サイバーセキュリティ対策促進助成金を公式資料で確認

制度の全体像

現時点で確認できる対象年度

まず押さえたいのは、今見ている情報がどの年度の募集要項かという点です。公社の公募ページは申請受付終了の状態ですが、掲載されている募集要項や必要書類編、審査資料、電子申請マニュアルはいずれも令和7年度の資料です。公社の助成金一覧を見ると、本助成金は令和7年度の危機管理カテゴリに掲載されており、令和8年度カテゴリには本助成金の案内を確認できませんでした。したがって、2026年3月18日時点で実務に使うべき根拠資料は、令和7年度第3回募集の公式資料一式と考えるのが安全です¹²。

ここを曖昧にすると、募集回数、締切、申請方法、対象者区分を取り違えます。特に設備系の助成金は、年度が変わっても名称が似ている一方で、募集回数や提出方法が変わることがあります。本助成金でも、令和7年度資料では申請エントリーとJグランツによる電子申請が前提になっており、締切も第1回から第3回まで分かれています¹³⁴。

似た制度との違い

東京都中小企業振興公社の危機管理分野には、本助成金のほかにBCP実践促進助成金やLED照明等節電促進助成金があります。窓口が同じ設備支援課で、上限額や助成率も近いため、制度名だけで判断すると混同しやすいです。サイバーセキュリティ対策促進助成金で見るべき対象は、UTM、FW、VPN、ウイルス対策、アクセス管理、暗号化、サーバーOS、標的型メール訓練、そしてこれらと同内容のクラウドサービスです。BCPの物品導入やLEDの節電設備とは目的も対象経費も異なります¹³²。

もう一つの注意点は、過去の書籍や解説記事に載っている数字をそのまま使わないことです。制度の名称が同じでも、募集回数や申請手順が変わると、準備順序まで変わります。現時点では、令和7年度第3回募集のPDF群が最も信頼できる実務資料です。次回公募を待つ場合でも、まずはこの一式を読み込み、次の年度の公募ページ公開後に差分だけを確認する進め方が現実的です¹³²。

支援内容と令和7年度の公募時期

助成額の見方

金額面だけを見ると使いやすく見えますが、実際には助成率2分の1以内であること、さらに後払いであることが重要です。募集要項では、交付決定は全ての支払いを保証するものではなく、完了後の検査結果によって交付予定額より減額になる場合があると案内しています。設備購入の自己資金、工事費、ライセンス費用の先払いが必要になるため、導入計画と資金繰りを一緒に見ておく必要があります³。

また、標的型メール訓練だけを申請する場合は、通常の上限1,500万円ではありません。上限50万円という別ルールです。メール訓練を他の設備導入と組み合わせるのか、単独で申請するのかで上限の読み方が変わるため、見積段階で申請区分を決めておくと後戻りが減ります³。

令和7年度の公募時期

上の表は、令和7年度資料で公表されている申請スケジュールです¹³。現在は受付終了ですが、準備の順番を考えるうえでは参考になります。公社の2ページ案内には、SECURITY ACTION 二つ星の申請に1か月程度かかるので注意とあり、募集要項にはGビズIDプライムの取得に原則2週間程度かかるとあります。締切直前に動くと間に合わない要素が複数あるため、制度が再度公開されたときは、まず二つ星とGビズIDの状態を確認するのが先です³⁴⁵⁶⁷。

年度によって募集回数は変わる可能性があります。次回公募を待つ場合は、回数そのものを予想するのではなく、公社ページで新しい募集要項が公開されたかどうかを確認してください。回数が変わると、助成対象期間も変わり、発注や支払いを終えるべき期限が動きます¹²。

対象者と申請要件

申請できる事業者

一方で、特定非営利活動法人、財団法人、社団法人、学校法人、宗教法人、社会福祉法人、医療法人、任意団体、政治・経済団体は申請できません。また、金融業と保険業の一部、農林水産業は対象外です。都税などの滞納がないことや、過去5年間に助成事業で不正事故を起こしていないことも要件です³。

申請前に満たす条件

SECURITY ACTION 二つ星は、本助成金の入口になる条件です。IPAの公式ページでは、二つ星は5分でできる情報セキュリティ自社診断を行い、情報セキュリティ基本方針を策定して外部公開したうえで、情報セキュリティ対策への取り組みを宣言するものと案内しています。つまり、単にロゴを申し込むだけでは足りず、自社診断と基本方針公開まで済ませる必要があります⁶⁸。

