जापान की SCS रेटिंग आपूर्तिकर्ताओं को छाँटेगी: टियर-3 आपूर्तिकर्ताओं तक पहुँचने वाली ★ आवश्यकता के बारे में अधिकारियों को क्या जानना चाहिए, और इसे पूरा न करने वाली कंपनियों का क्या होगा

मार्च 2027 में IPA (सूचना-प्रौद्योगिकी संवर्धन एजेंसी, जापान) द्वारा चलाई जाने वाली SCS रेटिंग योजना (सप्लाई चेन को मज़बूत करने के लिए सुरक्षा रेटिंग योजना) के लिए आवेदन खुलेंगे। 28 अक्टूबर 2026 को मूल्यांकन गाइड और व्याख्यात्मक हैंडबुक प्रकाशित हुईं, और योजना की सामग्री अब तय हो चुकी है।

अधिकारियों के लिए एक बात सबसे ज़्यादा मायने रखती है: योजना इस तरह बनाई गई है कि यह केवल बड़ी कंपनियों से सीधे लेन-देन करने वाले टियर-1 आपूर्तिकर्ताओं तक नहीं, बल्कि टियर-2 और टियर-3 आपूर्तिकर्ताओं तक भी नीचे पहुँचे। जैसे ही कोई बड़ी कंपनी अपने ख़रीद मानकों में "★3 या उससे ऊपर" लिख देती है, जो कंपनियाँ यह मानक पूरा नहीं करतीं उन्हें आपूर्तिकर्ता के रूप में चुना ही नहीं जा सकता। और चूँकि ★4 चाहने वाले टियर-1 आपूर्तिकर्ता को आवश्यकताओं के तहत अपने आपूर्तिकर्ताओं (टियर-2) की सुरक्षा स्थिति जाननी होती है, यह आवश्यकता शृंखला में नीचे की ओर बहती रहती है।

यह लेख दोनों ओर के अधिकारियों के लिए है: जिनसे व्यावसायिक शर्त के रूप में ★ माँगा जाएगा, और जो इसे माँगेंगे। प्राथमिक दस्तावेज़ों (IPA के योजना दस्तावेज़ों) के आधार पर यह बताता है कि योजना कैसे काम करती है, यह नीचे तक क्यों पहुँचती है, इसे पूरा न करने वाली कंपनियों का क्या होता है, कौन-से निर्णय लेने हैं, और इसमें कितनी लागत और कितना समय लगता है। तकनीकी विवरण इंजीनियरों के लिए गाइड में हैं और योजना का परिचय सामान्य गाइड में है।

यह लेख अंग्रेज़ी में sitescouter.net और nkzw.jp पर, तथा जापानी में sitescouter.net पर भी प्रकाशित है। यह Site Scouter का हिन्दी संस्करण है, जिसका अनुवाद अंग्रेज़ी संस्करण से किया गया है।

क्या तय हो चुका है

• IPA अर्थव्यवस्था, व्यापार और उद्योग मंत्रालय तथा कैबिनेट सचिवालय के राष्ट्रीय साइबर सुरक्षा कार्यालय की देखरेख में यह योजना चलाती है। इसका आधार मार्च 2026 की "योजना डिज़ाइन नीति" है
• तीन स्तर हैं: ★3, ★4 और ★5। ★3 में 26 आवश्यकताएँ एक विशेषज्ञ द्वारा पुष्ट स्व-मूल्यांकन से साबित की जाती हैं; ★4 में 43 आवश्यकताएँ तीसरे पक्ष के मूल्यांकन और तकनीकी सत्यापन से साबित की जाती हैं। ★5 पर अभी विचार चल रहा है
• ★3 की वैधता 1 वर्ष और ★4 की 3 वर्ष है। IPA को दिया जाने वाला पंजीकरण शुल्क ★3 के लिए ¥10,000 प्रति वर्ष (मार्च 2028 के अंत तक; उसके बाद ¥20,000) और ★4 के लिए 3 वर्ष का ¥60,000 है
• प्रमाणित संगठन IPA की वेबसाइट पर सूचीबद्ध किए जाते हैं और लोगो मार्क इस्तेमाल कर सकते हैं
• आवेदन मार्च 2027 में खुलने वाले हैं। पंजीकरण आवेदन गाइड नवंबर 2026 के अंत में, मूल्यांकन संस्थाओं की सूची दिसंबर के उत्तरार्ध में, और विशेषज्ञों की सूची जनवरी 2027 से आने वाली है

