プライバシーマークとISMS認証の違い｜取引先に求められたときの判断、審査の流れ・更新周期・費用の確認先

取引先から届くセキュリティチェックシートに「プライバシーマーク（Pマーク）またはISMS認証を取得していますか」という質問が入っていることがあります。取得していないと取引できないのか、どちらを取ればよいのか、費用はどのくらいか。総務担当者が判断を任されることも多いテーマです。

この記事では、2つの制度の違い、審査と更新の流れ、費用の確認先、取得しない場合の答え方を、制度の運営主体と個人情報保護委員会の資料をもとに整理します。

まず確認すること：法律上の義務ではない

プライバシーマークもISMS認証も、民間の第三者評価制度で、取得は任意です。個人情報保護法が事業者に求めているのは、次のような措置です。

取引先がPマークやISMSを確認するのは、第25条の委託先の監督の一環として、預ける情報を適切に扱える会社かを見たいからです。認証は「体制を示す手段の一つ」と考え、取引先が本当に必須としているのか、代わりの資料でもよいのかを最初に確認します。

自社の安全管理措置の基本は、中小企業の個人情報・マイナンバー管理の基本を参照してください。

プライバシーマークとISMSの違い

どちらが向いているか

• 個人情報を大量に預かる業務が中心（名簿・顧客データの処理、人事・給与の受託、通販など）：プライバシーマークを求められることが多い。法人全体で取得するため、会社全体の個人情報の扱いを示せる
• システム開発・クラウドサービス・技術情報を扱う業務、海外の取引先がある：ISMSが求められることが多い。認証範囲を特定の事業部門に絞ることもできる

ただし、ISMSは範囲を限定できるぶん、取引先は「その業務が認証範囲に入っているか」を確認します。ISMS認証では認証範囲が明記されるので、取得する場合は取引先から求められている業務が範囲に入るように設計します。

取引先がどちらを求めているかは、チェックシートの文言や担当者に確認するのが確実です。「PマークまたはISMS」とあれば、どちらか一方で足りることが多いでしょう。

取得までの流れ

プライバシーマーク

JIPDECの案内による新規申請の流れは次のとおりです。

申請資格として、個人情報保護管理者と監査責任者を置く必要があるため、社会保険・労働保険に加入している正社員または登記された役員（監査役を除く）が2名以上いることが求められています。

更新申請は、有効期間が終了する8か月前から4か月前までに行います。期限を過ぎると更新扱いにならないので、総務の年間スケジュールに組み込んでおきます。

ISMS認証

どちらも、体制を作って一定期間運用し、その記録を審査で見てもらう制度です。規程を作っただけでは取得できません。準備から付与までの期間は、会社の規模や準備状況、審査機関の受付状況で大きく変わります。取引先に取得時期を約束する前に、審査機関・認証機関に目安を確認してください。

費用の確認先

JIPDECが公表している2026年10月1日適用の料金表（税込）では、小規模事業者の新規申請で合計33万6,600円、更新で合計24万4,200円です。中規模・大規模はこれより高く、規模の区分は同ページから確認できます。

このほか、社内の工数（担当者の作業時間、教育・内部監査の実施）がかかります。コンサルタントに支援を依頼する場合はその費用も必要です。2年・3年ごとに繰り返しかかる費用として、予算に組み込んでおきます（総務の年間予算の立て方）。

取得しない場合の対応

取引先が認証を必須としていない場合は、自社の体制を資料で示します。

個人情報保護委員会のガイドライン（通則編）は、安全管理措置として講じるべき内容（基本方針の策定〈望ましい措置〉、個人データの取扱いに係る規律の整備、組織的・人的・物理的・技術的安全管理措置など）と、中小規模事業者向けの手法の例を示しています。チェックシートの質問はこの区分と重なることが多いので、ガイドラインの項目に沿って自社の対応を整理しておくと、回答を毎回ゼロから作らずに済みます。

チェックシートに回答するときの注意

• 実態と違う回答をしない。「実施予定」は予定と書く
• 回答した内容は契約上の約束になり得る。業務委託契約書の安全管理条項と食い違いがないか確認する（業務委託契約書を総務がチェックする観点）
• 回答の控えと根拠資料を保存し、次回以降に使い回せるようにする
• パスワードや多要素認証など、すぐ改善できる項目は先に整える（パスワード・多要素認証の社内ルール）

取得を判断するときの観点

1. 取引先が「必須」としているか、「あれば望ましい」程度か
2. その取引先・業務の売上が、取得・維持の費用と工数に見合うか
3. 今後、同じ要求をする取引先が増えそうか（業界の動向）
4. 運用を担う担当者を2年・3年ごとの審査まで継続して確保できるか
5. 取得を目標にすることで、社内の情報管理を見直す効果が期待できるか

一人総務で運用を抱え込むと、取得後の教育・内部監査・記録が回らなくなりがちです。取得する場合は、個人情報保護管理者と監査責任者を別の人にし、各部署に記録の担当を置く体制を先に決めましょう。

まとめ

• Pマークは個人情報の保護体制を法人単位で評価し、有効期間は2年。ISMSは情報資産全般を対象に範囲を決めて認証し、毎年のサーベイランスと3年ごとの再認証がある
• どちらも任意の制度。法律が求めるのは安全管理措置と委託先の監督
• 費用はPマークはJIPDECの料金表（2026年10月改定）、ISMSは認証機関の見積りで確認する
• 取得しない場合も、規程・台帳・教育と点検の記録・SECURITY ACTIONで体制を示し、チェックシートには実態どおりに回答する