ここで詰まりやすい会社向けに、公社は情報セキュリティ基本方針策定支援の専門家派遣も用意しています。令和7年度資料では、1社または1グループにつき3回まで無料で、東京都内の自社事業所へ専門家を派遣するとしています。ただし、これは本助成金の申請要件ではなく、利用しても審査上の加点要素にはなりません。あくまで二つ星取得の準備支援と考えると整理しやすいです³⁹。

対象経費

助成対象になる経費

対象経費の費目としては、物品購入費、設置費等、委託費、クラウドサービス利用料等があります。設置費は物品購入費の25パーセントが上限で、委託費は標的型メール訓練だけです。クラウド利用料は、助成対象期間内に契約し、使用し、支払いを完了した分に限られます。たとえば1年契約を前払いした場合でも、助成対象になるのは対象期間に対応する部分までです³。

更新案件も一律に排除されているわけではありません。公式資料では、更新の場合でもサイバーセキュリティの向上が必要としています。逆に言えば、単なる期限切れに伴う同等機種への入れ替え、性能向上や対策強化の説明がないクラウド契約更新は弱くなります。更新の理由を説明するなら、更新前と更新後で何が変わるのかを具体的に示す必要があります³¹¹¹⁰。

対象外になりやすい経費

この制度で特に誤解されやすいのが、セキュリティのために使う予定だからといって、何でも対象になるわけではない点です。FAQでは、別途必要になるパソコンは対象外、脆弱性診断費も対象外、ライセンス料と保守費が一体なら保守費を分けてライセンス料のみ申請するよう案内しています。見積段階で費目が混ざっていると、そのままでは助成対象外になる可能性が高いので、早めに販売会社へ内訳調整を依頼するのが安全です³。

また、サーバー関連はサーバーOSとそのインストール作業費用に限られます。サーバー本体、HDD、UPSなどのハードウェアは対象外です。サーバーOSも最新OSであることが要件で、ひとつ前のOSでは申請できません。ここは見積の時点で製品構成を切り分けておかないと、見積全体が読みにくくなります³。

申請の流れ

手続きの順序

令和7年度資料では、申請エントリーとJグランツ電子申請の二段階になっています。どちらか一方だけでは足りません。電子申請マニュアルでも、公社ページで募集要項と申請様式を確認し、GビズIDプライム取得、申請エントリー、Jグランツ申請という順序が示されています。締切日にアクセスが集中するとシステム障害で手続きが滞る可能性があるとも案内されているため、余裕を持って着手するほうが安全です⁴。

ここで大切なのは、交付決定前に発注しないことと、助成対象期間内に支払いまで終えることです。設備が納品されても、支払いが期間外なら対象外になります。クラウド利用料も、対象期間内に利用し、支払いが完了した分だけが対象です。スケジュール表を社内で作り、発注、納品、支払予定日を一目で分かるようにしておくと管理しやすくなります³¹⁰。

必要書類

見積書は特に重要です。募集要項では、同一製品で2社以上からの見積が必要で、単価や規模などの積算根拠が明確に分かるものを提出するよう求めています。ライセンスを伴う機器は、機器代とライセンス料を分けて記載する必要があります。機器設置設定作業一式のような大まかな表記は認められず、詳細不明だと助成対象外になる場合があります³¹²。

主体別の見落としやすい書類

これは制度要件ではありませんが、書類は申請直前に集めるより、四つの束に分けて管理すると楽になります。具体的には、会社の基礎資料、経費根拠資料、二つ星関連資料、設置場所と運用資料です。この分け方にすると、差戻しが来たときにどの束が不足しているか判断しやすくなります。特に二つ星関連と見積関連は差戻しが起きやすいので、別フォルダにしておくと混乱しにくくなります³¹²⁴。

審査で見られるポイント

五つの審査項目

審査資料では、審査は五つの項目から総合的に判断するとしています。特に設備導入の妥当性と効果は重要で、同等性能の市場価格と大きく乖離していないか、企業規模に見合っているか、自社課題に対して本当に必要な対策かが見られます。価格が高いだけで不利というより、なぜその価格と構成になるのかを説明できないと弱くなると考えたほうがよいです¹¹。

電子申請マニュアルでは、電子申請後の流れとして資格書類審査、総合審査、交付決定、助成事業開始の順序が示されています。つまり、まず要件や書類が揃っているかを見たうえで、計画内容の評価に進みます。条件を満たしていないと内容以前の段階で止まるため、二つ星書類、納税証明書、見積の有効期限などの基本事項が非常に重要です⁴。