यह टियर-3 आपूर्तिकर्ताओं तक क्यों पहुँचती है

योजना के विवरण में कहा गया है कि "आउटसोर्स करने वाली कंपनी आपूर्तिकर्ता के सामने एक उपयुक्त स्तर (★) रखती है, उसे उपाय लागू करने के लिए प्रोत्साहित करती है और उनके कार्यान्वयन की जाँच करती है"। यह दो कंपनियों के बीच का मामला लगता है, लेकिन आवश्यकताएँ पढ़ने पर पता चलता है कि योजना नीचे तक पहुँचने के लिए ही बनाई गई है।

• ★3 आवश्यकता 2-1-1: अपनी संपत्तियों और दूसरे संगठनों (आपूर्तिकर्ता, जिनमें ग्राहक, सहायक कंपनियाँ, संबद्ध कंपनियाँ और क्लाउड प्रदाता शामिल हैं) द्वारा प्रबंधित सिस्टम के बीच संबंधों को जानने की व्यवस्था बनाएँ
• ★3 आवश्यकता 2-1-4: जिन आपूर्तिकर्ताओं के साथ गोपनीय जानकारी साझा होती है, उनके साथ घटना होने की स्थिति में भूमिकाएँ और ज़िम्मेदारियाँ तय करें
• ★4 आवश्यकता 2-1-3: कारोबार निरंतरता जोखिम और सूचना-प्रबंधन जोखिम के दृष्टिकोण से, उन आपूर्तिकर्ताओं की सुरक्षा स्थिति जानें जो आपकी कंपनी को प्रभावित कर सकते हैं
• ★4 आवश्यकता 2-1-5: अनुबंध समाप्त होने पर आपूर्तिकर्ता से गोपनीय जानकारी और पहुँच अधिकार वापस लें, या उन्हें नष्ट करवाएँ

दूसरे शब्दों में, किसी बड़ी कंपनी से ★4 माँगे जाने पर टियर-1 आपूर्तिकर्ता को ★4 बनाए रखने के लिए अपने टियर-2 आपूर्तिकर्ताओं की सुरक्षा स्थिति जाननी होगी, और इसे जानने का सबसे आसान तरीका है "टियर-2 आपूर्तिकर्ताओं से भी ★ हासिल करवाना"। जैसे ही कोई टियर-2 आपूर्तिकर्ता ★3 प्राप्त करता है, उसकी आवश्यकता 2-1-1 उसे टियर-3 आपूर्तिकर्ताओं के साथ अपने संबंध जानने के लिए बाध्य करती है। चूँकि आवश्यकताओं की श्रेणी 2 "आपूर्तिकर्ता प्रबंधन" है, योजना की संरचना ही ऐसी है कि सितारे शृंखला के आख़िरी छोर तक पहुँचते हैं।

यदि आप इसे पूरा नहीं करते तो क्या होगा

IPA के FAQ में कहा गया है कि "★ प्राप्त करना स्वैच्छिक है" और "हर आवश्यकता पूरी न करने का अर्थ यह नहीं कि कारोबार तुरंत रोक दिया जाएगा"। यह योजना की क़ानूनी स्थिति का सही वर्णन है।

