サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点・税制の落とし穴【中小企業向け】

結論から申し上げます。サイバー攻撃に備えるBCP（事業継続計画）を、ゼロから作る必要はありません。中小企業庁の「事業継続力強化計画（通称ジギョケイ）」という国の認定制度があり、その公式の手引きには、サイバー攻撃を想定した場合の記載例がそのまま載っています。
書き写して自社の事情に置き換えれば、A4数枚で「サイバーBCP」の形になります。

しかもこの手引きは令和8年（2026年）7月17日版に更新されたばかりです。
そこには「既に自然災害に対する計画を策定している事業者も、感染症やサイバー攻撃への対策を追加した計画の策定に取り組んでいただくようお願いします」とはっきり書かれています。

本記事は、中小企業庁「事業継続力強化計画 策定の手引き」（令和8年7月17日版）、同「Q&A集」（令和7年12月17日版）、同「地域別認定件数一覧」（令和8年7月末日時点／2026年8月24日更新）、同「事業継続力強化計画パンフレット」、および中小機構「デジタル化・AI導入補助金2026 加点項目一覧」（2026年6月3日更新）を、いずれも原典のPDFにあたって確認したうえで書いています。

この記事では、自然災害のBCPとサイバーBCPの違い、手引きに載っているサイバー攻撃版の記載例、認定を受けたときの5つのメリット、そして「税制優遇はサイバー対策には使えない可能性が高い」「デジタル化・AI導入補助金では加点項目になっていない」という、あまり語られていない落とし穴まで、専門用語をなるべく使わずに整理します。

サイバー攻撃で会社が止まる、とはどういうことか？

地震や水害で会社が止まる姿は、多くの経営者が想像できます。建物が壊れる、道路が寸断される、停電する——目に見えるからです。
ところがサイバー攻撃で止まるときは、建物も設備も無傷のまま、業務だけが動かなくなります。

実際に何が起きるかは、手引きの「記載例③（サイバー攻撃の場合）」に、かなり生々しく書かれています。

・ランサムウェアの感染により、社内データが暗号化され、顧客や仕入れ先との取引データが利用できなくなり、端末PCも画面がロックされ、社内の取引業務が停止する。
・情報漏洩や取引業務の停止により、当社の社会的信用が失墜し、取引先から情報管理体制が再構築できるまで取引停止を通告されることが想定される。
（中小企業庁「事業継続力強化計画 策定の手引き」令和8年7月17日版 より）

警察庁が令和8年3月に公表した資料によれば、令和7年に報告されたランサムウェア被害は226件で、そのうち約6割が中小企業でした。復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまります。
つまり被害の半分近くは、復旧に1か月以上かかっているということです。

1か月、受注も出荷も請求もできない。これは「セキュリティの問題」ではなく、明確に「事業継続の問題」です。

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策

サイバーBCPは、自然災害のBCPと何が違う？

同じ「事業が止まる」でも、原因がサイバー攻撃だと、備え方が変わります。違いを整理すると次のとおりです。

観点	自然災害（地震・水害）	サイバー攻撃
被害の見え方	建物・設備が壊れる。目で見て分かる	設備は無傷。何が起きたか、どこまで被害が及んだかがすぐ分からない
いつ起きたか	発生の瞬間がはっきりしている	侵入から発覚まで時間が空くことが多く、「いつから入られていたか」の特定に調査が要る
代替のしかた	別拠点・別工場に移す、手書き伝票に切り替える	同じネットワークにつながった別拠点も同時にやられている可能性がある
最初の判断	人命の安全確保と避難	感染拡大を止めるためにネットワークを切るか（＝自ら業務を止めるか）の判断
復旧の見通し	被害の程度で概ね見積もれる	原因が分からないと復旧してよいか判断できず、見積もりが立てにくい

とくに厄介なのが「最初の判断」です。地震なら誰も迷わず避難しますが、サイバー攻撃では「疑わしいので、いったんネットワークを切って業務を止める」という判断を、誰かがその場で下さなければなりません。
この判断を経営者不在の現場に丸投げすると、たいてい「様子を見よう」となり、その間に被害が広がります。

だからサイバーBCPで最初に決めるべきは、高度な技術対策ではなく「誰が、どの状態になったら、止める判断をするのか」という1行です。

BCP・IT-BCP・サイバーBCPは何が違う？

言葉が3つ出てくるので、ここで整理しておきます。中身が別物というより、守る範囲の広さが違うと考えると分かりやすくなります。

呼び方	何を対象にしているか	中小企業にとっての位置づけ
BCP（事業継続計画）	地震・水害・感染症など、事業が止まるあらゆる原因	いちばん外側の枠。ジギョケイはこの簡易版にあたる
IT-BCP	システム障害・機器故障・停電など、ITが使えなくなる事態全般	サーバーが壊れた、クラウドが落ちた、といった「事故」も含む
サイバーBCP	サイバー攻撃という「悪意ある第三者」が原因の事業停止	攻撃者が能動的に動くため、復旧しても再び狙われる前提で考える必要がある

