結論から言う。2026年にプライバシーマーク(Pマーク)を新規取得・更新する中堅企業が本当に押さえるべきは、次の2点だ。第一に、審査基準はすでに新基準へ切り替わっている。JIS Q 15001:2023に準拠した「構築・運用指針 ver1.0」は2024年10月1日申請分から適用済みで、「2026年に改訂される」わけではない。第二に、2026年に実際に変わるのは料金だ。JIPDECは2026年10月1日申請分からPマーク付与に関わる料金を改定(一般事業者で約10%引き上げ)すると公表している。つまり「基準対応はもう待ったなし」「料金は締切がある」という、性質の違う2つの締切を同時に管理するのが2026年の要点である。
この記事は、社内に専任のIT・法務担当が薄い年商1〜10億円規模の中堅企業で、Pマークの更新期限が近い、あるいは取引先要件で新規取得を迫られている実務決裁者に向けて書いている。制度の解説だけでなく、「自社は審査料でいくらの区分に入るのか」「更新の申請はいつまでに出さないと失効するのか」「どこで審査に落ちるのか」を、JIPDEC公式情報を一次ソースにして判断できる形で整理する。
30秒で分かる結論(先に要点)
- 「2026改訂」は誤解を招く表現。 規格・審査基準の改訂は2023年(JIS Q 15001:2023、指針は2024年10月1日適用)で完了済み。2026年に起きるのは**料金改定(2026年10月1日申請分〜)**である。
- 料金は上がる。 一般事業者で約10%、小規模事業者で約6.53%の引き上げ。申請日時が2026年9月30日23:59までなら現行料金、10月1日0:00以降なら新料金が適用される(JIPDEC公表)。更新期限が2026年後半〜2027年前半に来る組織は、申請タイミングで数万円単位の差が出る。
- 審査料は「自社の規模区分」で決まる。 小規模・中規模・大規模の3区分で、業種×資本金×従業者数で判定する。頭数だけで「大規模」と思い込むと費用見積もりを外す。200〜500名の中堅でも、業種と資本金次第で中規模に収まることがある。
- 更新は失効との戦い。 有効期間は2年。更新申請には受付期間があり、遅れると再申請(=新規と同等の手間)や失効(取引・入札への影響)のリスクがある。有効期限からの逆算スケジュールが最重要。
- 落ちる原因はほぼ運用記録。 文書がある/ないではなく、教育・内部監査・委託先モニタリング・台帳の更新が「1年分きちんと回っているか」が新基準の焦点。過去1年の運用実態が審査対象になる。
自社の情報管理体制がPマーク審査に耐える水準か、その前段で客観的に把握したい場合は、自社のDX・情報管理体制の成熟度を無料で診断しておくと、審査準備の抜け漏れを早い段階で洗い出せる。
目次
- 「2026改訂」の正体 — 3つの時間軸を分けて考える
- 自社は小規模・中規模・大規模のどれか(審査料を左右する)
- 費用の全体像と2026年10月の料金改定
- 新規申請の流れと所要期間
- 更新審査の流れと「有効期限の逆算」
- JIS Q 15001:2023で実務が変わった点
- 改正個人情報保護法との整合
- GXOが見る「落ちる更新・通る更新」の分岐点
- 申請前チェックリスト
- コンサル費用(見積もり)の読み方
- この記事を読むべき人／GXOに相談すべきタイミング
- よくある質問(FAQ)
- 参考資料(一次・公式)
FREE DOWNLOAD
中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします
多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。
「2026改訂」の正体 — 3つの時間軸を分けて考える
Pマークまわりで「2026年の改訂に対応しなければ」という声を聞くが、ここには時間軸の混同がある。中堅企業が意思決定を誤らないために、まず3つを分けて理解してほしい。
時間軸1:規格の改訂(2023年)。 マネジメントシステムの要求事項を定めるJIS Q 15001は、2017年版から2023年版へ改正された(JIS Q 15001:2023、改正日2023年9月20日)。これはPマークのPMS(個人情報保護マネジメントシステム)の土台となる規格そのものの改訂だ。
