「セキュリティは補助金で何とかしよう」と考えた会社が、申請の直前で気づくことがある。今いちばん必要な対策が、対象に入っていない。
デジタル化・AI導入補助金2026のセキュリティ対策推進枠について、事務局が公表している内容は次のとおりである。
横にスクロールして確認できます
| 項目 | 内容 |
|---|---|
| 4次締切 | 2026年8月25日（火）17:00 |
| 交付決定日 | 2026年10月7日（水）（予定） |
| 事業実施期間 | 交付決定～2027年3月31日（水）17:00（予定） |
| 補助率 | 小規模事業者 2/3以内、中小企業 1/2以内 |
| 補助額 | 5万円～150万円 |
| 補助対象 | ITツールの導入費用およびサービス（最大2年分） |
そして、最も重要なのは対象範囲の定義である。事務局の説明はこうだ。「サイバーセキュリティお助け隊サービスリスト」に掲載されているサービスのうち、IT導入支援事業者が提供し、かつ事務局に登録されたサービスを導入する際、サービス利用料（最大2年分）を補助します。
このリストは独立行政法人情報処理推進機構（IPA）が公表しているものである。つまり、補助の対象は「セキュリティ対策全般」ではない。二重の絞り込みがかかっている。
まず、自社が補助対象者かを確認する
対象範囲の話に入る前に、確認しておくべき前提がある。この補助金の補助対象者は、公表されている表記で「中小企業・小規模事業等のみなさま」である。
事務局の「申請の対象となる方」のページには、業種分類ごとの基準が示されている。資本金と従業員規模の一方が下表以下であれば対象（個人事業を含む）という判定である。
横にスクロールして確認できます
| 業種分類 | 資本金（資本金の額または出資の総額） | 常時使用する従業員 |
|---|---|---|
| 製造業（ゴム製品製造業を除く）、建設業、運輸業 | 3億円 | 300人 |
| 卸売業 | 1億円 | 100人 |
| サービス業（ソフトウェア業、情報処理サービス業、旅館業を除く） | 5,000万円 | 100人 |
| 小売業 | 5,000万円 | 50人 |
| ゴム製品製造業（自動車または航空機用タイヤおよびチューブ製造業ならびに工業用ベルト製造業を除く） | 3億円 | 900人 |
| ソフトウェア業または情報処理サービス業 | 3億円 | 300人 |
| 旅館業 | 5,000万円 | 200人 |
| その他の業種（上記以外） | 3億円 | 300人 |
上表は会社組織および個人事業主の主な区分である。このほかに、従業員規模だけで判定される組織形態が別に定められている。医療法人・社会福祉法人・学校法人は従業員300人以下、商工会・都道府県商工会連合会および商工会議所は100人以下。中小企業支援法第2条第1項第4号に規定する中小企業団体、特別の法律によって設立された組合またはその連合会、財団法人（一般・公益）、社団法人（一般・公益）、特定非営利法人については、主たる業種に記載の従業員規模によるとされている。自社がこれらに当たる場合は、上表ではなくこちらで判定する。
注意したいのは「一方が該当すれば対象」という判定である。年商が数十億円あっても、資本金または従業員数のどちらかが基準以下であれば対象になり得る。逆に、業種の分類を取り違えると判定が変わる。卸売業と小売業、サービス業とその他の業種では基準がまったく違う。
事務局は申請対象者チェッカーを用意しているが、その結果について「参考情報であり、申請要件は上記のみではございません。申請の対象および申請要件については、必ず交付規程・公募要領をご確認ください」と明記している。表と一致していても、それだけで対象と確定するわけではない。サービスの選定や見積もりに入る前に、交付規程と公募要領で確認してほしい。ここを飛ばして進めると、選定を終えてから申請できないと分かることになる。
SUBSIDY ELIGIBILITY
補助金を使う前に、業務要件と対象経費を整理しませんか？