中小企業が別々に3つ作る必要はありません。ジギョケイという1つの様式の中で、想定する事象としてサイバー攻撃を追加すればよい——これが本記事の要点です。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

ゼロから作らなくていい？──「事業継続力強化計画（ジギョケイ）」という国の枠組み

BCPというと、分厚いマニュアルを想像して身構えてしまいますが、中小企業向けにはもっと軽い枠組みが用意されています。それが中小企業庁の「事業継続力強化計画」、通称ジギョケイです。

中小企業庁自身が「中小企業のための取り組みやすいBCP」と位置づけています。中小企業等経営強化法にもとづき、防災・減災の事前対策に関する計画を経済産業大臣が認定する制度です。

項目	内容
制度名	事業継続力強化計画（単独型）／連携事業継続力強化計画（連携型）
所管	中小企業庁（認定は経済産業大臣）
根拠法	中小企業等経営強化法
対象	中小企業者等（単独型は社会福祉法人・NPO法人は対象外。連携型の連携事業者としては対象）
想定する事象	地震・水害などの自然災害、感染症、サイバー攻撃など
申請方法	原則として電子申請のみ（事業継続力強化計画 電子申請システム）
申請費用	無料（自社で作成すれば費用ゼロ）
標準処理期間	約45日
計画の実施期間	3年が上限。満了後に継続したい場合は新たに申請
申請期限	なし（いつでも申請できる）

ポイントは「サイバー攻撃が、地震や水害と並ぶ正式な想定事象として扱われている」ことです。公式パンフレットの表紙にも「明日起きるかもしれない地震、水害、サイバー攻撃等に備えて…」と書かれています。

つまり、サイバーBCPを別途つくる必要はありません。この国の様式に、サイバー攻撃の欄を埋めればよいのです。

どれくらいの会社が認定を受けている？

中小企業庁が2026年8月24日に更新した「地域別認定件数一覧」（令和8年7月末日時点）を集計すると、制度開始（令和元年8月）からの累計認定件数は102,591件でした。
うち連携型は1,988件です。

年度	認定件数（うち連携型）
令和元年度（8月〜3月）	5,919件（14件）
令和2年度	19,707件（120件）
令和3年度	14,840件（287件）
令和4年度	12,646件（301件）
令和5年度	14,247件（344件）
令和6年度	10,475件（388件）
令和7年度	19,934件（385件）
令和8年度（4〜7月）	4,823件（138件）
累計	102,591件（1,988件）

注目すべきは令和7年度に19,934件と大きく増えていることです。
制度開始直後の令和2年度に次ぐ水準で、取引先や金融機関からの要請、補助金の加点狙いなどで、ここ1〜2年で再び申請が増えていることがうかがえます。

都道府県別に見ると、累計の上位は次のとおりです。

都道府県	累計認定件数	うち連携型
東京都	10,992件	152件
愛知県	7,953件	136件
大阪府	7,801件	147件
静岡県	4,935件	37件
埼玉県	4,620件	60件
神奈川県	4,532件	35件
兵庫県	4,472件	37件
千葉県	4,028件	37件
福岡県	3,980件	80件
北海道	3,775件	124件

全国で10万件を超えているとはいえ、日本の中小企業は300万者を超えます。認定を受けているのは全体の数パーセントにすぎません。逆に言えば、取ればまだ「珍しい会社」でいられる、ということでもあります。

サイバー攻撃は本当に対象になる？──手引きに載っている3つの記載例

「制度としては対象でも、実際に書けるのか」という疑問が当然出てきます。
答えは明快で、公式の手引きには、自然災害・感染症・サイバー攻撃の3パターンの記載例が、それぞれ最後まで書かれています。

記載例	想定している事象
記載例①	自然災害（地震・水害など）
記載例②	感染症
記載例③	サイバー攻撃

しかも手引きの冒頭には、専用の解説枠まで設けられています。

感染症やサイバー攻撃等の自然災害以外のリスクも顕在化しており、これらの対策を講じることも必要です。既に自然災害に対する事業継続力強化計画を策定している事業者の皆様におかれましても、自然災害への対策に加え、感染症やサイバー攻撃への対策を追加した計画の策定に取り組んでいただくようお願いします。
（中小企業庁「事業継続力強化計画 策定の手引き」令和8年7月17日版 より）

すでにジギョケイの認定を受けている会社ほど、この一文を読み飛ばしがちです。「うちはBCPを作ってあるから大丈夫」と思っている会社の計画書に、サイバー攻撃の欄が一行もない——これが、いま最も多いパターンです。

▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと

何を「想定」すればいい？──事象リストと脆弱性リスト

手引きは、被害想定を「事象 × 脆弱性 ＝ 影響」という式で考えるように案内しています。サイバー攻撃の例として、手引きにはこう書かれています。

①事象：サイバー攻撃を受ける
②脆弱性：ウイルス対策ソフトやセキュリティサービスを導入していない／更新していない
③影響：社内・社外との情報伝達手段が停止し、生産活動が停止する。顧客や従業員の機密情報が流出する。
（同 手引き より）