時間軸2:審査基準(構築・運用指針)の切り替え(2024年10月1日)。 JIPDECは、規格改正を受けた「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 ver1.0】」に基づく申請の受付を2024年10月1日から開始した。2024年9月30日までの申請は旧2017年版ベース、10月1日以降の申請は新2023年版ベースで審査される。 つまり2026年時点で新規・更新を申請する組織は、そもそも全員が新基準の下にいる。「これから改訂に備える」段階ではなく、「すでに適用されている基準で運用実績を1年つくれているか」を問われる段階だ。
時間軸3:料金の改定(2026年10月1日)。 ここが2026年に本当に動く要素である。JIPDECは、審査員報酬の引き上げや物価・システム関連経費の上昇に対応するため、2026年10月1日申請分からPマーク付与に関わる料金(申請料・審査料・付与登録料・再現地審査料)を改定すると公表した。値上げ率は一般事業者で約10%、小規模事業者で約6.53%とされている。
この3つを混ぜて「2026改訂対応」と一括りにすると、判断を誤る。正しくは、**基準対応は"すでに間に合っていなければならない締切"、料金は"申請日で有利不利が決まる締切"**という別物として扱う。とくに更新期限が2026年後半に迫る組織は、「新基準で1年運用できているか(=中身)」と「料金改定前に申請できるか(=タイミング)」の二正面を同時に管理する必要がある。
出典:JIPDEC「審査基準と構築・運用指針」「JIS Q 15001改正に伴う構築・運用指針の対応について」および「料金改定のお知らせ(2026年10月より)」。制度・料金は改定されうるため、申請直前に公式最新版を必ず再確認すること。
自社は小規模・中規模・大規模のどれか(審査料を左右する)
費用の見積もりで最初に外しやすいのがここだ。Pマークの審査料は、事業者を小規模・中規模・大規模の3区分に分けて設定されている。この区分は「従業員が多い＝大規模」という単純な話ではなく、業種・資本金(または出資金)・従業者数の組み合わせで判定される。JIPDECが公表する判定基準の要点は次のとおりだ。
横にスクロールして確認できます
| 業種 | 中規模の目安(従業者数) | 大規模の条件 |
|---|---|---|
| 製造業・その他 | 21〜300人 | 資本金3億円超 かつ 従業者301人〜 |
| 卸売業 | 6〜100人 | 資本金1億円超 かつ 従業者101人〜 |
| 小売業 | 6〜50人 | 資本金5千万円超 かつ 従業者51人〜 |
| サービス業 | 6〜100人 | 資本金5千万円超 かつ 従業者101人〜 |
ここで見落としやすいのが、大規模は「資本金の条件」と「従業者数の条件」の両方(かつ)を満たして初めて該当するという点だ。たとえばサービス業で従業者が200名いても、資本金が5千万円以下なら大規模の条件(資本金5千万円超 かつ 従業者101人〜)を満たさず、中規模として扱われる。製造業なら、従業者が300人以下、あるいは資本金が3億円以下であれば、頭数が多くても中規模に収まる余地がある。
つまり、200〜500名規模の中堅企業だからといって、必ずしも最上位の「大規模」料金になるわけではない。これは審査料が数十万円単位で変わる論点なので、見積もりを取る前に自社の区分を確定させておくべきだ。判定に使う「従業者」には、役員(常勤・非常勤)、正社員・契約社員、派遣社員・出向社員、パート・アルバイトが含まれる(登録型派遣事業者の派遣スタッフは除く)。派遣・出向を多く受け入れている組織は、実感より従業者数が多くカウントされ、区分が上がることがある点にも注意したい。
出典:JIPDEC「事業者規模の区分」。自社の区分に迷う場合は、申請先の審査機関に業種・資本金・従業者数を伝えて確認するのが確実。
費用の全体像と2026年10月の料金改定
Pマークの費用は、性質の異なる2種類を分けて考える必要がある。混同すると「相場」を大きく読み違える。