制度要件、対象経費、既存業務、データ連携、採択後の実装体制を確認し、申請前に詰まりやすい論点を整理します。
この記事を読むべき人
- セキュリティ投資を補助金で賄おうと考えている会社
- 今週、脆弱性対応やインシデント対応の必要に直面している会社
- ベンダーから「補助金が使えます」と提案を受けている会社
- 情報システムの担当が1名または兼任で、外部サービスの導入を検討している会社
- 補助金で導入した後の継続費用を試算していない会社
対象範囲には二重の絞り込みがかかっている
公表されている定義を分解すると、補助の対象になるには次の両方を満たす必要がある。
条件1：IPAの「サイバーセキュリティお助け隊サービスリスト」に掲載されているサービスであること。 条件2：そのうえで、IT導入支援事業者が提供し、事務局にITツールとして登録されているサービスであること。
条件1を満たしていても、条件2を満たさなければ対象にならない。この点は事務局の説明でも明記されている。
ここが実務上の落とし穴になる。「お助け隊サービスに載っているから大丈夫」と考えて進めると、自社が使いたい提供事業者が、この補助金の支援事業者として登録していないという理由で対象外になる。
申請を検討する順序としては、先に「使いたいサービス」を決めるのではなく、「登録されているサービスの中から選べるか」を確認するほうが早い。逆の順序で進めると、選定をやり直すことになる。
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
今週起きている脆弱性対応は、この枠で賄えるのか
今週、国内の企業が実際に直面している課題を並べてみる。8月15日にJPCERT/CCが注意喚起を出したネットワーク機器の脆弱性への対応。休暇明けのログ確認。外部に面した機器の棚卸し。
これらのうち、どこまでがセキュリティ対策推進枠の対象になるか。
補助されるのは「サービス利用料」である。対象は、お助け隊サービスリストに掲載され、かつ支援事業者が提供・登録しているサービスの利用料であり、ITツールの導入費用およびサービスであり、最大2年分とされている。
したがって、次のような支出がこの枠で賄えるかは、それがリスト掲載サービスの利用料として構成されているかどうかで決まる。
- ネットワーク機器のファームウェアを最新化する作業の費用
- 自社の構成に合わせた脆弱性の該当判定
- 侵害の有無を調べる調査
- 機器そのものの買い替え
これらは一般に「サービス利用料」とは性質が異なる。自社が今すぐやりたい対応が上記に近いものであれば、まず対象になるかを確認してから予算を組む必要がある。「補助金が出る前提」で意思決定して、対象外と判明してから慌てるのが最悪の順序である。
逆に、この枠が素直に効くのは、継続的に提供される見守り・相談・監視型のサービスを新たに導入する場合である。単発の作業ではなく、契約して使い続ける形のものが想定されている。
最大2年分という設計が意味すること
公表されている表記は「サービス利用料（最大2年分）」である。
ここで読み違えやすいのが「最大」の一語である。必ず2年分が補助されるという意味ではない。登録されているITツールごとに対象となる期間が異なり得るうえ、契約の期間そのものが2年に満たない場合もある。実際に何年分が対象になるかは、選ぶサービスと契約内容によって決まる。
そのうえで、経営判断として押さえるべき構造は変わらない。セキュリティのサービスは、契約して使い続けるものである。補助が及ぶのは長くても2年分であり、それ以降は自社の負担になる。
つまり、補助金の判断は「今いくら安くなるか」ではなく、「補助が切れた後も払い続けられるか」で行う必要がある。
具体的には、次の計算をしてから申請したい。
年間のサービス利用料を確認する。月額表示の場合は12倍する。
その金額を、補助が切れた後も毎年払える前提で、経常費用として認めるか。払えない、あるいは払う理由を説明できない場合、補助の対象期間が終わった時点で解約することになる。解約したときに、それまでの設定や検知の履歴を持ち出せるかは、サービスによって異なる。契約前に、解約時のデータ出力の可否と形式を確認しておきたい。