事象リストの「サイバー攻撃」区分は2つだけ

手引きの巻末には、想定してよい「事象リスト」が区分ごとに載っています。サイバー攻撃の区分に挙げられているのは、次の2つです。

事象（サイバー攻撃区分）	分かりやすく言うと
顧客等の個人情報や機密情報が流出する	情報が外に出てしまう（漏えい）
生産管理システムや各種制御装置が停止する	業務や生産が止まってしまう（停止）

「漏らす」か「止まる」か。この2つだけを押さえておけば、想定として十分だということです。

脆弱性リストの「サイバー攻撃」区分は5項目

もう一方の「脆弱性リスト」は全46項目あり、そのうち「サイバー攻撃」と明示されているのは次の5項目です。自社に当てはまるものを選ぶだけで、計画に書くべき弱点が決まります。

#	脆弱性（サイバー攻撃区分）	自社に当てはまるかの見分け方
1	管理すべき情報資産が把握できていない	社内にパソコンが何台あるか、どこに何のデータがあるか、一覧で答えられない
2	セキュリティパッチの適用やバージョンアップが出来ていない	Windows Updateが止まっている端末や、サポートの切れた機器が残っている
3	アクセス可能な機器が必要なものに限定できていない	全員が全部のフォルダを見られる。共有アカウントを使い回している
4	資金不足で、異常の監視、ウイルス対策ソフト等が導入できない	無料ソフトのまま、または期限切れのまま放置している
5	初動対応や報告が必要な関係先情報や対外公表の指針を定めていない	何かあったとき誰にどの順番で連絡するかが決まっていない

加えて、区分が「全て」となっていてサイバー攻撃にもそのまま効く項目が3つあります。これらも一緒に拾っておくと、計画の実効性が上がります。

• インシデント発生時に報告ルートを定めた体制が定められていない、共有されていない
• データのバックアップを実施していない
• バックアップデータを近隣の施設で保管している（同時に被災・同時に暗号化される）

3つ目の「バックアップデータを近隣の施設で保管している」は、水害だけの話ではありません。社内のNASにバックアップを取っているだけなら、ランサムウェアはそのNASごと暗号化します。ネットワークから切り離した保管先、またはクラウド上の保管先が必要です。

▶ 関連記事：バックアップの基本「3-2-1ルール」とは

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法

初動には何を書けばいい？──手引きのサイバー攻撃版の記載例

計画書の「対応手順」の欄には、初動対応を4つの項目に分けて書きます。自然災害だと「避難」「安否確認」ですが、サイバー攻撃版だと意味が変わります。手引きの記載例③はこうなっています。

項目	初動対応の内容と時期	事前に用意しておくこと（事前対策）
人命の安全確保 （従業員の避難方法）	インシデントの認知後	緊急時における、PCの回線切断方法等の手順を従業員に徹底させる
人命の安全確保 （従業員の安否確認方法）	インシデントの認知後	インシデントを社内全体で共有し、同様の事案及び他の機器等への影響の有無を確認する手順の整備
設備の緊急停止方法	事故発生直後	緊急時の機器停止手順の周知・確認
顧客への対応方法	インシデントの認知後	報告が必要な顧客に情報を共有するための手順の整備
非常時の緊急時体制の構築	インシデントの認知後	緊急時対応体制等の報告ルートを定めた「情報セキュリティ関連規程」の整備
被害状況の把握・被害情報の共有	インシデント発生後24時間以内	初期対応事項や報告が必要な関係先情報や対外公表の指針等を定めた「情報セキュリティ関連規程」の整備／外部の専門家や支援者とのサポートの契約を行う

注目していただきたいのは2点です。

1つは「避難方法」の欄に書くのが、人の避難ではなく“PCの回線を抜く手順”だということ。サイバー攻撃における「避難」とは、感染した端末をネットワークから切り離すことなのです。

もう1つは「外部の専門家や支援者とのサポートの契約を行う」が、事前対策として明記されていること。国の手引きが「起きてから探すのでは間に合わないので、平時から契約しておきなさい」と言っているわけです。

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方

「24時間以内に第一報」という時間軸は、法律上の報告義務とも整合します。個人データの漏えいが疑われる場合、個人情報保護委員会への速報は「速やかに（おおむね3〜5日以内）」とされています。社内で気づくのに何日もかかっていては、この期限には到底間に合いません。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法

初動の次は？──「どの業務から戻すか」を先に決めておく

止める判断の次に必要なのが、戻す順番です。ここを決めていないと、復旧作業の現場で「経理を先に」「いや出荷が先だ」と揉めて、ただでさえ足りない時間をさらに失います。

やり方は簡単で、自社の業務を書き出し、「何日止まったら本当に困るか」を書き添えるだけです。製造業の例で作ると、次のようなイメージになります。

業務	何日止まると困るか	止まっている間の代替手段	復旧の優先度
受注・出荷の指示	1日	電話とFAX、手書きの出荷伝票（様式を印刷して保管しておく）	最優先
生産設備の制御	1〜2日	手動運転に切り替える手順を用意しておく	最優先
顧客・取引先への連絡	即日	担当者の携帯電話番号とメールアドレスを紙で持つ	最優先
請求・入金確認	5日（締め日をまたぐと致命的）	前月データの紙控えから手作業で作成	高
給与計算	支給日まで	社労士・会計事務所に一時的に依頼する	高
社内の情報共有・グループウェア	1週間	電話・チャットアプリなど別の手段に切り替える	中
ホームページの更新	2週間	SNS等で告知する	低