व्यावसायिक वास्तविकता अलग है। बड़ी कंपनियाँ उन कंपनियों के साथ कारोबार नहीं कर सकतीं जो उनके ख़रीद मानकों को पूरा नहीं करतीं। जैसे ही मानकों में लिखा जाता है कि "आपूर्तिकर्ताओं के पास SCS रेटिंग योजना के तहत ★3 या उससे ऊपर होना चाहिए", जिन कंपनियों के पास यह नहीं है वे आपूर्तिकर्ताओं की शॉर्टलिस्ट से बाहर हो जाती हैं। ज़िम्मेदार व्यक्ति के पास कोई विवेकाधिकार नहीं रहता: मानक पूरा न करने वाले आपूर्तिकर्ता से अनुबंध करना उस व्यक्ति और कंपनी, दोनों को अनुपालन उल्लंघन के दायरे में ला देगा।

योजना की संरचना इसे और मज़बूत करती है। ★4 वाली कंपनी अपने आपूर्तिकर्ताओं की सुरक्षा स्थिति जानने के लिए बाध्य है, इसलिए वह ऐसे आपूर्तिकर्ताओं को नहीं रख सकती जिनकी स्थिति वह जान ही नहीं सकती। नए कारोबार के लिए यह शुरू से ही शर्त होती है; मौजूदा कारोबार में यह अनुबंध नवीनीकरण के समय जोड़ी जाती है। सार्वजनिक ख़रीद के बारे में IPA कहती है कि "यह निविदा की शर्त बनेगी या नहीं, यह ख़रीद करने वाली संस्था तय करती है", लेकिन चूँकि यह सरकारी योजना है, यह मानना उचित है कि सार्वजनिक क्षेत्र की ख़रीद सबसे पहले कदम उठाएगी।

संक्षेप में, यह क़ानून के अनुसार स्वैच्छिक और कारोबार में व्यवहारतः अनिवार्य है। जो कंपनियाँ ग्राहकों के पूछने से पहले तैयारी कर लेती हैं और जो बाद में हड़बड़ी करती हैं, उनके बीच का अंतर आवेदन खुलने और मूल्यांकन संस्थाओं व विशेषज्ञों के पूरी तरह बुक हो जाने के बाद और बढ़ेगा।

अधिकारियों के लिए पाँच निर्णय

अधिकांश आवश्यकताओं पर कर्मचारी काम आगे बढ़ा सकते हैं, लेकिन नीचे के पाँच बिंदु तब तक आगे नहीं बढ़ते जब तक प्रबंधन उन पर निर्णय न ले।

1. किस सितारे का लक्ष्य रखें। यह इस पर निर्भर है कि आपके मुख्य ग्राहक क्या माँगेंगे। फ़िलहाल एक मोटे नियम के तौर पर: यदि आप सीधे बड़ी कंपनियों से लेन-देन करते हैं तो ★4, यदि आप टियर-2 आपूर्तिकर्ता या उससे नीचे हैं तो ★3। आप ★3 के बिना सीधे ★4 के लिए भी आवेदन कर सकते हैं
2. किस इकाई को प्रमाणित करें। मूल्यांकन शीट में आप पूरी क़ानूनी इकाई, उसका कोई हिस्सा जैसे व्यावसायिक प्रभाग, या कॉर्पोरेट समूह चुनते हैं। दायरा जितना व्यापक होगा, उपायों की लागत उतनी अधिक होगी; जितना संकरा होगा, उतनी ही बार आपको ग्राहकों को समझाना पड़ेगा कि "यह प्रभाग दायरे से बाहर है"
3. ज़िम्मेदार कौन है। ★3 आवश्यकता 1-2-1 में सुरक्षा के प्रभारी अधिकारी (जैसे CISO) और ज़िम्मेदार विभाग नियुक्त करने, तथा ज़िम्मेदारियाँ और अधिकार सौंपने को कहा गया है। ★4 में इसके अलावा ऐसा निकाय चाहिए जो प्रबंधन स्तर के निर्णय ले सके, जैसे प्रबंधन की भागीदारी वाली सूचना सुरक्षा समिति (1-2-1-4)
4. अनुरूपता की स्व-घोषणा कौन करता है। ★3 और ★4 दोनों में, अंत में प्रबंधन ही घोषणा करता है कि "हम आवश्यकताओं के अनुरूप हैं"। विशेषज्ञ या मूल्यांकन संस्थाएँ जाँच करती हैं, लेकिन घोषणा की ज़िम्मेदारी प्रबंधन की है
5. कब तक। आवेदन मार्च 2027 में खुलते हैं। उद्योग का मोटा अनुमान है कि उपाय लागू करने में 2 से 3 महीने और सबूत तैयार करने में 1 से 2 महीने लगते हैं। अपने ग्राहकों के अनुबंध नवीनीकरण की तारीख़ों से पीछे की ओर गिनकर शुरुआत की तारीख़ तय करें

