Рейтинг SCS в Японии будет отсеивать поставщиков: что руководителям нужно знать о требовании ★, которое спускается до поставщиков 3-го уровня, и что ждёт компании, не соответствующие ему

В марте 2027 года откроется приём заявок по системе рейтинга SCS («Системе рейтинга безопасности для укрепления цепочек поставок»), которую ведёт IPA — Агентство по продвижению информационных технологий Японии. 28 октября 2026 года были опубликованы руководства по оценке и пояснительный справочник, и содержание системы теперь определено.

Для руководителей важнее всего одно: система задумана так, чтобы распространяться не только на поставщиков 1-го уровня, напрямую работающих с крупными компаниями, но и ниже — на поставщиков 2-го и 3-го уровней. Как только крупная компания впишет в свои стандарты закупок «★3 или выше», компании, не соответствующие стандарту, больше не смогут быть выбраны в качестве поставщиков. А поскольку поставщик 1-го уровня, желающий получить ★4, по требованиям обязан знать состояние безопасности собственных поставщиков (2-го уровня), требование продолжает спускаться по цепочке.

Статья адресована руководителям по обе стороны: тем, от кого будут требовать ★ как условие сделки, и тем, кто будет его требовать. На основе первичных документов (документов системы от IPA) в ней рассматривается, как работает система, почему она спускается по цепочке, что происходит с компаниями, которые ей не соответствуют, какие решения нужно принять, а также затраты и сроки. Технические подробности — в руководстве для инженеров, а введение в систему — в общем руководстве.

Эта статья также опубликована на английском языке на sitescouter.net и nkzw.jp и на японском языке на sitescouter.net. Это русская версия на Site Scouter, переведённая с английской.

Что уже решено

• IPA ведёт систему под надзором Министерства экономики, торговли и промышленности и Национального управления по кибербезопасности при Секретариате кабинета министров. Её основой служит «политика проектирования системы» от марта 2026 года
• Уровней три: ★3, ★4 и ★5. Для ★3 соответствие 26 требованиям доказывается самооценкой, подтверждённой экспертом; для ★4 соответствие 43 требованиям доказывается оценкой третьей стороной и технической верификацией. ★5 пока находится в проработке
• ★3 действует 1 год, ★4 — 3 года. Регистрационный сбор, уплачиваемый IPA, составляет ¥10,000 в год для ★3 (до конца марта 2028 года; затем ¥20,000) и ¥60,000 за 3 года для ★4
• Сертифицированные организации публикуются на сайте IPA и могут использовать логотип
• Приём заявок планируется открыть в марте 2027 года. Руководство по подаче заявки на регистрацию ожидается в конце ноября 2026 года, список органов по оценке — в конце декабря, список экспертов — с января 2027 года

Почему требование доходит до поставщиков 3-го уровня

В описании системы сказано, что «заказчик предъявляет поставщику соответствующий уровень (★), побуждает его внедрять меры и проверяет их выполнение». Звучит как дело двух компаний, но из требований видно, что система задумана для каскадного распространения.

• Требование 2-1-1 для ★3: создать механизм, позволяющий знать связи между собственными активами и системами, которыми управляют другие организации (поставщики, включая клиентов, дочерние и аффилированные компании и облачных провайдеров)
• Требование 2-1-4 для ★3: с поставщиками, с которыми вы обмениваетесь конфиденциальной информацией, определить роли и ответственность на случай инцидента
• Требование 2-1-3 для ★4: с точки зрения рисков для непрерывности бизнеса и рисков управления информацией знать состояние безопасности поставщиков, которые могут повлиять на вашу компанию
• Требование 2-1-5 для ★4: по окончании договора вернуть у поставщика конфиденциальную информацию и права доступа либо обеспечить их уничтожение

Иными словами, поставщик 1-го уровня, от которого крупная компания требует ★4, должен знать состояние безопасности своих поставщиков 2-го уровня, чтобы сохранить ★4, а самый простой способ это знать — «чтобы поставщики 2-го уровня тоже получили ★». Как только поставщик 2-го уровня получит ★3, его требование 2-1-1 обяжет его знать свои связи с поставщиками 3-го уровня. Поскольку категория 2 требований — это «управление поставщиками», система устроена так, что звёзды доходят до самого конца цепочки.

Что будет, если вы не соответствуете

В FAQ IPA сказано, что «получение ★ добровольно» и что «невыполнение всех требований не означает немедленного прекращения деловых отношений». Это верное описание правового статуса системы.