この表を作る作業には、費用も専門知識もかかりません。それでいて、実際に攻撃を受けたときに一番効く準備です。ジギョケイの「事業継続力強化に資する対策及び取組」の欄に、そのまま書き写せます。

手引きの参考表にも、脆弱性の一つとして「ITが利用できない場合に備え、代替手段として○○を実施する（手書き伝票での対応など）」という具体的対策事例が挙げられています。コストは「－」、必要期間は「1週間〜」。つまり費用ゼロで、今週中にできる対策です。

ヒト・モノ・カネ・情報には何を書く？

計画書の本体は、経営資源をA ヒト／B モノ／C カネ／D 情報の4つに分けて、「現在の取組」と「今後の計画」を書く形式です。サイバー攻撃版の記載例を要約すると次のとおりです。

欄	何を書くか	手引きの記載例（サイバー攻撃の場合）
A ヒト （人員体制の整備）	誰が指揮を執り、誰に頼るか	代表取締役を情報セキュリティ責任者とした体制を整備するとともに、専門人材の雇用及び外部専門家（セキュリティサービス提供事業者）との委託契約を検討する／権限の集中・分散による脆弱性リスクを踏まえ、権限付与を見直す
B モノ （設備・機器の導入）	何を入れて守るか	ファイアウォールや不正侵入検知装置、監視システム、サイバーセキュリティお助け隊サービス等のセキュリティサービスを導入する／パスワードと指紋など、複数の情報で認証するサービスを利用するとともに、安全性の高いクラウドサービスの契約を検討する
C カネ （資金の手当て）	止まったときの資金をどうするか	サイバー・セキュリティ保険（応急処置対応、調査費用、損害賠償費用の補填等）に加入する
D 情報 （重要情報の保護）	データをどう守るか	「中小企業の情報セキュリティ対策ガイドライン」を参考に、情報セキュリティに関する規程や体制の整備、情報資産の管理等を行う／ネットワークを分離する機能がある設備やバックアップ設備を導入する／セキュリティに関する最新動向を発信している公的機関等のHPの情報を確認する

B欄の記載例に「サイバーセキュリティお助け隊サービス」が名指しで書かれていることは、あまり知られていません。お助け隊サービスはIPA（情報処理推進機構）が制度化した中小企業向けのセキュリティサービスで、24時間365日の異常監視・駆けつけ支援・相談窓口・簡易サイバー保険がひとまとめになっています。国の手引きが例に挙げているサービス類型なので、計画に書くうえで説明がしやすいという実務上の利点があります。

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方

▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説

いくらかかると書けばいい？──手引きが示すコストの目安

手引きの参考表には、対策ごとのコストの目安と必要期間まで書かれています。サイバー攻撃への対策として挙げられているのは次の3つです。

具体的対策事例	コストの目安（手引きの記載）	必要期間
多要素認証サービスやクラウドサービスを利用する	数百円〜／月・ID	1か月
サイバーセキュリティお助け隊サービス	（ネットワーク一括監視型）1万円以下／月 （端末監視型）1台あたり2,000円以下／月	1か月
ウイルス対策ソフトを導入する／更新する	3,000円〜／年・1ユーザ	1か月

国が示している目安が、月1万円以下、あるいは1台あたり月2,000円以下だという点は、予算の説明をするときに使えます。
「BCPと言われても何百万円もかけられない」という会社に対して、国の手引き自身が「その規模で十分だ」と示してくれているわけです。

もう1点、押さえておくべきなのが必要期間です。
いずれも「1か月」。
建物の耐震補強（3か月〜）や自家発電設備の導入（1週間〜、数十万円〜）と比べると、サイバー対策はジギョケイの中では最も早く、最も安く着手できる領域だといえます。

認定を受けると何が得になる？──5つのメリット

公式パンフレットには、認定取得後の主なメリットとして5つが挙げられています。

メリット	内容
① ロゴマークの活用	認定ロゴマークをホームページ・名刺・会社案内に掲載できる。取引先や採用候補者へ防災・防犯の姿勢を示せる（認定事業者は使用規約同意書の提出も不要）
② 低利融資等の金融支援	設備投資に必要な資金について、日本政策金融公庫の低利融資を受けられる（別途、公庫の審査が必要）
③ 防災・減災設備に対する税制措置	中小企業防災・減災投資促進税制により、対象設備の特別償却16％（令和8年4月1日以後の制度内容）
④ 補助金の加点措置	一部の補助金の審査で加点。代表例がものづくり補助金（申請締切日時点で有効な認定が必要）
⑤ 保険料等の割引	保険会社によっては、一部商品で認定取得に伴う保険料割引の適用を受けられる（詳細は各保険会社・代理店へ）

