PマークとISMSの違い：対象・範囲・審査・費用の比べ方

Pマークは、個人情報を守る仕組みを原則として法人単位で認める日本の制度で、JIS Q 15001 にもとづきます。ISMS 認証は、個人情報を含む情報資産全般を守る仕組みが国際規格 ISO/IEC 27001 に適合していることを、組織が定めた範囲で認証する制度です。どちらを選ぶかは、まず取引先や入札の条件で求められている方を確かめましょう。

Pマーク（プライバシーマーク）と ISMS 認証は、どちらも情報を守る仕組みを第三者に確かめてもらう制度です。取引先から取得の状況を確かめられることもあります。違いを整理します。

違いの早見表

	Pマーク（プライバシーマーク）	ISMS 認証
守る対象	個人情報	情報資産全般（個人情報を含む）
範囲	原則として法人単位で付与（会社全体が対象）	組織の必要に応じて定められる。全社である必要はない
もとにする規格	JIS Q 15001:2023	ISO/IEC 27001:2022（2024年の追補を含む。国内規格は JIS Q 27001）
制度の位置づけ	日本国内の事業者が対象の制度	国際規格への適合を証明する制度
運営と審査	JIPDEC（付与機関）が運営し、JIPDEC または指定を受けた審査機関が審査する	認定機関（国内では ISMS-AC など）が認定した認証機関が審査する
審査の流れ	文書審査と現地審査	初回は第一段階・第二段階の2段階
有効期間と更新	2年。更新を続ける	年1回以上のサーベイランス審査と、3年ごとの再認証審査
取得している数	17,788社（2026年3月31日時点）	ISMS-AC が認定した認証機関の登録組織が8,470件（2026年3月31日現在）

守る対象と範囲

Pマーク は、個人情報の扱いに特化した制度です。JIPDEC によると、付与の対象は国内に活動拠点を持つ事業者で、付与は法人単位 です（医療法人等・学校法人等には一部例外があります）。原則として、部署や拠点だけで取ることはできず、会社全体で個人情報保護の仕組みを作ります。

ISMS 認証 は、顧客情報や技術情報、経営情報など、情報資産全般を対象にします。ISMS-AC は、認証の範囲は 組織の必要に応じて定めることができ、必ずしも全社を範囲とする必要はない としています。

もとにする規格

Pマーク：JIS Q 15001:2023。JIPDEC は、これに対応した審査基準「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」を2023年12月25日に定め、2024年10月1日から適用しています
ISMS：ISO/IEC 27001:2022（日本語版は JIS Q 27001:2023）。2022年の改訂で、附属書A の管理策は114から93に整理されました。2013年版からの移行期間は2025年10月31日までで、すでに終わっています。その後、ISO/IEC 27001:2022 の追補（2024年）に対応した追補が公示され、JIS Q 27001:2023 は改正されて JIS Q 27001:2025 となりました。認証の文書での規格の表記は、認証機関に確かめてください

審査と更新の流れ

Pマーク は、申請のあと、書類で仕組みを確かめる 文書審査 と、審査員が訪問して記録や現場を確かめる 現地審査 を受けます。有効期間は2年で、続ける場合は原則として 有効期間が満了する8か月前の日から4か月前の日までに更新を申請 します（最終日が審査機関の休業日なら、直後の営業日まで延長）。期限を過ぎないよう、日付を管理しておきましょう。

ISMS は、初回の審査が原則として 第一段階と第二段階の2段階 で行われます。認証の後も 年に1回以上のサーベイランス審査 があり、3年ごとに再認証審査 を受けて有効期限を更新します。

費用の考え方

Pマーク は、JIPDEC が料金表を公表しています。事業者の規模（小規模・中規模・大規模）で金額が変わり、2026年10月1日から適用の料金（税込）は次のとおりです。

規模	新規	更新
小規模	336,600円	244,200円
中規模	690,800円	518,100円
大規模	1,382,700円	1,037,300円

申請料・審査料・付与登録料の合計で、審査にかかった交通費・宿泊費などは、審査機関の規程により別に必要です。規模の区分は、業種ごとに資本金や従業者数で決まります。最新の料金と区分は JIPDEC の案内で確かめてください。

ISMS は、ISMS-AC によると、認証登録に関わる料金は 認証の範囲や組織の規模、認証機関によって異なります。複数の認証機関に見積もりを依頼して比べるとよいでしょう。

どちらも、審査の費用のほかに、仕組みを作り運用するための社内の手間がかかります。外部の支援を受ける場合は、その費用も見込んでおきましょう。

どちらを選ぶか

まず確かめたいのは、取引先や入札の条件で何が求められているか です。そのうえで、制度の違いから次のように考えられます。

守りたいのが主に個人情報で、会社全体で取り組むなら、個人情報に特化した Pマークが合う
個人情報以外の機密情報も含めて管理体制を示したい場合、国際規格にもとづく認証を示したい場合、一部の部署や事業から始めたい場合は、ISMS が合う

迷ったら、取引先の調達の条件や、入札の参加資格を確かめるところから始めてください。国が整備を進めるサプライチェーン向けのセキュリティ対策評価制度も、今後の判断材料になります。

共通する日々の運用

どちらの制度でも、仕組みを作るだけでなく、決めたとおりに運用していることを審査で確かめられます。日々の運用として、たとえば次のようなものがあります。

規程を定め、従業者に周知し、確認した記録を残す
従業者に定期的に教育を行い、受講と理解の記録を残す
入社・退職・異動のときに、権限の付与と停止を確実に行う（退職者のアカウントの停止漏れを防ぐ手順）
事故が起きたときの報告の手順を決めておく（Pマークの事故報告は個人情報が漏えいしたときの報告で解説しています）
内部監査とマネジメントレビューを行い、見つかった課題を直す

審査の直前に記録を集めるのではなく、日々の手続きの中で記録が残る形にしておくと、負担を抑えやすくなります。

出典

よくある質問

PマークとISMSは両方取る必要がありますか？

制度として両方を取る決まりはありません。両方が必要かどうかは、取引先や入札の条件によります。教育や事故対応、内部監査など共通する運用が多いため、記録をまとめて管理すると、両方を運用する負担を抑えやすくなります。

中小企業にはどちらが取りやすいですか？

一概には言えません。Pマークは原則として法人単位で付与されるため会社全体が対象になる一方、ISMS は認証の範囲を組織の必要に応じて定められます。扱う情報と取引先の要求で選んでください。

ISMS の2013年版の認証は、まだ使えますか？

使えません。ISMS-AC によると、ISO/IEC 27001:2022 への移行期間は2025年10月31日までで、それを過ぎると旧版での認証は無効になります。