असली लागत और समय

IPA को दिया जाने वाला पंजीकरण शुल्क, ★3 के लिए ¥10,000 प्रति वर्ष, सस्ता दिखता है, लेकिन यह लागत का केवल एक हिस्सा है।

समय की बात करें तो मूल्यांकन शीट (स्व-मूल्यांकन टेम्पलेट) पहले से प्रकाशित है, इसलिए आप अभी से अपनी मौजूदा स्थिति का आकलन शुरू कर सकते हैं।

छोटी और मध्यम कंपनियों के लिए IPA "साइबर सिक्योरिटी Otasuketai सेवा (नया प्रकार)" तैयार कर रही है, जो कंपनियों को ★3 और ★4 हासिल करने में मदद करने के उद्देश्य वाली सहायता सेवा है (अक्टूबर 2026 तक अभी पायलट चरण में)।

इस महीने क्या करें

आवेदन खुलने का इंतज़ार करने की ज़रूरत नहीं है। ये चार काम आप इसी महीने शुरू कर सकते हैं।

1. अपने मुख्य ग्राहकों से उनकी योजनाओं के बारे में पूछें। अपनी बिक्री टीम के माध्यम से पूछें: "आप आपूर्तिकर्ताओं से SCS रेटिंग योजना के किस स्तर की माँग करने की योजना बना रहे हैं?" उनके ख़रीद विभाग भी तैयारी कर रहे हैं, और आप जितनी जल्दी पूछेंगे, शर्तों पर बातचीत की उतनी ही अधिक गुंजाइश होगी
2. ज़िम्मेदार व्यक्ति नियुक्त करें। आवश्यकता 1-2-1 द्वारा अपेक्षित संगठन बनाएँ और मूल्यांकन शीट उसे सौंपें
3. अपनी मौजूदा स्थिति का स्व-मूल्यांकन करें। केवल 26 बिंदुओं को पूरा या अधूरा चिह्नित करने से ही पता चल जाता है कि पैसा कहाँ लगेगा। अधिकांश कंपनियाँ जिन बिंदुओं पर अटकती हैं, वे हैं समर्थन-समाप्त ऑपरेटिंग सिस्टम और सॉफ़्टवेयर, बहु-कारक प्रमाणीकरण का अभाव, देर से होने वाले अपडेट और रिस्टोर प्रक्रियाओं का न होना
4. जाँचें कि आपकी कंपनी बाहर से कैसी दिखती है। आपकी वेबसाइट या सर्वर कोई पुराना संस्करण उजागर करता है या नहीं, यह बिना पंजीकरण के, बस Site Scouter की सर्वर जानकारी जाँच में URL डालकर जाँचा जा सकता है। यह "बाहर से दिखने वाली तस्वीर" वही है जिसे ग्राहक का ख़रीद विभाग सबसे पहले देखता है

आपूर्तिकर्ताओं से सितारा माँगने वाले अधिकारियों के लिए

यदि आपकी कंपनी मुख्य ठेकेदार है और आपूर्तिकर्ताओं से ★ माँगेगी, तो आपको ये बातें तय करनी होंगी:

• किस आपूर्तिकर्ता से कौन-सा स्तर माँगें। योजना यह मानकर चलती है कि ज़रूरी उपाय "सप्लाई चेन में आपूर्तिकर्ता की स्थिति के अनुसार प्रस्तुत किए जाते हैं"। आपकी गोपनीय जानकारी रखने वाले आपूर्तिकर्ता से और सामान्य पुर्ज़ों के आपूर्तिकर्ता से एक ही स्तर माँगने की ज़रूरत नहीं है
• अनुबंध की भाषा और छूट अवधि। आवेदन मार्च 2027 में खुलते हैं, इसलिए उससे पहले "पहले से प्रमाणित" होने को शर्त नहीं बनाया जा सकता। समय-सीमा वाली शर्त, जैसे "वित्त वर्ष 2027 के दौरान ★3 प्राप्त करें", यथार्थवादी है
• आपके अपने ★4 से संबंध। ★4 आवश्यकता 2-1-3 आपसे अपने आपूर्तिकर्ताओं की सुरक्षा स्थिति जानने की माँग करती है। आपूर्तिकर्ताओं से ★ माँगना आपके अपने ★4 का सबूत भी बन जाता है
• अपनी चेकलिस्टों का क्या करें। योजना का एक उद्देश्य आपूर्तिकर्ताओं पर हर आउटसोर्स करने वाली कंपनी की अलग-अलग चेकलिस्ट का बोझ ख़त्म करना है। अपनी चेकलिस्ट के जिन हिस्सों को ★ कवर कर सकता है, उन्हें बदल देने से आपूर्तिकर्ताओं का सहयोग पाना आसान हो जाता है

आक्रामक बिक्री प्रस्तावों से सावधान रहें

अप्रैल 2026 में अर्थव्यवस्था, व्यापार और उद्योग मंत्रालय तथा कैबिनेट सचिवालय ने उन अनुचित बिक्री प्रस्तावों के ख़िलाफ़ चेतावनी दी, जो दावा करते हैं कि "रेटिंग के बिना आप कारोबार नहीं कर पाएँगे" या "हम मान्यता प्राप्त सहायता संगठन हैं"। योजना में "मान्यता प्राप्त सहायता संगठन" जैसी कोई भूमिका नहीं है। आधिकारिक भूमिकाएँ चार हैं, जिन्हें IPA नामित या पंजीकृत करती है: मूल्यांकन संस्थाएँ, तकनीकी सत्यापन प्रदाता, प्रशिक्षण प्रदाता और SCS सुरक्षा विशेषज्ञ, और इनकी सूचियाँ दिसंबर 2026 से IPA की वेबसाइट पर प्रकाशित होंगी। आवश्यकताएँ किसी विशेष सुरक्षा उत्पाद को इंस्टॉल करने को भी नहीं कहतीं। "यह उत्पाद इंस्टॉल करने से आपको ★ मिल जाएगा" जैसा प्रस्ताव योजना से मेल नहीं खाता।

इस लेख के खंड 3 में जिसे "कारोबार में व्यवहारतः अनिवार्य" कहा गया है, उसमें और ऐसे बिक्री प्रस्तावों में अंतर समय और पक्ष का है। जब तक कोई ग्राहक इसे अपने ख़रीद मानकों में नहीं लिखता, कोई इसे लागू नहीं करवा सकता, और अभी, आवेदन खुलने से पहले, यह कहने का कोई आधार नहीं है कि "आज ही हस्ताक्षर करें, वरना देर हो जाएगी"।