もう1つ、パンフレットには書かれていないメリットがあります。
それは認定を受けると事業者名が中小企業庁のホームページで公表されることです。
（公表されるのは事業者名・所在市区町村・業種・HPのURL等で、計画の中身は公表されません。）

取引先から「BCPを策定していますか」というチェックシートが回ってくる時代に、「国の認定を受けており、リストにも掲載されています」と答えられるのは、書類1枚では出せない説得力があります。

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較

税制優遇はサイバー対策に使える？──ここが最大の落とし穴

ここは慎重に読んでいただきたいところです。
「認定を受ければ税制優遇がある」と聞くと、セキュリティソフト代やクラウド監視サービスの費用も安くなると期待してしまいますが、そうはならない可能性が高いのです。

中小企業防災・減災投資促進税制の対象は、中小企業等経営強化法施行規則第29条にもとづき、「自然災害の発生が事業活動に与える影響の軽減に資する機能を有する減価償却資産」と定められています。
具体的な対象は次の3種類だけです。

減価償却資産の種類	取得価額の要件	対象となるものの例
機械及び装置	100万円以上	自家発電設備、浄水装置、揚水ポンプ、排水ポンプ、耐震・制震・免震装置 など
器具及び備品	40万円以上	自然災害等の発生が事業活動に与える影響の軽減に資する機能を有する全ての設備
建物附属設備	60万円以上	自家発電設備、キュービクル式高圧受電設備、変圧器、照明設備、無停電電源装置、貯水タンク、止水板、耐震・制震・免震装置、防水シャッター など

注目すべきは、対象が「減価償却資産（機械装置・器具備品・建物附属設備）」に限られていることです。ソフトウェアのライセンス費用や、クラウドサービスの月額利用料は、そもそもこの3種類に当てはまりません。
さらにQ&A集には「令和7年度税制改正により、『サーモグラフィ装置』（感染症関連機器）は対象外となりました」と明記されています。感染症対策の機器が外された経緯からしても、サイバー対策の設備・サービスが広く認められる状況にはないと考えるのが自然です。

では、手引きに載っている「サーバーに対する免震装置の導入は、税制優遇の対象です」という記述はどうでしょうか。
これはサーバーを地震から守る免震装置の話であって、サーバーをサイバー攻撃から守るソフトの話ではありません。

結論：サイバー対策の費用は、税制ではなく補助金で考える

整理すると、こうなります。

やりたいこと	税制優遇（防災・減災投資促進税制）	現実的な費用の抑え方
自家発電設備・無停電電源装置（UPS）の導入	○ 対象になり得る（要件・金額の確認は必須）	税制措置（特別償却16％）＋日本政策金融公庫の低利融資
サーバーラックの免震装置	○ 対象になり得る	同上
EDR・監視サービス・バックアップなどのサイバー対策	× 対象外の可能性が高い	デジタル化・AI導入補助金などのITツール向け補助金

税制措置の対象になるかどうかは、設備の種類・金額・経理処理によって判断が分かれます。実際に適用を受ける前には、必ず税理士および所轄の経済産業局にご確認ください。また、国や地方公共団体の補助金等の交付を受けて取得する設備は、この税制措置の対象外になります（＝補助金と税制の二重取りはできません）。

どの補助金で加点になる？──「加点になる」と「ならない」の切り分け

「認定を受けると補助金の加点になる」という説明はよく見かけますが、すべての補助金で加点になるわけではありません。ここを誤解したまま申請の順番を間違えると、時間を無駄にします。

補助金	事業継続力強化計画の認定は加点になるか	備考
ものづくり補助金	○ 加点になる	申請締切日時点で有効な（連携）事業継続力強化計画の認定を受けていることが条件
デジタル化・AI導入補助金2026	× 加点項目に入っていない	同補助金の加点項目一覧（2026年6月3日更新）に事業継続力強化計画の記載はない。代わりに「SECURITY ACTIONの★★二つ星の宣言」「国の推進するセキュリティサービスを選定しているか」が加点項目
自治体の助成金	△ 制度による	東京都をはじめ、独自にジギョケイ認定を要件・加点にしている制度がある。年度ごとに要件が変わるため、検討時点の公募要領で確認が必要

つまり、セキュリティ製品を補助金で導入したい会社が最優先で取るべきなのは、ジギョケイではなくSECURITY ACTIONの二つ星です。
ジギョケイは「設備投資でものづくり補助金を狙う会社」「取引先にBCPを求められている会社」にとって効いてきます。

両方取るのが理想ですが、順番をつけるなら次のようになります。

1. SECURITY ACTION 二つ星（無料・審査なし・即日ID発行。デジタル化・AI導入補助金の申請要件かつ加点）
2. 事業継続力強化計画（ジギョケイ）（無料・約45日。ものづくり補助金の加点、税制・低利融資・ロゴマーク）
3. 必要に応じてISMS・Pマーク等の第三者認証（有料・数十万円〜）

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

補助金の要件・補助率・加点項目は年度と公募回ごとに変わります。申請にあたっては、必ずその時点の最新の公募要領をご確認いただき、必要に応じて専門家にご相談ください。とくに、交付決定前に発注・契約してしまうと補助対象外になる点にはご注意ください。

