Pemeringkatan SCS Jepang Akan Menyeleksi Pemasok: Yang Perlu Diketahui Eksekutif tentang Persyaratan ★ yang Mengalir Turun hingga Pemasok Tier-3, dan Apa yang Terjadi pada Perusahaan yang Tidak Memenuhinya

Pada Maret 2027, pengajuan dibuka untuk skema pemeringkatan SCS (Skema Pemeringkatan Keamanan untuk Memperkuat Rantai Pasok) yang dijalankan oleh IPA, the Information-technology Promotion Agency, Japan. Pada 28 Oktober 2026, panduan penilaian dan buku panduan penjelasan diterbitkan, dan isi skema kini sudah pasti.

Bagi eksekutif, satu hal paling penting: skema ini dirancang untuk mengalir turun tidak hanya ke pemasok tier-1 yang berhubungan langsung dengan perusahaan besar, tetapi juga ke pemasok tier-2 dan tier-3. Begitu sebuah perusahaan besar mencantumkan "★3 atau lebih tinggi" dalam standar pengadaannya, perusahaan yang tidak memenuhi standar itu tidak bisa lagi dipilih sebagai pemasok. Dan karena pemasok tier-1 yang menginginkan ★4, menurut persyaratannya, wajib mengetahui status keamanan pemasoknya sendiri (tier-2), persyaratan ini terus mengalir ke bawah rantai.

Artikel ini ditujukan bagi eksekutif di kedua sisi: mereka yang akan dimintai ★ sebagai syarat bisnis, dan mereka yang akan memintanya. Berdasarkan dokumen primer (dokumen skema IPA), artikel ini membahas cara kerja skema, mengapa persyaratannya mengalir turun, apa yang terjadi pada perusahaan yang tidak memenuhinya, keputusan yang harus diambil, serta biaya dan waktu yang dibutuhkan. Rincian teknisnya ada di panduan untuk engineer dan pengantar skema ada di panduan umum.

Artikel ini juga diterbitkan dalam bahasa Inggris di sitescouter.net dan nkzw.jp, serta dalam bahasa Jepang di sitescouter.net. Ini adalah edisi bahasa Indonesia di Site Scouter, diterjemahkan dari versi bahasa Inggris.

Apa yang sudah diputuskan

• IPA menjalankan skema ini di bawah pengawasan Kementerian Ekonomi, Perdagangan, dan Industri serta National Cybersecurity Office di Sekretariat Kabinet. Dasarnya adalah "kebijakan desain skema" bulan Maret 2026
• Ada tiga tingkat: ★3, ★4, dan ★5. ★3 membuktikan 26 persyaratan melalui penilaian mandiri yang dikonfirmasi oleh seorang pakar; ★4 membuktikan 43 persyaratan melalui penilaian pihak ketiga ditambah verifikasi teknis. ★5 masih dalam kajian
• ★3 berlaku 1 tahun dan ★4 berlaku 3 tahun. Biaya registrasi yang dibayarkan kepada IPA adalah ¥10,000 per tahun untuk ★3 (hingga akhir Maret 2028; ¥20,000 setelahnya) dan ¥60,000 untuk 3 tahun untuk ★4
• Organisasi yang tersertifikasi dicantumkan di situs web IPA dan dapat menggunakan tanda logo
• Pengajuan dijadwalkan dibuka pada Maret 2027. Panduan pengajuan registrasi dijadwalkan terbit pada akhir November 2026, daftar lembaga penilai pada akhir Desember, dan daftar pakar mulai Januari 2027

Mengapa persyaratan ini sampai ke pemasok tier-3

Penjelasan skema menyebutkan bahwa "pihak pemberi kerja menyampaikan tingkat (★) yang sesuai kepada pemasok, mendorongnya menerapkan langkah-langkah, dan memeriksa penerapannya". Kedengarannya seperti urusan antara dua perusahaan, tetapi membaca persyaratannya menunjukkan bahwa skema ini dirancang untuk mengalir turun.