- 審査費用(公定・JIPDEC/指定審査機関へ支払う) — 申請料・審査料・付与登録料など。規模区分ごとに公表された金額で、交渉の余地はない。
- コンサルティング費用(自由価格・支援会社へ支払う、任意) — 規程整備、リスクアセスメント支援、教育・内部監査の代行や伴走など。依頼するかどうか・範囲によって大きく変動する。
まず(1)の公定料金を正確に押さえる。JIPDECが公表する現行料金と、2026年10月1日申請分から適用される新料金は次のとおり(いずれも税込・合計額)。
横にスクロールして確認できます
| 区分 | 新規/更新 | 現行料金 | 新料金(2026/10/1申請分〜) |
|---|---|---|---|
| 小規模 | 新規 | 314,288円 | 336,600円 |
| 中規模 | 新規 | 628,573円 | 690,800円 |
| 大規模 | 新規 | 1,257,144円 | 1,382,700円 |
| 小規模 | 更新 | 230,478円 | 244,200円 |
| 中規模 | 更新 | 471,430円 | 518,100円 |
| 大規模 | 更新 | 942,858円 | 1,037,300円 |
境界の判定は明快だ。申請日時が2026年9月30日23:59までなら現行料金、2026年10月1日0:00以降なら新料金。 更新期限が2026年秋以降に来る組織で、書類の準備が前倒しできるなら、9月中に申請を完了させることで中規模なら約4.7万円、大規模なら約9.4万円の差が生まれる計算になる。ただし「料金を惜しんで準備不足のまま駆け込む」のは本末転倒で、不適合が出れば是正や再現地審査(こちらも別途費用)で結局コストがかさむ。料金改定を理由に前倒しするなら、運用記録が1年分そろっていることが前提である。
次に(2)のコンサル費用。ここは各社の自由価格帯で、支援範囲(丸ごと代行なのか、要所だけ伴走なのか)、企業規模、拠点数、既存の運用成熟度で大きく変わる。二次情報として「新規で百万円前後、更新でその数割」といった相場感が語られることは多いが、実額は見積もり依存であり、GXOとして特定の金額を断定することはしない。重要なのは、公定の審査費用(動かせない)とコンサル費用(交渉・範囲調整の余地がある)を分けて見積書を読むことだ。見積書がこの2つを混ぜて総額だけ提示している場合は、内訳の開示を求めるべきである。
出典:JIPDEC「費用」「料金改定のお知らせ(2026年10月より)」。再現地審査料などは別建てで、基本料金＋時間単価等で計算される。正式な金額は申請先審査機関の最新料金表で確認すること。
新規申請の流れと所要期間
新規取得は、PMSを「つくって・回して・記録を残す」ところまで到達しないと申請できない。教育や内部監査は「実施した記録」が必要になるため、書類だけ整えても数か月分の運用実績が積み上がるのを待つ工程が生じる。一般的な流れは次のとおり。
横にスクロールして確認できます
| ステップ | 期間の目安 | 主な内容 |
|---|---|---|
| 1. 個人情報保護方針の策定 | 1〜2か月 | 経営層承認、社内外への公表 |
| 2. 個人情報の洗い出しとリスクアセスメント | 2〜3か月 | 取扱いのライフサイクル別に評価・対策決定 |
| 3. 規程・手順の整備 | 2〜3か月 | 取扱規程、教育・点検・是正・委託先管理の各手順 |
| 4. 従業者教育の実施 | 1か月 | 全従業者対象、受講記録の保管 |
| 5. 内部監査 | 1か月 | 独立性を確保した監査人による全社監査 |
| 6. マネジメントレビュー | 0.5か月 | 経営層による見直し、是正方針の決定 |
| 7. 申請書類の作成・提出 | 1か月 | JIPDECまたは指定審査機関へ |
| 8. 文書審査 | 1〜2か月 | 規程・運用文書の確認 |
| 9. 現地審査 | 数日 | 運用状況の確認(規模により所要日数が変動) |
| 10. 是正処置・付与判定 | 1〜2か月 | 指摘事項の是正後に認定付与 |