払い続ける前提であれば、補助は「導入の初期負担を下げる仕組み」として正しく機能する。この判断を先にしておけば、申請そのものは迷わない。
確認する順序としては、次の3点を選定の前に押さえておきたい。
- 検討しているサービスについて、この補助金で対象となる期間は何年分か
- 契約期間と、その後の更新の条件
- 解約する場合の予告期間と、それまでのデータを出力できるか
補助率と補助額から逆算できること
補助率は小規模事業者が2/3以内、中小企業が1/2以内である。補助額は5万円から150万円とされている。
この範囲から、想定されている規模が読み取れる。中小企業で補助率1/2、上限150万円ということは、2年分の利用料として対象経費が300万円のときに上限150万円に達する計算になる。対象経費がそれより少なければ補助額も比例して下がり、300万円を超えても補助額は150万円で頭打ちになる。
逆に言えば、これは大規模なセキュリティ基盤の刷新を想定した枠ではない。中堅企業が本格的な監視体制を構築しようとすれば、この枠だけでは足りない。その場合、補助金を軸に計画を立てるのではなく、必要な体制を先に設計し、そのうちの一部にこの枠を当てる形になる。
「補助金の上限に合わせて対策の範囲を決める」という進め方は、対策の側から見れば本末転倒である。
5次締切の日程は公表されていない
今回間に合わない場合、次の機会がいつになるかを気にする会社は多い。
事業スケジュールのページには5次締切分および6次締切分の欄が設けられているが、日程は入っていない。ページには「確定している募集回のスケジュールのみ公表しております。以降のスケジュールは随時更新いたします」と記載されている。
したがって、「次回に回す」と決める場合、その次回がいつかは現時点では分からない。実施の有無や時期について本稿は推測しない。確認する担当と頻度を決めておかないと、公表に気づかないまま過ぎる。
なお、事務局は締切について、締切日当日の17:00をもって申請マイページおよびIT事業者ポータルからの申請・提出等が行えなくなること、締切直前はアクセスが集中して画面遷移やSMS認証に時間がかかる可能性があること、締切時間を過ぎた場合はいかなる理由であっても受付対応を行わないことを明記している。
よくある質問
Q. お助け隊サービスリストはどこで確認できるのか。 A. IPAが公表している。事務局のページからもリンクされている。ただし、リストに載っていることと、この補助金の対象になっていることは別である。対象かどうかは、支援事業者が事務局にITツールとして登録しているかで決まる。
Q. 既に使っているセキュリティサービスの費用も対象になるか。 A. 継続利用が対象になるかは公募要領の定めによる。補助金は一般に新規の導入を想定しているため、既存契約の継続がそのまま対象になるとは限らない。公募要領で確認してほしい。
Q. 補助率は必ず2/3や1/2になるのか。 A. 公表されている表記は「2/3以内」「1/2以内」である。上限を示すものであり、必ずその率で補助されることを保証するものではない。補助対象期間の「最大2年分」も同じで、必ず2年分が補助されることを示すものではない。
Q. 交付決定の前にサービスを契約してよいか。 A. 補助対象となる費用の発生時期には制約があるのが通例である。交付決定前の契約が対象外になる場合があるため、契約日は必ず公募要領で確認してから決めてほしい。ここを誤ると、採択されても補助を受けられない。
Q. 今週の脆弱性対応を急ぎたい。補助金の結果を待つべきか。 A. 待つべきではない。交付決定は10月7日（予定）である。緊急の対応を2ヶ月近く止める理由にはならない。急ぐ対応は補助金と切り離して実施し、継続的に使うサービスの導入だけを補助金の枠で検討するのが現実的である。
Q. 補助金を使わずに進めたほうがよい場合はあるか。 A. ある。対象範囲に自社の必要な対策が入っていない場合、申請の手間と待ち時間に見合わない。また、対象に合わせて内容を変えると、必要な対策から遠ざかる。この2つに当てはまるなら、自費で先に進めるほうが早く安全になる。