• Persyaratan ★3 2-1-1: bangun mekanisme untuk mengetahui hubungan antara aset Anda sendiri dan sistem yang dikelola organisasi lain (pemasok, termasuk pelanggan, anak perusahaan, afiliasi, dan penyedia cloud)
• Persyaratan ★3 2-1-4: bersama pemasok yang berbagi informasi rahasia, tetapkan peran dan tanggung jawab saat terjadi insiden
• Persyaratan ★4 2-1-3: dari sudut pandang risiko kelangsungan bisnis dan risiko pengelolaan informasi, ketahui status keamanan pemasok yang dapat memengaruhi perusahaan Anda
• Persyaratan ★4 2-1-5: saat kontrak berakhir, ambil kembali informasi rahasia dan hak akses dari pemasok, atau minta agar dimusnahkan

Dengan kata lain, pemasok tier-1 yang dimintai ★4 oleh perusahaan besar harus mengetahui status keamanan pemasok tier-2-nya agar dapat mempertahankan ★4, dan cara paling sederhana untuk mengetahuinya adalah "meminta pemasok tier-2 juga memperoleh ★". Begitu pemasok tier-2 memperoleh ★3, persyaratan 2-1-1 mewajibkannya mengetahui hubungannya dengan pemasok tier-3. Karena kategori 2 dari persyaratan adalah "manajemen pemasok", struktur skema ini membuat bintang-bintang itu mengalir sampai ke ujung rantai.

Apa yang terjadi jika Anda tidak memenuhinya

FAQ IPA menyatakan bahwa "memperoleh ★ bersifat sukarela" dan bahwa "tidak memenuhi semua persyaratan tidak berarti bisnis langsung dihentikan". Itu adalah gambaran yang benar tentang status hukum skema ini.

Realitas bisnis berbeda. Perusahaan besar tidak dapat berbisnis dengan perusahaan yang tidak memenuhi standar pengadaannya. Begitu standar tersebut menyatakan "pemasok wajib memiliki ★3 atau lebih tinggi dalam skema pemeringkatan SCS", perusahaan yang tidak memilikinya tersingkir dari daftar calon pemasok. Penanggung jawabnya tidak punya keleluasaan: mengontrak pemasok yang tidak memenuhi standar akan membuat orang tersebut dan perusahaannya melanggar kepatuhan.

Desain skema memperkuat hal ini. Perusahaan yang memiliki ★4 wajib mengetahui status keamanan pemasoknya, sehingga tidak dapat mempertahankan pemasok yang statusnya tidak bisa diketahui. Untuk bisnis baru, ini menjadi syarat sejak awal; untuk bisnis yang sudah berjalan, syarat ini ditambahkan saat perpanjangan kontrak. Mengenai pengadaan publik, IPA menyatakan bahwa "apakah ini menjadi syarat tender diserahkan kepada instansi pengadaan", tetapi karena ini skema pemerintah, wajar untuk memperkirakan pengadaan sektor publik akan bergerak lebih dulu.

Singkatnya, skema ini sukarela secara hukum dan wajib secara de facto dalam bisnis. Kesenjangan antara perusahaan yang bersiap sebelum pelanggan meminta dan perusahaan yang kelabakan setelahnya akan semakin melebar begitu pengajuan dibuka dan jadwal lembaga penilai serta pakar sudah penuh.

Lima keputusan bagi eksekutif

Staf dapat menggerakkan sebagian besar persyaratan, tetapi lima poin berikut tidak akan bergerak sampai manajemen memutuskannya.

1. Bintang mana yang dituju. Ini bergantung pada apa yang akan diminta oleh pelanggan utama Anda. Sebagai patokan untuk saat ini, ★4 jika Anda berhubungan langsung dengan perusahaan besar, ★3 jika Anda pemasok tier-2 atau di bawahnya. Anda juga dapat langsung mengajukan ★4 tanpa ★3
2. Unit mana yang disertifikasi. Di lembar penilaian, Anda memilih seluruh badan hukum, sebagian darinya seperti divisi bisnis, atau grup perusahaan. Semakin luas cakupannya, semakin tinggi biaya langkah-langkahnya; semakin sempit, semakin sering Anda harus menjelaskan kepada pelanggan bahwa "divisi ini di luar cakupan"
3. Siapa yang bertanggung jawab. Persyaratan ★3 1-2-1 meminta Anda menunjuk eksekutif yang bertanggung jawab atas keamanan (seperti CISO) dan departemen yang bertanggung jawab, serta menetapkan tanggung jawab dan wewenangnya. ★4 juga mewajibkan badan yang dapat mengambil keputusan manajemen, seperti komite keamanan informasi dengan partisipasi manajemen (1-2-1-4)
4. Siapa yang membuat deklarasi kesesuaian mandiri. Untuk ★3 maupun ★4, pada akhirnya manajemenlah yang mendeklarasikan bahwa "kami sesuai dengan persyaratan". Pakar atau lembaga penilai melakukan pemeriksaan, tetapi tanggung jawab atas deklarasi ada pada manajemen
5. Sampai kapan. Pengajuan dibuka pada Maret 2027. Patokan di industri adalah 2 sampai 3 bulan untuk menerapkan langkah-langkah dan 1 sampai 2 bulan untuk menyiapkan bukti. Hitung mundur dari tanggal perpanjangan kontrak pelanggan Anda untuk menetapkan tanggal mulai