不採択になりやすい場面

申請書記入例は、何を書けばよいかをかなり具体的に示しています。各設備について、商品名、セキュリティ向上に資する特徴、期待できる自社の課題内容、そして他社機種と比較した採用理由を書くよう求めています。さらに、必要以上の数やオーバースペックと判断されると助成対象外になる可能性があるとも注意しています。審査資料の抽象論だけでなく、記入例の指示まで読むと、どこが評価の分かれ目かが見えやすくなります¹⁰。

申請書作成と完了後の管理

申請書で具体化したい内容

これは制度要件ではありませんが、申請書の文章は社内の技術担当者の言葉をそのまま貼り付けるより、非技術者でも読めるように整えたほうが伝わりやすいです。たとえば、脆弱性を塞ぐではなく、社外からの不正侵入リスクを減らす、ランサムウェア感染時の拡散を抑える、認証強化で不正ログインを防ぐ、といった形で目的を言い換えると、設備の必要性と効果がつながります。記入例が求めているのも、このつながりです¹⁰。

また、更新案件では、単にサポート期限が来たからでは弱くなります。旧機器では見えなかった通信を可視化できる、新たに多要素認証へ対応できる、拠点増加に応じて処理能力を確保できる、といった差分を書き分けると、更新であってもセキュリティ向上が伝わりやすくなります。審査資料と記入例の両方で、更新前と更新後の比較が重要であることが繰り返し示されています¹¹¹⁰。

証憑と支払いの管理

完了後は、導入した設備の設置と動作確認に加え、提出書類の原本照合が行われます。募集要項では、助成事業に係る経費の支払いは金融機関または郵便局からの振込払いで、送金口座は普通預金または当座預金に限るとしています。現金や電子マネーなどは対象外です。支払い方法まで制度要件なので、社内の経理担当者にも事前に共有しておくと安心です³。

完了後の管理も軽くありません。設置した設備の利用状況について5年間、報告を求められる場合があります。取得財産は完了した年度の翌年度から起算して5年間は原則処分できず、処分には事前承認が必要です。関係書類も翌年度から5年間保存義務があります。更新サイクルが短い製品を検討している場合は、この保管管理ルールと整合するかを先に確認しておく必要があります³。

次回公募に備える準備

先に進めたい準備

現在は受付終了なので、次回公募を待つ会社にとって大事なのは、いま公式に確認できる要件を先に満たせるものから進めることです。特に二つ星とGビズIDは、募集開始後に着手すると間に合わない可能性があります。公社の2ページ案内では二つ星申請に1か月程度かかる旨が示されており、募集要項ではGビズIDプライムの取得に原則2週間程度かかるとしています。ここは前倒しで準備しやすい部分です³⁵⁶⁷。

これは制度要件ではありませんが、問い合わせ前に一度、導入候補を三つまでに絞ると話が進みやすくなります。申請書記入例でも、金額の大きい順から三つ選ぶ構成になっており、審査でも設備ごとの妥当性が見られます。候補が多すぎる段階では見積条件も揃えにくく、比較理由を書きにくくなります¹⁰。

問い合わせ前のメモ

問い合わせ先は企画管理部設備支援課です¹³。ただし、制度の適否を聞く前に上のメモを作っておくと、回答が具体的になりやすくなります。何を入れたいかだけでなく、何を防ぎたいのか、現状構成はどうか、工事の有無はどうかまで整理して伝えると、対象経費の線引きを確認しやすくなります。

申請前セルフチェック

この表で一つでも詰まる項目があるなら、見積や申請書の作成より先にそこを潰したほうが効率的です。特に二つ星、相見積、対象外経費の切り分け、資金繰りの四つは、締切直前では挽回しにくい部分です。制度要件と運用上の詰まりどころが重なりやすいので、最初に確認しておく価値があります³¹²⁴⁶。

よくある質問

Q1. 2026年3月時点で申請できますか。
A. できません。公社の公募ページは申請受付終了の表示です。現時点で確認できる公式資料は令和7年度第3回募集に関するものです¹²。

Q2. 現時点で参照すべき年度はどれですか。
A. 2026年3月18日時点では、令和7年度第3回募集の資料一式を参照するのが安全です。公社の令和8年度助成金一覧には本助成金の募集要項掲載を確認できませんでした¹²。

Q3. 個人事業主でも申請できますか。
A. 申請できます。募集要項では個人事業主も申請区分に含まれています。ただし、東京都内で開業届を提出し、都内で実質的に1年以上事業を行っていることなどの要件があります³¹²。