पद्धति संबंधी टिप्पणियाँ और सीमाएँ

यह लेख IPA की योजना वेबसाइट, FAQ, आवश्यकताओं और मूल्यांकन मानदंडों (SCS-400 Ver.1.1), हैंडबुक (SCS-620), शुल्क सूचना और 28 अक्टूबर 2026 की प्रेस विज्ञप्ति पर आधारित है, जैसे वे 30 अक्टूबर 2026 को प्रकाशित थे। आवश्यकताओं की ID और सामग्री SCS-400 Ver.1.1 से ली गई है। खंड 3 का यह कथन कि यह "कारोबार में व्यवहारतः अनिवार्य" बन जाती है, लेखक का मत है, जो आवश्यकताओं की संरचना और बड़ी कंपनियों की ख़रीद प्रथाओं से निकाला गया है; कृपया इसे IPA की आधिकारिक स्थिति (रेटिंग प्राप्त करना स्वैच्छिक है) से अलग मानकर पढ़ें। पंजीकरण आवेदन गाइड अभी प्रकाशित नहीं हुई है, इसलिए प्रक्रिया के विवरण बदल सकते हैं। लेखक डोमेन, होस्टिंग और सुरक्षा व्यवसाय में काम करता है और इस योजना के तहत न तो मूल्यांकन संस्था है, न ही विशेषज्ञ।

अक्सर पूछे जाने वाले प्रश्न

क्या टियर-3 आपूर्तिकर्ताओं को वाकई ★ की ज़रूरत होगी?

योजना इस तरह काम करती है कि आउटसोर्स करने वाली कंपनी अपने आपूर्तिकर्ता के सामने एक स्तर रखती है, और यह कितने टियर नीचे तक जाए, इसकी कोई सीमा नहीं है। चूँकि ★4 आवश्यकता 2-1-3 आपूर्तिकर्ताओं की सुरक्षा स्थिति जानना अनिवार्य करती है, ऊपर की जितनी अधिक कंपनियाँ ★4 प्राप्त करेंगी, नीचे की कंपनियों से ★ माँगने का प्रोत्साहन उतना ही प्रबल होगा।

यदि हम इसे प्राप्त नहीं करते तो क्या हमारा कारोबार छिन जाएगा?

IPA कहती है कि "रेटिंग प्राप्त करना स्वैच्छिक है" और "कारोबार तुरंत नहीं रोका जाता"। दूसरी ओर, जैसे ही कोई ग्राहक अपने ख़रीद मानकों में ★ लिख देता है, वह ग्राहक उन्हें पूरा न करने वाली कंपनियों से अनुबंध नहीं कर सकता। हमारी सलाह है कि यह मानकर तैयारी करें कि यह क़ानून के अनुसार स्वैच्छिक और कारोबार में व्यवहारतः अनिवार्य है।

अनुरूपता की स्व-घोषणा कौन करता है?

प्रबंधन। ★3 के लिए विशेषज्ञ की पुष्टि, या ★4 के लिए मूल्यांकन संस्था की रिपोर्ट के बाद, प्रबंधन आवश्यकताओं के अनुरूप होने की घोषणा करता है और पंजीकरण के लिए आवेदन करता है।

यदि हमारे पास ISMS है, तो क्या फिर भी इसकी ज़रूरत है?

हाँ। IPA के FAQ में ISMS और इस योजना को एक-दूसरे का पूरक बताया गया है। रेटिंग अन्य क़ानूनी ढाँचों या उद्योग मानकों के अनुपालन की गारंटी भी नहीं देती।

कुल लागत कितनी है?

IPA के पंजीकरण शुल्क (★3 के लिए ¥10,000 प्रति वर्ष, ★4 के लिए 3 वर्ष का ¥60,000) के अलावा, योजना की शुल्क तालिका में कुछ भी नहीं है: विशेषज्ञ और मूल्यांकन संस्थाएँ बाज़ार दर पर शुल्क लेती हैं, और उपायों की लागत आपकी मौजूदा स्थिति पर निर्भर करती है। स्व-मूल्यांकन में बिंदुओं को पूरा या अधूरा चिह्नित करने से उपायों की लागत का मोटा अंदाज़ा मिल जाता है।

संदर्भ

अंतिम जांच: 2026-10-30। विनिर्देश और नीतियां बदल सकती हैं; कोई कदम उठाने से पहले मूल स्रोतों की जांच करें।

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)