Biaya dan waktu yang sesungguhnya

Biaya registrasi yang dibayarkan kepada IPA terlihat murah, ¥10,000 per tahun untuk ★3, tetapi itu hanya sebagian dari biayanya.

Soal waktu, lembar penilaian (templat penilaian mandiri) sudah diterbitkan, sehingga Anda bisa mulai menilai kondisi saat ini sekarang juga.

Untuk perusahaan kecil dan menengah, IPA sedang menyiapkan "Cyber Security Otasuketai Service (tipe baru)", sebuah layanan dukungan yang bertujuan membantu perusahaan memperoleh ★3 dan ★4 (masih dalam tahap uji coba per Oktober 2026).

Apa yang perlu dilakukan bulan ini

Tidak perlu menunggu pengajuan dibuka. Anda bisa memulai empat hal ini bulan ini juga.

1. Tanyakan rencana pelanggan utama Anda. Melalui tim penjualan, tanyakan "tingkat berapa dalam skema pemeringkatan SCS yang rencananya akan Anda wajibkan bagi pemasok?" Departemen pengadaan mereka juga sedang bersiap, dan semakin cepat Anda bertanya, semakin banyak ruang untuk menegosiasikan syarat
2. Tunjuk penanggung jawab. Bentuk organisasi yang diwajibkan oleh persyaratan 1-2-1 dan serahkan lembar penilaian
3. Nilai sendiri kondisi saat ini. Cukup menandai 26 butir sebagai terpenuhi atau tidak terpenuhi sudah menunjukkan ke mana uang akan mengalir. Butir yang paling sering menjegal perusahaan adalah sistem operasi dan perangkat lunak yang dukungannya telah berakhir, tidak adanya autentikasi multifaktor, pembaruan yang terlambat, dan tidak adanya prosedur pemulihan
4. Periksa bagaimana perusahaan Anda tampak dari luar. Apakah situs web atau server Anda mengumumkan versi lama dapat diperiksa, tanpa registrasi, cukup dengan memasukkan URL di pemeriksaan informasi server Site Scouter. "Tampilan dari luar" ini juga merupakan hal pertama yang dilihat departemen pengadaan pelanggan

Bagi eksekutif yang akan meminta bintang dari pemasok

Jika perusahaan Anda adalah kontraktor utama dan akan meminta ★ dari pemasok, Anda perlu memutuskan hal-hal berikut:

• Tingkat mana yang diminta dari pemasok mana. Skema ini mengasumsikan bahwa langkah yang diwajibkan "disampaikan sesuai posisi pemasok dalam rantai pasok". Anda tidak perlu meminta tingkat yang sama dari pemasok yang memegang informasi rahasia Anda dan dari pemasok suku cadang umum
• Redaksi kontrak dan masa tenggang. Pengajuan dibuka pada Maret 2027, sehingga Anda tidak bisa menjadikan "sudah tersertifikasi" sebagai syarat sebelum itu. Syarat dengan tenggat, seperti "memperoleh ★3 selama tahun fiskal 2027", lebih realistis
• Keterkaitan dengan ★4 Anda sendiri. Persyaratan ★4 2-1-3 mewajibkan Anda mengetahui status keamanan pemasok. Meminta ★ dari pemasok sekaligus menjadi bukti untuk ★4 Anda sendiri
• Apa yang dilakukan dengan daftar periksa Anda sendiri. Salah satu tujuan skema ini adalah mengakhiri beban pemasok yang harus mengisi daftar periksa berbeda dari setiap pemberi kerja. Mengganti bagian daftar periksa Anda yang dapat dicakup oleh ★ akan memudahkan Anda memperoleh kerja sama pemasok