必要な対策と、補助が効く範囲を突き合わせたいとき
セキュリティ投資の判断で難しいのは、金額ではなく順序である。補助金の対象から入ると、対策の内容が制度に引きずられる。必要な対策から入れば、そのうちどこに補助が当たるかを後から判断できる。
自社に必要な対策の範囲を先に確定させたい場合はセキュリティ診断で対応している。導入後の運用まで含めて外部に持たせる形を検討する場合はセキュリティリタイナー、既に事象が起きている場合はインシデント対応が該当する。どの補助金が自社の計画に合うかを整理したい場合は補助金診断、ベンダー提案の対象範囲が本当に補助対象かを第三者に確認してほしい場合は提案内容を相談するで受け付けている。
同じ4次締切の通常枠について、発注準備の手順と対象・対象外の判断軸はデジタル化・AI導入補助金2026 第4次締切8/25、申請を急ぐことで生じる失敗パターンは出す会社・見送る会社の判断分岐で扱っている。本稿は、セキュリティ対策推進枠の対象範囲の読み方に絞っている。
参照した情報
- デジタル化・AI導入補助金2026「セキュリティ対策推進枠」（独立行政法人中小企業基盤整備機構）: https://it-shien.smrj.go.jp/applicant/subsidy/security/
- デジタル化・AI導入補助金2026「事業スケジュール」: https://it-shien.smrj.go.jp/schedule/
- デジタル化・AI導入補助金2026「申請の対象となる方」: https://it-shien.smrj.go.jp/applicant/subsidy/
- IPA「サイバーセキュリティお助け隊サービスリスト」: https://www.ipa.go.jp/security/otasuketai-pr/index.html
補助の目的、補助対象者、補助率（小規模事業者2/3以内、中小企業1/2以内）、補助額（5万円～150万円）、補助対象者が「中小企業・小規模事業等のみなさま」である旨、補助対象が「ITツールの導入費用およびサービス（最大2年分）」である旨、IPAが公表する「サイバーセキュリティお助け隊サービスリスト」に掲載されているサービスのうちIT導入支援事業者が提供し事務局に登録されたサービスが対象となる旨、および4次締切分の日程（締切日2026年8月25日（火）17:00、交付決定日2026年10月7日（水）予定、事業実施期間および事業実績報告期限2027年3月31日（水）17:00予定）は、上記セキュリティ対策推進枠のページを直接取得して確認した。
業種分類ごとの資本金額および常時使用する従業員数の基準、資本金・従業員規模の一方が基準以下であれば対象となる旨、医療法人・社会福祉法人・学校法人および商工会等の従業員基準、ならびに申請対象者チェッカーの結果が参考情報であり申請要件は交付規程・公募要領で確認すべき旨は、上記「申請の対象となる方」のページを直接取得して確認した。
5次締切分および6次締切分の日程が公表されていないこと、「確定している募集回のスケジュールのみ公表しております」という記載、および締切時間に関する注意書きは、上記事業スケジュールのページで確認した。
対象要件を二重の絞り込みとして読む整理、今週の脆弱性対応がこの枠で賄えるかという突き合わせ、補助が切れた後の負担を先に判断すべきという指摘、および補助額の上限から想定規模を逆算する読み方は、補助金を使った案件の支援からGXOが導いた見立てであって、事務局の基準ではない。 補助対象者の具体的な要件、すなわち業種ごとの資本金額と従業員数の基準、継続利用の取り扱い、交付決定前の契約の可否、実際に補助対象となる期間、および対象経費の具体的な範囲は、公募要領（更新日2026年5月15日）および交付規程の定めによる。そのため、本稿では断定せず、事務局の公表資料で確認するよう促すにとどめている。個別のサービスが補助対象に該当するかどうかは本稿では判定していない。