申請はどうやる？──電子申請・約45日・実施期間3年

申請手続きは難しくありません。原則として電子申請のみで、書類を郵送する必要はありません。

ステップ	やること	目安
1	手引きに沿って計画を検討する（目的／リスク確認／初動対応／事前対策／訓練の5ステップ）	1〜2週間
2	事業継続力強化計画 電子申請システムでアカウントを作り、画面に入力する	半日〜1日
3	申請（申請期限はなく、いつでも申請できる）	—
4	経済産業局の審査。不備があれば照会が入る	標準処理期間 約45日
5	認定。システムから認定通知書を出力し、ロゴマークをダウンロードして使い始める	—

計画の実施期間は3年が上限です。
満了後に変更申請はできないため、認定を継続したい場合は改めて新規申請（2回目以降）を行います。
ただし更新は必須ではありません。
自社の取組状況を踏まえて判断すれば問題ありません。

補助金の加点を狙う場合、逆算がすべてです。標準処理期間が約45日、不備の照会が入ればさらに延びます。ものづくり補助金の締切日時点で「有効な認定を受けている」状態にするには、締切の4〜6か月前には申請に着手しておくのが安全です。「補助金の締切が来月だからジギョケイも取ろう」では、まず間に合いません。

なお、社内に知見がない場合は、中小企業基盤整備機構（中小機構）が専門家派遣による策定支援を行っています。
認定を受けた後についても、日本中小企業診断士協会連合会が実効性向上支援（訪問によるアドバイス・ブラッシュアップ）を提供しています。
いずれも公的な支援なので、まずここに相談するのが費用的にも合理的です。

計画を「動く状態」にするには？──訓練と見直しが本体

ジギョケイの申請書には、「平時の推進体制の整備、訓練及び教育の実施」という欄があります。ここが実は制度の本体です。手引きが求めているのは次の4点です。

求められること	具体的にどうするか
経営層指揮の下、平時からの取組推進に向けた体制整備	代表取締役の指揮の下、担当部署を決める。経営陣が関与することが要件
年1回以上の訓練や教育の実施	全従業員参加の教育・訓練を実施月まで決めて記載する
年1回以上の計画見直し	訓練の結果を踏まえて計画を実態に合わせる
取組内容の社内周知	訓練実施後に社内報等で結果とフィードバックを共有する

サイバー攻撃の訓練というと大がかりに聞こえますが、そんな必要はありません。15分の机上訓練を四半期に1回のほうが、年に1回の大がかりな訓練より実効性が上がります。

中小企業で現実的に効く訓練は、次の3つです。

• 連絡訓練：休日の深夜に「サーバーが暗号化された」と分かったとき、誰が誰に何分以内に連絡するかを紙で回してみる
• 切断訓練：実際にPCのLANケーブルを抜き、Wi-Fiを切る手順を全員がやってみる（1人1分で終わります）
• 復旧訓練：バックアップから実際に1ファイル戻してみる。「戻せると思っていたが戻せなかった」はよくある話です

そして、計画書そのものは分厚いままで構いませんが、初動の部分だけはA4・1枚の「行動カード」に抜き出して、事務所の壁とサーバー室に貼っておくことをおすすめします。
緊急時に分厚いファイルを開く人はいません。

正直に言うと──認定を受けただけでは、動けるようにはなりません

ここは誤解のないように書いておきます。ジギョケイの認定は、「計画を作った」ことに対する認定であって、「実際に動ける」ことの証明ではありません。

とくにサイバー攻撃は、自然災害と違って原因の特定に専門的な調査が必要です。
「どこから入られたのか」「どこまで見られたのか」が分からないままシステムを戻すと、同じ入口からもう一度入られます。
この判断は、社内のIT担当者だけでは背負いきれません。

だからこそ手引きは、事前対策として「外部の専門家や支援者とのサポートの契約を行う」を挙げているのです。
認定を取ることをゴールにせず、「有事に電話をかける先が決まっているか」まで含めて計画にする——ここまでやって、はじめて計画が動く状態になります。

▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方

計画に書いた対策は、何で実現すればいい？

ここまでで「何を書くか」は決まりました。次は「何を入れるか」です。手引きのA〜D欄に対応する形で、当社が取り扱っている製品・サービスを整理すると次のようになります。

項目	SentinelOne データお守り隊	Webセキュリティ Plus	PCセキュリティ みまもりパック	クラウドバックアップ powered by Acronis	セキュリオ
ジギョケイのどの欄に効くか	B（設備・機器） 初動対応	B（設備・機器）	B（設備・機器）	D（重要情報の保護）	平時の訓練・教育
役割	端末の24時間365日監視（EDR＋SOC）	インターネット出入口での遮断（SASE／SWG）	端末保護＋駆けつけ駆除	データのバックアップと復旧	標的型メール訓練とeラーニング
初期費用（税別）	0円	60,000円	0円	0円	100,000円
月額（税別）	1台 1,000円 （Control 1,100円／Complete 1,660円）	1台 1,580円 （年額18,960円）	1台 750円	100GB 3,000円 （年額36,200円）	50名以下 18,000円 50名超は1人360円〜
サイバー保険	最大50万円が付帯	簡易サイバー保険が付帯	自動付帯	—	—
お助け隊サービス	1類サービス	2類サービス	—	—	—
対応OS等	Windows／Mac	Windows 10以降／macOS 11以降	Windowsのみ	Windows／Mac／Linux／M365／Google Workspace ほか	クラウド（ブラウザ）
向いている会社	侵入後に気づける状態を作りたい	そもそも入らせない層を足したい	とにかく安く始めたい	暗号化されても戻せる状態にしたい	訓練・教育の記録を残したい
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