合計すると、着手から付与までおおむね10〜15か月を見ておくと現実的だ。中堅企業では、複数部署・複数拠点の巻き込みや、既存業務との調整で工程が伸びやすい。取引先から「◯月までにPマークを」と期限を切られている場合、この所要期間から逆算すると、多くのケースで「今すぐ着手しても間に合うかどうか」という水準になる。期限が厳しいなら、方針策定と並行してリスクアセスメントを走らせるなど、直列で積み上げず一部を並行処理する設計が要る。
なお、上記の期間はあくまで一般的な目安で、審査機関の混雑状況や自社の準備体制によって前後する。所要期間や受付の詳細は、申請先の審査機関の案内(二次情報を含む)で確認してほしい。
更新審査の流れと「有効期限の逆算」
Pマークの有効期間は2年。継続して使い続けるには、有効期限が切れる前に更新審査を受け、付与判定を得る必要がある。ここで中堅企業がもっとも事故を起こしやすいのが「申請のタイミング」だ。
更新は「有効期限当日までに申請すればよい」ものではない。一般に、有効期限のおおむね8か月前から4か月前までの間に更新申請を行う運用が広く案内されている(二次情報を含む。受付期間の扱いは審査機関により差があるため、必ず申請先の最新案内を確認すること)。この受付期間を過ぎると、審査・是正のリードタイムが有効期限に間に合わなくなり、最悪の場合は失効する。失効すると、名刺・Webサイト・提案書からロゴを外す必要が生じ、取引先要件や入札資格に影響が及ぶこともある。再取得は新規と同等の手続きになり、時間もコストも余計にかかる。
だからこそ、更新は「有効期限からの逆算」で管理する。GXOが推奨する逆算の考え方は次のとおりだ。
横にスクロールして確認できます
| 有効期限までの残り | やっておくべきこと |
|---|---|
| 12〜10か月前 | 新基準(JIS Q 15001:2023)との差分を点検し、規程・台帳の改定要否を確定 |
| 10〜8か月前 | 改定した規程での運用を開始、教育を実施(受講記録を残す) |
| 8〜6か月前 | 内部監査・マネジメントレビューを実施、是正を回す。更新申請の準備 |
| 6〜4か月前 | 更新申請を提出(料金改定をまたぐ場合は申請日を意識) |
| 4〜0か月前 | 文書審査・現地審査、指摘の是正、付与判定 |
この表で強調したいのは、更新申請の直前に一夜漬けで整えても通らないという構造だ。新基準では「1年分の運用記録」が審査対象になるため、更新の8か月以上前から新基準で運用実績を積んでおく必要がある。「更新が近づいてから対応を始める」組織ほど、教育記録や内部監査記録の年度が足りず、是正で時間を失う。
自社の管理体制が更新審査に耐えるか不安なら、審査準備の前段として、情報管理・DX体制の成熟度を客観的に棚卸ししておくと、どの記録が薄いかを早期に特定できる。
JIS Q 15001:2023で実務が変わった点
新基準の狙いを一言でいえば、「文書がそろっているか」から「リスクに応じて実効的に運用できているか」への転換だ。以下は、旧2017年版から実務上とくに影響が大きい変更点である(規格・指針の詳細はJIPDECの一次資料で、実務解説は二次情報を参照)。
- 管理台帳の対象拡大。 従来の「個人情報」に加えて、仮名加工情報・匿名加工情報・個人関連情報の取扱いの有無まで管理台帳で特定する。取扱いがない場合も「なし」と明示する運用が求められる。
- リスクアセスメントの文書化強化。 評価基準を定め、対策後に残る残留リスクを明示・文書化する。「毎年同じ様式を埋めるだけ」の形骸化した運用は指摘対象になりやすい。
- 委託先管理の継続モニタリング化。 選定・契約時のチェックだけでなく、契約後の点検・モニタリング(年1回以上の実地または文書確認と記録)が重視される。外国の委託先については本人同意など越境移転のプロセス整備も論点になる。
- 要配慮個人情報の考え方の反映。 取扱いがある場合、その特定・保護措置・同意取得の記録が確認される。
- 教育の実践化と記録の一体保存。 一般論の周知にとどまらず、自社の業務・新しい情報区分に即した内容へ。教育資料と受講記録をセットで保存し、審査時に証跡として提示できる状態にする。
- 内部監査は「有効性の評価」へ。 手順どおりかのチェックから、「リスク対応が機能しているか」を評価する監査へと焦点が移った。