Деловая реальность иная. Крупные компании не могут работать с компаниями, не соответствующими их стандартам закупок. Как только в стандартах появится формулировка «поставщики должны иметь ★3 или выше по системе рейтинга SCS», компании без рейтинга выпадают из списка кандидатов в поставщики. У ответственного сотрудника нет свободы усмотрения: заключение договора с поставщиком, не соответствующим стандарту, обернулось бы для него и для компании нарушением требований комплаенса.

Устройство системы это усиливает. Компания с ★4 обязана знать состояние безопасности своих поставщиков, поэтому не может сохранять поставщиков, чьё состояние узнать невозможно. Для новых сделок это условие с самого начала; для существующих оно добавляется при продлении договора. Что касается государственных закупок, IPA говорит, что «станет ли это требованием тендера, решает закупающая организация», но поскольку это государственная система, разумно ожидать, что государственный сектор начнёт первым.

Короче говоря, рейтинг добровольный по закону и фактически обязательный в бизнесе. Разрыв между компаниями, которые готовятся до того, как их попросят клиенты, и компаниями, которые спохватываются потом, станет ещё больше, когда откроется приём заявок, а органы по оценке и эксперты окажутся полностью загружены.

Пять решений для руководителей

Большинство требований сотрудники могут продвигать сами, но следующие пять вопросов не сдвинутся с места, пока их не решит руководство.

1. На какую звезду ориентироваться. Это зависит от того, что потребуют ваши основные клиенты. Пока в качестве ориентира: ★4, если вы работаете напрямую с крупными компаниями, ★3, если вы поставщик 2-го уровня или ниже. Также можно подать заявку сразу на ★4 без ★3
2. Какую единицу сертифицировать. В оценочном листе выбирается юридическое лицо целиком, его часть (например, бизнес-подразделение) или группа компаний. Чем шире область, тем дороже меры; чем она уже, тем чаще придётся объяснять клиентам, что «это подразделение не входит в область оценки»
3. Кто отвечает. Требование 1-2-1 для ★3 предписывает назначить руководителя, отвечающего за безопасность (например, CISO), и ответственное подразделение, а также распределить обязанности и полномочия. Для ★4 дополнительно требуется орган, способный принимать управленческие решения, например комитет по информационной безопасности с участием руководства (1-2-1-4)
4. Кто делает самодекларацию соответствия. И для ★3, и для ★4 в итоге именно руководство заявляет, что «мы соответствуем требованиям». Эксперты или органы по оценке проверяют, но ответственность за декларацию лежит на руководстве
5. К какому сроку. Приём заявок открывается в марте 2027 года. По отраслевой оценке, на внедрение мер нужно 2–3 месяца, а на подготовку доказательств — 1–2 месяца. Отсчитайте назад от дат продления договоров с клиентами, чтобы определить дату начала работ

Реальные затраты и сроки

Регистрационный сбор IPA в ¥10,000 в год для ★3 выглядит скромно, но это лишь часть затрат.

Что касается сроков, оценочный лист (шаблон для самооценки) уже опубликован, так что оценку текущего состояния можно начинать прямо сейчас.

Для малых и средних компаний IPA готовит «Cyber Security Otasuketai Service (нового типа)» — службу поддержки, которая помогает компаниям получить ★3 и ★4 (по состоянию на октябрь 2026 года находится на пилотном этапе).

Что сделать в этом месяце

Ждать открытия приёма заявок не нужно. За эти четыре дела можно взяться уже в этом месяце.

1. Спросите основных клиентов об их планах. Через отдел продаж задайте вопрос: «Какой уровень системы рейтинга SCS вы планируете требовать от поставщиков?» Их отделы закупок тоже готовятся, и чем раньше вы спросите, тем больше простора для обсуждения условий
2. Назначьте ответственного. Создайте структуру, предусмотренную требованием 1-2-1, и передайте ей оценочный лист
3. Проведите самооценку текущего состояния. Даже простая отметка «выполнено / не выполнено» по 26 пунктам покажет, куда пойдут деньги. Чаще всего компании спотыкаются на операционных системах и ПО с истёкшей поддержкой, отсутствии многофакторной аутентификации, запоздалых обновлениях и отсутствии процедур восстановления
4. Проверьте, как ваша компания выглядит снаружи. Не сообщает ли ваш сайт или сервер об устаревшей версии, можно проверить без регистрации, просто введя URL в проверке информации о сервере Site Scouter. Этот «взгляд снаружи» — также первое, на что смотрит отдел закупок клиента

Для руководителей, которые будут требовать звезду от поставщиков

Если ваша компания — генеральный подрядчик и будет требовать ★ от поставщиков, нужно решить следующее:

• Какой уровень требовать от какого поставщика. Система предполагает, что требуемые меры «предъявляются в соответствии с положением поставщика в цепочке поставок». Не обязательно требовать одинакового уровня от поставщика, у которого хранится ваша конфиденциальная информация, и от поставщика типовых комплектующих
• Формулировки договора и переходные периоды. Приём заявок открывается в марте 2027 года, поэтому до этого нельзя ставить условием «уже сертифицирован». Реалистично условие со сроком, например «получить ★3 в течение 2027 финансового года»
• Связь с вашей собственной ★4. Требование 2-1-3 для ★4 обязывает знать состояние безопасности поставщиков. Требование ★ от поставщиков становится и доказательством для вашей собственной ★4
• Что делать с собственными чек-листами. Одна из целей системы — избавить поставщиков от бремени разных чек-листов от каждого заказчика. Если заменить части вашего чек-листа, которые покрывает ★, будет проще заручиться сотрудничеством поставщиков

Остерегайтесь навязчивых продаж

В апреле 2026 года Министерство экономики, торговли и промышленности и Секретариат кабинета министров предупредили о недобросовестных методах продаж с утверждениями вроде «без рейтинга вы не сможете вести бизнес» или «мы аккредитованная организация поддержки». Роли «аккредитованной организации поддержки» в системе нет. Официальных ролей четыре, и их назначает или регистрирует IPA: органы по оценке, исполнители технической верификации, организаторы обучения и эксперты по безопасности SCS; списки будут публиковаться на сайте IPA начиная с декабря 2026 года. Требования также не обязывают устанавливать какой-либо конкретный продукт безопасности. Предложение вида «установите этот продукт — и получите ★» не соответствует системе.

Разница между тем, что в разделе 3 этой статьи названо «фактически обязательным в бизнесе», и такими продажами — в сроках и в том, кто требует. Пока клиент не впишет это в свои стандарты закупок, никто не может этого требовать, а сейчас, до открытия приёма заявок, нет никаких оснований говорить «подпишите сегодня, иначе опоздаете».

Примечания о методе и ограничения

Статья основана на сайте системы IPA, FAQ, требованиях и критериях оценки (SCS-400 Ver.1.1), справочнике (SCS-620), уведомлении о сборах и пресс-релизе от 28 октября 2026 года в редакции, опубликованной на 30 октября 2026 года. Идентификаторы и содержание требований взяты из SCS-400 Ver.1.1. Утверждение в разделе 3 о том, что рейтинг становится «фактически обязательным в бизнесе», — мнение автора, выведенное из структуры требований и практики закупок крупных компаний; просим воспринимать его отдельно от официальной позиции IPA (получение рейтинга добровольно). Руководство по подаче заявки на регистрацию ещё не опубликовано, поэтому детали процедуры могут измениться. Автор работает в сфере доменов, хостинга и безопасности и не является ни органом по оценке, ни экспертом системы.

Частые вопросы

Действительно ли поставщикам 3-го уровня понадобится ★?

Система работает так, что заказчик предъявляет уровень своему поставщику, и ограничений на то, на сколько уровней вниз это распространяется, нет. Поскольку требование 2-1-3 для ★4 обязывает знать состояние безопасности поставщиков, чем больше компаний выше по цепочке получат ★4, тем сильнее стимул требовать ★ от компаний ниже по цепочке.

Потеряем ли мы бизнес, если не получим рейтинг?

IPA заявляет, что «получение рейтинга добровольно» и что «деловые отношения не прекращаются немедленно». С другой стороны, как только клиент впишет ★ в свои стандарты закупок, он не сможет заключать договоры с компаниями, которые им не соответствуют. Мы рекомендуем готовиться, исходя из того, что рейтинг добровольный по закону и фактически обязательный в бизнесе.

Кто делает самодекларацию соответствия?

Руководство. После подтверждения экспертом для ★3 или отчёта органа по оценке для ★4 руководство заявляет о соответствии требованиям и подаёт заявку на регистрацию.

Нужен ли рейтинг, если у нас уже есть ISMS?

Да. В FAQ IPA ISMS и система описаны как взаимодополняющие. Кроме того, рейтинг не гарантирует соответствия другим правовым рамкам или отраслевым стандартам.

Сколько всего это стоит?

Кроме регистрационного сбора IPA (¥10,000 в год для ★3, ¥60,000 за 3 года для ★4), в таблице сборов системы ничего нет: эксперты и органы по оценке берут рыночную цену, а стоимость мер зависит от вашего текущего состояния. Отметка «выполнено / не выполнено» в самооценке даёт приблизительное представление о стоимости мер.

Источники

Последняя проверка: 2026-10-30. Спецификации и правила могут меняться; прежде чем действовать, сверьтесь с первоисточниками.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)