Q4. SECURITY ACTION 二つ星はいつまでに必要ですか。
A. 申請日までに二つ星を宣言し、宣言済みであることを自社ホームページ等で確認できる状態が必要です。二つ星には自社診断と情報セキュリティ基本方針の外部公開が必要なので、かなり早めに着手したほうが安全です³⁶⁸。

Q5. パソコンやスマートフォンも対象になりますか。
A. なりません。パソコン、スマートフォン、タブレット、外付けハードディスクなどの汎用性が高い機器は対象外です。FAQでも、別途必要になるパソコンは対象外と案内されています³。

Q6. 既存設備の更新でも申請できますか。
A. 更新自体が直ちに対象外になるわけではありません。ただし、更新前と比べてどうサイバーセキュリティ向上につながるのかを具体的に説明する必要があります。単なるサポート期限切れ対応や同等性能への入替だけでは弱くなります³¹¹¹⁰。

Q7. 脆弱性診断やコンサルティング費用は対象ですか。
A. 対象ではありません。委託費で認められるのは標的型メール訓練に係るものだけです。診断費や申請支援費、コンサル費は対象外です³。

Q8. ライセンス料と保守費がセットの見積しか出ません。どうすればよいですか。
A. 保守費は対象外です。FAQでも、ライセンス料と保守費を分割し、ライセンス料のみ申請するよう案内しています。販売会社に内訳を分けた見積の再発行を依頼する必要があります³。

Q9. 機器を都外に置くことはできますか。
A. 原則は東京都内の事業所です。ただし、FAQでは、東京都内に本店を有する場合に限り、茨城県、栃木県、群馬県、埼玉県、千葉県、神奈川県、山梨県の事業所への設置を認める案内があります³。

Q10. 申請後に機種を変更できますか。
A. 原則としてできません。機種やスペックの変更は認められず、モデルチェンジなどやむを得ない場合は事前承認が必要です。交付決定後の計画変更も、事前承認なく行うと取消しの対象になり得ます³。

Q11. 助成金はいつ受け取れますか。
A. 後払いです。助成事業の完了後に完了報告書を提出し、完了検査を経て助成金額が確定してから請求、支払いとなります。申請時点や交付決定時点で入金されるわけではありません³⁵。

Q12. 以前にこの助成金を受けた会社は再申請できますか。
A. できません。募集要項では、以前にサイバーセキュリティ対策促進助成金の交付を受けたことがないことが要件です³。

Q13. 相見積は本当に必要ですか。
A. 必要です。募集要項と必要書類編の両方で、同一製品による2社以上からの見積提出が必要と案内しています。しかも申請日時点で有効な見積でなければなりません³¹²。

Q14. 中小企業グループでの申請はできますか。
A. できます。代表企業がJグランツで申請し、助成金の支払いも代表企業へ一括で行われます。完了報告時には、代表企業と参加企業間の支出負担割合表を提出する運用です³。

Q15. 二つ星のための専門家派遣を使わないと不利ですか。
A. そのようには書かれていません。公社の専門家派遣は無料で利用できますが、本助成金の申請要件ではなく、審査での加点要素にもなりません。情報セキュリティ基本方針づくりに不安がある場合の支援策と考えるとよいです³⁹。

出典・参考資料

1. サイバーセキュリティ対策促進助成金 公募ページ 東京都中小企業振興公社 ↩

2. 東京都中小企業振興公社 助成金一覧 令和7年度と令和8年度の掲載状況 ↩

3. 令和7年度 サイバーセキュリティ対策促進助成金 募集要項 第3回募集 PDF ↩

4. 令和7年度 サイバーセキュリティ対策促進助成金 電子申請マニュアル ver.2.5 PDF ↩

5. 令和7年度 サイバーセキュリティ対策促進助成金 2ページ案内 PDF ↩

6. IPA SECURITY ACTION 二つ星を宣言する 公式ページ ↩

7. IPA SECURITY ACTION 自己宣言の申込方法 公式ページ ↩

8. IPA 5分でできる情報セキュリティ自社診断 公式ページ ↩

9. 令和7年度 SECURITY ACTION 二つ星取得支援 情報セキュリティ基本方針策定支援専門家派遣 募集要項 PDF ↩

10. 令和7年度 サイバーセキュリティ対策促進助成金 申請書記入例 PDF ↩

11. 令和7年度 サイバーセキュリティ対策促進助成金 審査の視点と注意点 PDF ↩

12. 令和7年度 サイバーセキュリティ対策促進助成金 必要書類編 PDF ↩