重要なのは、これらの新基準はすでに2024年10月1日申請分から適用されているということだ。2026年に更新を迎える組織は「これから対応する」のではなく、「すでに1年以上、この基準で運用できていたか」を問われる。差分対応が済んでいない組織は、更新の前に規程改定・教育・内部監査をやり直す時間を確保しなければならない。
改正個人情報保護法との整合
JIS Q 15001:2023は、改正個人情報保護法(令和2年・令和3年改正、主要部分は2022年4月施行)との整合を反映している。Pマークを保有・取得する組織は、規格対応と同時に、次のような個情法上の実務も社内規程・運用に落とし込んでおく必要がある。
- 漏えい等の報告・通知。 一定の漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が求められる。委員会のガイドラインでは、**速報は事態を知った後「速やかに(おおむね3〜5日以内)」、確報は30日以内(不正の目的によるおそれがある場合等は60日以内)**とされている。この報告フローと連絡体制を、机上の手順ではなく訓練を伴う形で整備できているかが問われる。
- 個人関連情報の第三者提供制限。 Cookie等の個人関連情報を第三者に提供し、提供先で個人データとして取得することが想定される場合の本人同意確認など。
- 仮名加工情報・匿名加工情報の取扱いルール。 作成・利用・提供の各段階での義務を規程に反映しているか。
- 開示等請求への電子的対応。 本人からの開示・訂正・利用停止等の請求に、電磁的方法を含めて対応できる体制。
漏えい報告の日数要件などは個情法ガイドラインに基づく整理だが、細部の運用は改定されうるため、実際のインシデント対応マニュアルを作る際は個人情報保護委員会の最新ガイドラインを一次ソースとして確認してほしい。
GXOが見る「落ちる更新・通る更新」の分岐点
ここからは、制度解説ではなくGXOの判断フレームとして、審査でつまずく典型パターンと、その手前で潰しておくべき論点を挙げる。中堅企業の情報管理を外から見ていて、更新・新規のいずれでも共通して事故が起きるのは、次の5か所だ。
1. 教育の網羅性が「入社経路」で抜ける。 全従業者教育は、正社員だけでなく中途入社者・派遣・出向・パートまで含めて年1回以上の実施と記録が要る。事故はたいてい「4月入社は受講済みだが、期中の中途入社者が未受講」「派遣スタッフの受講記録がない」という形で出る。対策は、入社時受講の必須化と、月次で未受講者一覧を回す仕組みだ。
2. 委託先管理が「契約書止まり」になる。 新基準は契約後のモニタリングを重視する。委託先一覧が最新でない、再委託の把握がない、年1回の点検記録がない、といった不備が指摘の常連。委託先チェックリストのテンプレ統一と、年次点検の記録化が要る。
3. リスクアセスメントが「去年のコピー」になる。 様式を毎年埋め直すだけで、事業変化(新規事業、SaaS導入、越境移転の開始など)がリスク評価に反映されていないと、実効性を欠くと見なされる。台帳の更新とリスク評価の連動が要点だ。
4. 台帳が新情報区分に追いついていない。 仮名加工情報・個人関連情報などの列がそもそも台帳にない、あるいは「なし」の明示がない。新基準の差分対応が形式で止まっているサインである。
5. 記録の「年度」が足りない。 更新の直前に慌てて整えると、教育・内部監査・マネジメントレビューが「直近1回分」しか残っておらず、1年分の運用実績として弱い。これは中身の問題ではなくスケジュールの問題で、逆算着手でしか防げない。
これらはいずれも、コンサル会社に丸投げしても、自社の運用が回っていなければ再発する。GXOの見方では、Pマーク対応の成否は「規程を誰が書くか」より「運用を回す責任者と月次の仕組みを社内に置けるか」で決まる。とくに情報管理が特定の一人に属人化している組織は、その人の異動・退職で審査対応が一気に崩れる。Pマーク審査への対応をきっかけに、アクセス権限・ログ・委託先管理を含めたセキュリティ体制そのものを再構築しておくと、更新のたびの一夜漬けから抜け出せる。
申請前チェックリスト
