器の費用です。セキュリティ対策推進枠は、お助け隊サービスの利用料を補助します。★を取る支援そのものは、お助け隊(新類型)の実証に参加できれば無料で受けられます。補助金の一覧と条件は補助金の記事にまとめています。