計画の「事後対応」として、実際に感染が疑われたときの調査サービスも用意しています。手引きが言う「外部の専門家や支援者とのサポートの契約」にあたる部分です。

サービス	内容	料金（税別）
マルウェア感染調査サービス	EDRツールで全端末を網羅的に調査。17時までの注文で翌日対応、監視5営業日、監視後3営業日でレポート提出	300台まで 298,000円／500台まで 498,000円 （詳細レポートは別途500,000円）

詳細を見る

▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法

費用はいくらになる？──従業員30名・PC30台のモデル

従業員30名、パソコン30台の会社が、ジギョケイのサイバー攻撃欄に書いた対策を実際に揃えた場合の目安です。

項目	費用（税別）
事業継続力強化計画の申請（自社で作成）	0円
初動対応の手順書・行動カードの作成	0円
SentinelOneデータお守り隊（30台×月1,000円）	初期0円＋年360,000円
クラウドバックアップ powered by Acronis（100GB）	年36,200円
セキュリオ ARライト（50名以下）	初期100,000円＋年216,000円
初年度合計	約712,200円（月あたり約59,400円）
2年目以降	年612,200円（月あたり約51,000円）

この金額を高いと感じるかどうかは、比較の対象によって変わります。

感染が疑われた段階で調査を依頼すると、300台までのマルウェア感染調査で298,000円、詳細レポートを付ければ798,000円。これは上の初年度費用とほぼ同じ金額です。しかも調査費用を払って分かるのは「何が起きたか」であって、止まった生産も、流出した図面や名簿も戻ってはきません。
警察庁の統計では、復旧に総額1,000万円以上を要した組織が5割を超えています。

さらに、デジタル化・AI導入補助金2026を使えば、この費用の一部を抑えられます。
通常枠は5万円〜450万円で補助率は原則1/2（小規模事業者は要件を満たせば最大4/5）、セキュリティ対策推進枠は5万円〜150万円で小規模2/3・中小1/2、お助け隊サービスの利用料は最大2年分が補助対象になります。

▶ 関連記事：法人向けの無料セキュリティソフトは危険？「タダ」のリスクとなぜ有料が必要か・最安の選び方と費用相場

まず何から手をつければいい？──7つの手順

順番を間違えなければ、最初の6つまでは費用ゼロで進みます。

順番	やること	誰がやるか	費用の目安
1	中小企業庁のサイトから「事業継続力強化計画 策定の手引き」（令和8年7月17日版）をダウンロードする	担当者	0円
2	SECURITY ACTIONの★★二つ星を宣言する（GビズIDが必要。補助金の申請要件かつ加点）	経営者＋担当者	0円
3	脆弱性リストのサイバー攻撃5項目を見て、自社に当てはまるものに丸をつける	経営者＋担当者	0円
4	「誰が、どの状態になったら、ネットワークを止める判断をするか」を1行決める	経営者	0円
5	初動の連絡先（社内・取引先・支援業者・保険会社）を1枚の行動カードにして貼る	担当者	0円
6	電子申請システムから申請する（標準処理期間 約45日）	担当者	0円
7	計画に書いた対策（監視・バックアップ・教育）を導入し、年1回の訓練と見直しを回す	全社	月数万円〜（補助金の対象）

手順4は、担当者では決められません。「業務を止めてでも被害の拡大を防ぐ」という判断は、経営者にしかできない判断だからです。ここを空欄のまま提出しても認定は下りますが、実際に攻撃を受けたときに一番効くのはこの1行です。

よくある質問

Q. 従業員10名の会社でも認定を受けられますか？

A. 受けられます。
中小企業者等であれば規模による制限はありません。
手引きにも「従業員がいない場合には、自身や家族等と読み替えて記載してください」という注記があり、個人事業主も想定されています。
むしろ人数が少ない会社ほど、担当者1人が動けなくなった瞬間に会社が止まるため、事前に手順を決めておく価値は大きくなります。

Q. 自然災害のBCPを作っていません。サイバー攻撃だけで申請できますか？

A. できます。
Q&A集には「感染症のみを想定して、計画の認定を受けることも可能です」と明記されており、想定する事象を絞ること自体が認められています。
まずサイバー攻撃だけで作り、次回の申請で自然災害を足すという進め方でも問題ありません。
ただし所在地に水害・地震のリスクが明らかにある場合は、あわせて検討されることをおすすめします。