新規・更新のどちらでも、申請前に次の項目を自己点検してほしい。「ある/ない」ではなく「直近1年で運用され、記録が残っているか」で判定するのがポイントだ。
- 個人情報保護方針を策定し、社外にも公表しているか
- 個人情報取扱台帳が最新で、仮名加工情報・匿名加工情報・個人関連情報の有無まで記載しているか
- リスクアセスメントを直近1年で実施し、残留リスクを明示・文書化しているか
- 取扱規程・教育規程・点検規程・是正手順・委託先管理手順が新基準に沿って改定されているか
- 全従業者(中途・派遣・出向・パート含む)の教育を実施し、教育資料と受講記録をセットで保管しているか
- 独立性を確保した内部監査を実施し、監査計画書・記録・是正記録が残っているか
- マネジメントレビューを経営層関与で実施し、議事録が残っているか
- 委託先一覧が最新で、年1回以上の点検記録・契約書の個人情報条項があるか
- 開示等請求への対応記録、苦情・インシデント対応記録が整っているか
- 漏えい時の報告・通知フロー(委員会報告・本人通知)を整備し、訓練しているか
- 自社の規模区分(小規模/中規模/大規模)を業種・資本金・従業者数から確定しているか
- 更新の場合、有効期限から逆算した申請スケジュールを引き、受付期間内に申請できるか
- 料金改定(2026年10月1日)をまたぐ場合、申請日をどちらに置くか判断しているか
このチェックで3つ以上「記録が残っていない」に該当するなら、申請前の準備期間が不足している可能性が高い。とくに更新では、この状態で駆け込み申請すると是正で時間を失いやすい。
コンサル費用(見積もり)の読み方
Pマーク支援の見積もりを比較するとき、総額の安さだけで選ぶと失敗しやすい。見るべきは次の観点だ。
- 公定料金とコンサル料が分離されているか。 前述のとおり審査費用は動かせない公定価格。総額に紛れて内訳が見えない見積書は、まず内訳の開示を求める。
- 範囲(スコープ)が明確か。 「規程のひな形提供まで」なのか「リスクアセスメント・教育・内部監査の伴走まで」なのかで、実際の社内工数がまったく変わる。安い見積もりは、往々にして自社側の負担が大きい。
- 更新まで見据えているか。 取得だけを支援して、2年後の更新運用を社内が回せない設計だと、更新のたびに費用が発生する。運用の内製化を織り込んだ提案かを確認する。
- 成果物と役割分担が書面化されているか。 誰が台帳を更新し、誰が教育を回し、誰が内部監査をやるのか。この責任分界が曖昧な契約は、更新時に「結局自社で全部やる羽目になった」となりやすい。
GXOの立場は明快で、外部支援の価値は「代わりに書類を作ること」ではなく、「自社が運用を回せる状態にすること」にある。丸投げ前提の見積もりは、短期的には楽でも、更新のたびに同じ費用と混乱を繰り返す。Pマーク対応を、書類仕事ではなく情報管理体制の再設計として扱うなら、月額で脆弱性対応・棚卸・委託先管理まで伴走するセキュリティ顧問(リテイナー)のように、運用を継続的に支える形の方が、結果的にコストが読みやすい。
この記事を読むべき人／GXOに相談すべきタイミング
この記事を読むべき人
- 取引先要件や入札要件でPマークの新規取得を迫られている中堅企業の管理責任者・実務決裁者
- 更新期限が2026〜2027年に来るが、新基準(JIS Q 15001:2023)への差分対応が済んでいるか自信がない担当者
- 社内に専任のIT・法務担当が薄く、コンサル見積もりが妥当かを判断できずにいる経営者・事業責任者
- 情報管理が特定の一人に属人化しており、その人の異動・退職で審査対応が崩れそうな組織
GXOに相談すべきタイミング
- 更新期限まで残り1年を切っているのに、新基準での運用実績(教育・内部監査・台帳更新)が1年分そろっていない
- コンサルの見積もりを取ったが、公定料金とコンサル料の内訳、役割分担が不明瞭で妥当性を判断できない
- Pマーク対応をきっかけに、アクセス権限・ログ・委託先管理を含めたセキュリティ体制そのものを立て直したい
- 過去に更新でつまずいた、あるいは失効しかけた経験があり、二度と一夜漬けにしたくない