Waspadai tawaran penjualan yang memaksa

Pada April 2026, Kementerian Ekonomi, Perdagangan, dan Industri serta Sekretariat Kabinet memperingatkan terhadap tawaran penjualan yang tidak pantas yang mengklaim "Anda tidak akan bisa berbisnis tanpa peringkat" atau "kami adalah organisasi pendukung terakreditasi". Tidak ada peran bernama "organisasi pendukung terakreditasi" dalam skema ini. Peran resminya adalah empat yang ditunjuk atau didaftarkan oleh IPA: lembaga penilai, penyedia verifikasi teknis, penyedia pelatihan, dan pakar keamanan SCS, dan daftarnya akan diterbitkan di situs web IPA mulai Desember 2026. Persyaratannya juga tidak meminta Anda memasang produk keamanan tertentu. Tawaran bahwa "memasang produk ini akan memberi Anda ★" tidak sesuai dengan skema.

Perbedaan antara apa yang disebut bagian 3 artikel ini sebagai "wajib secara de facto dalam bisnis" dan tawaran penjualan semacam itu adalah waktu dan pihaknya. Sampai pelanggan mencantumkannya dalam standar pengadaan, tidak ada yang dapat memaksakannya, dan saat ini, sebelum pengajuan dibuka, tidak ada dasar untuk mengatakan "tanda tangani hari ini atau Anda akan terlambat".

Catatan metode dan keterbatasan

Artikel ini disusun berdasarkan situs web skema IPA, FAQ, persyaratan dan kriteria evaluasi (SCS-400 Ver.1.1), buku panduan (SCS-620), pemberitahuan biaya, dan siaran pers tanggal 28 Oktober 2026, sebagaimana diterbitkan per 30 Oktober 2026. ID dan isi persyaratan diambil dari SCS-400 Ver.1.1. Pernyataan di bagian 3 bahwa skema ini menjadi "wajib secara de facto dalam bisnis" adalah pandangan penulis, yang ditarik dari struktur persyaratan dan praktik pengadaan perusahaan besar; harap dibaca terpisah dari posisi resmi IPA (memperoleh peringkat bersifat sukarela). Panduan pengajuan registrasi belum diterbitkan, sehingga rincian prosedur dapat berubah. Penulis bekerja di bisnis domain, hosting, dan keamanan, dan bukan lembaga penilai maupun pakar dalam skema ini.

Tanya jawab

Apakah pemasok tier-3 benar-benar akan membutuhkan ★?

Skema ini bekerja dengan pihak pemberi kerja menyampaikan tingkat kepada pemasoknya, tanpa batas berapa tingkat ke bawah. Karena persyaratan ★4 2-1-3 mewajibkan pemahaman atas status keamanan pemasok, semakin banyak perusahaan di atas yang memperoleh ★4, semakin kuat dorongan untuk meminta ★ dari perusahaan di bawahnya.

Apakah kami akan kehilangan bisnis jika tidak memperolehnya?

IPA menyatakan bahwa "memperoleh peringkat bersifat sukarela" dan bahwa "bisnis tidak langsung dihentikan". Di sisi lain, begitu pelanggan mencantumkan ★ dalam standar pengadaannya, pelanggan itu tidak dapat mengontrak perusahaan yang tidak memenuhinya. Kami menyarankan untuk bersiap dengan anggapan bahwa skema ini sukarela secara hukum dan wajib secara de facto dalam bisnis.

Siapa yang membuat deklarasi kesesuaian mandiri?

Manajemen. Setelah konfirmasi pakar untuk ★3, atau laporan lembaga penilai untuk ★4, manajemen mendeklarasikan kesesuaian dengan persyaratan dan mengajukan registrasi.

Jika kami sudah memiliki ISMS, apakah kami tetap memerlukannya?

Ya. FAQ IPA menggambarkan ISMS dan skema ini sebagai saling melengkapi. Peringkat ini juga tidak menjamin kepatuhan terhadap kerangka hukum lain atau standar industri.

Berapa total biayanya?

Selain biaya registrasi IPA (¥10,000 per tahun untuk ★3, ¥60,000 untuk 3 tahun untuk ★4), tidak ada yang tercantum dalam tabel biaya skema: pakar dan lembaga penilai mengenakan harga pasar, dan biaya langkah-langkahnya bergantung pada kondisi Anda saat ini. Menandai penilaian mandiri sebagai terpenuhi atau tidak terpenuhi memberi Anda gambaran kasar tentang biaya langkah-langkah tersebut.

Referensi

Terakhir diperiksa: 2026-10-30. Spesifikasi dan kebijakan dapat berubah; periksa sumber primer sebelum mengambil tindakan.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)