Q. 認定を受けるのに費用はかかりますか？

A. 申請そのものは無料です。
自社で手引きを見ながら作成すれば費用はゼロで済みます。
コンサルタントに依頼する場合は別途費用がかかりますが、その前に中小機構の専門家派遣による策定支援という公的な選択肢があります。

Q. 認定されると税制優遇でセキュリティソフト代が安くなりますか？

A. なりません（可能性が高いです）。
中小企業防災・減災投資促進税制の対象は、機械装置・器具備品・建物附属設備という減価償却資産に限られており、ソフトウェアのライセンス費用やクラウドサービスの月額利用料は対象になりません。
無停電電源装置（UPS）や自家発電設備、サーバーの免震装置といった「自然災害への備え」であれば対象になり得ます。
サイバー対策の費用は、税制ではなくデジタル化・AI導入補助金で考えるのが現実的です。

Q. デジタル化・AI導入補助金の加点になりますか？

A. 2026年時点の加点項目一覧には、事業継続力強化計画は入っていません。
同補助金で加点になるのは「SECURITY ACTIONの★★二つ星の宣言」「国の推進するセキュリティサービスを選定しているか」などです。
一方、ものづくり補助金では加点項目になっています（申請締切日時点で有効な認定が必要）。
狙う補助金によって、取るべき順番が変わります。

Q. どのくらいの期間で認定されますか？

A. 標準処理期間は約45日です。申請書に不備があると経済産業局から照会が入り、さらに時間がかかります。補助金の加点を狙うなら、締切の4〜6か月前には着手しておくのが安全です。

Q. 認定に有効期限はありますか？更新は必要ですか？

A. 計画の実施期間は3年が上限で、実施期間が終わると認定の効力も終わります。
ただし更新（2回目以降の申請）は必須ではありません。
補助金の加点や取引先への説明で認定を使い続けたい場合は、実施期間の満了前に新規申請（2回目以降）を行ってください。
2回目以降の申請では、前回の実施状況報告が必要になります。

Q. 社会福祉法人やNPO法人でも申請できますか？

A. 単独型では対象外です。ただし、中小企業者2者以上が参加する連携型（連携事業継続力強化計画）の連携事業者としては対象になります。介護施設や福祉施設を運営されている場合は、この点にご注意ください。

▶ 関連記事：介護事業所のセキュリティ対策はどこまで必要？厚労省「情報安全管理の手引き」チェックリスト21項目と、義務化されたBCPの落とし穴

Q. IT担当者がいませんが、作れますか？

A. 作れます。
ジギョケイの計画書に書くのは技術の詳細ではなく、体制と手順です。
「誰が止める判断をするか」「誰に連絡するか」「どこにバックアップがあるか」を決めるのは、技術者でなくてもできます。
技術的な中身（監視・バックアップ・教育）については、外部に委託するという選択肢を計画に書けば十分です。
手引き自身が、事前対策の例として「外部専門家（セキュリティサービス提供事業者）との委託契約を検討する」と示しています。

▶ 関連記事：電子帳簿保存法の電子取引データはどう守る？バックアップが法令要件でない理由と、ランサムウェアで7年分が消えたときに起きること【中小企業向け】

▶ 関連記事：Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？ランサムウェアが一晩で全社に広がる仕組みと、費用ゼロでできる7つの守り方【中小企業向け】

▶ 関連記事：ファイルサーバー・NASのセキュリティ対策はどこまで必要？バックアップを取っていたのに8割が復元できなかった理由と、共有フォルダの権限・費用ゼロでできる7つの手順

▶ 関連記事：仮想化基盤（VMware ESXi・Hyper-V）のセキュリティ対策はどこまで必要？ハイパーバイザーにウイルス対策ソフトを入れられない理由と、ホスト1台で全サーバーが同時に暗号化される仕組み・費用ゼロでできる7つの手順【中小企業向け】

▶ 関連記事：ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実

まとめ

サイバー攻撃に備えるBCPは、ゼロから作るものではありません。
中小企業庁の「事業継続力強化計画（ジギョケイ）」に、サイバー攻撃を想定した記載例がすでに用意されています。
事象は「漏らす」か「止まる」かの2つ、脆弱性は5項目。そこから自社に当てはまるものを選ぶだけです。
初動として書くのは、避難ではなく「PCの回線を切る手順」と「24時間以内の第一報」。
認定は無料で、標準処理期間は約45日。ロゴマーク・低利融資・税制措置・ものづくり補助金の加点・保険料割引という5つのメリットが付いてきます。
ただし税制措置の対象は自然災害向けの設備が中心で、セキュリティソフトや監視サービスの費用は補助金で考えるのが現実的です。
デジタル化・AI導入補助金では、ジギョケイではなくSECURITY ACTIONの二つ星が加点になります。取るべき順番を間違えないでください。
そして最後に効くのは、計画書の厚さではなく「誰が、どの状態になったら、業務を止める判断をするか」という1行です。

国が用意した10万件の実績がある枠組みに乗るだけで、サイバー攻撃に対する備えは形になります。費用のかかる部分は補助金で抑えられます。
何から手をつければよいか分からない、自社に必要な対策の優先順位を知りたいという場合は、お気軽にご相談ください。

▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策

▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT/ITネットワーク分離の実務