GXOでは、いきなり大規模な契約を前提にせず、まず自社の情報管理・DX体制がどの水準にあるかの棚卸しから入り、審査準備・運用内製化・セキュリティ再構築のうち、どこから手を付けるべきかを一緒に整理する。「相談＝発注」ではなく、「自社では何を、どの順で確認すべきか」を明確にすることを最初のゴールに置いている。
よくある質問(FAQ)
Q. 「2026年の改訂」に今から対応すればいいのか? A. 誤解しやすいが、規格・審査基準の改訂は2023年(指針は2024年10月1日適用)で完了済みで、2026年に新たな基準改訂が予定されているわけではない。2026年に変わるのは料金(2026年10月1日申請分から改定)。新規・更新を申請する組織は、すでに新基準の下にある前提で、1年分の運用実績を整える必要がある。
Q. 200〜500名の中堅企業は必ず「大規模」料金になるのか? A. ならないことがある。大規模は「資本金の条件」と「従業者数の条件」の両方を満たす場合に該当する。たとえばサービス業で従業者200名でも資本金5千万円以下なら中規模、製造業で従業者300人以下または資本金3億円以下なら中規模に収まる。自社の業種・資本金・従業者数で判定するのが先決。
Q. 料金改定前に駆け込み申請すべきか? A. 運用記録が1年分そろっているなら、2026年9月30日までの申請で現行料金が使え、中規模で約4.7万円、大規模で約9.4万円の差になる。ただし準備不足のまま駆け込むと、是正や再現地審査で追加費用が発生し、値上げ分を上回る損になりかねない。前倒しの前提は「中身が整っていること」。
Q. 更新申請はいつまでに出せばよいのか? A. 有効期間は2年で、一般に有効期限のおおむね8か月前から4か月前の受付期間に申請する運用が案内されている(受付期間の扱いは審査機関で差があるため、必ず申請先の最新案内を確認)。遅れると失効し、取引・入札への影響や再申請(新規同等の手間)のリスクがある。
Q. PマークとISMS(ISO/IEC 27001)は同時に取得できるか? A. 可能。個人情報保護に特化したPマークと、情報セキュリティ全般のISMSは重複する統制が多く、統合的に運用する組織も多い。ただし規格の要求範囲は異なるため、統合の設計は専門的な整理が要る。
Q. 審査で落ちる(不適合になる)一番の原因は? A. 文書の有無より運用記録の不足。とくに教育の網羅性(中途・派遣の未受講)、委託先の年次点検記録、リスクアセスメントの形骸化、記録の年度不足が典型。更新直前の一夜漬けでは間に合わない構造になっている。
参考資料(一次・公式)
- JIPDEC「プライバシーマーク制度」公式サイト(https://privacymark.jp/)
- JIPDEC「審査基準と構築・運用指針」(JIS Q 15001:2023準拠 ver1.0、2024年10月1日適用)(https://privacymark.jp/guideline/outline.html)
- JIPDEC「JIS Q 15001改正に伴う構築・運用指針の対応について」(https://privacymark.jp/news/2023/system/0920.html)
- JIPDEC「事業者規模の区分」(https://privacymark.jp/p-application/cost/segment.html)
- JIPDEC「費用」(https://privacymark.jp/p-application/cost/index.html)
- JIPDEC「料金改定のお知らせ(2026年10月より)」(https://privacymark.jp/news/2025/system/1020.html)
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」(漏えい等の報告・通知の要件)
制度・審査基準・料金・法令・ガイドラインは改定されうる。申請・更新・インシデント対応の直前には、必ず上記の公式最新版と、申請先審査機関の最新案内で適用条件を再確認すること。本文中の所要期間・受付期間・コンサル費用相場のうち、JIPDEC公式に基づかない部分は二次情報を含む一般的な目安であり、自社の条件で個別に確認する必要がある。
