最大500万円｜東京都サイバーセキュリティ対策促進助成金【令和8年度】次は第3回・1月申請｜VPN・EDRも対象

2026年上半期、国内のランサムウェア被害報告は123件にのぼり、半期として統計開始以来の最多を更新しました。警察庁が2026年9月に公表した資料によると、このうち79件が中小企業の被害で、侵入経路の約5割はVPN機器です。復旧に1か月以上かかった組織が半数を超え、復旧費用が総額1,000万円以上になった組織は6割に達しています。

攻撃する側の変化も見逃せません。2026年7月には米オープンAIと米アンソロピックが相次いで、開発中のAIがテスト中に外部の組織のシステムへ侵入していたと発表しました。AIを使えば、守りの甘い機器や設定を探す作業はこれまでより速く、広く行えます。古いVPN機器や使い回しのパスワードを放置したままの会社ほど、狙われやすくなっているといえるでしょう。

そこで活用したいのが、東京都と公益財団法人東京都中小企業振興公社が実施する「サイバーセキュリティ対策促進助成金」です。UTMやVPN、EDR、本人認証などの機器・サービスの導入費用を、対象経費の2分の1以内・最大500万円まで助成します。

令和8年度は第1回・第2回の受付がすでに終了し、次の申請機会は第3回（2027年1月8日〜15日予定）です。第3回の募集案内は「今冬掲載予定」とされています。申請にはSECURITY ACTION二つ星の宣言やGビズIDプライムの取得、2社分の見積書が必要なため、今から準備を始めても早すぎることはありません。

この記事では、令和8年度の助成内容・対象経費・申請要件・第3回に向けた準備の流れを、第2回募集要項をもとに解説します。

無料で相談する

▼▼▼日々配信中！無料メルマガ登録はこちら▼▼▼
メルマガ会員登録する

東京都サイバーセキュリティ対策促進助成金とは？最大500万円・助成率1/2の制度

サイバーセキュリティ対策促進助成金は、都内の中小企業がセキュリティ機器やクラウドサービスを導入・更新する費用の半分を、最大500万円まで助成する制度です。東京都産業労働局と東京都中小企業振興公社が共同で実施しています。

企業秘密や顧客の個人情報を守るための投資を後押しし、都内中小企業が安心して事業を続けられる環境をつくることが目的です。令和8年度の概要は次のとおりです。

令和7年度から何が変わった？限度額は1,500万円から500万円に

令和8年度の大きな変更点は、助成限度額が令和7年度の1,500万円から500万円に引き下げられたことです。助成率2分の1と申請下限額10万円は変わっていません。

対象機器の区分には、令和8年度から「エンドポイントセキュリティ製品（EDR、EPP等）」が独立した項目として加わりました。パソコンやサーバーなど端末そのものへの攻撃を検知・防御する製品で、ランサムウェア対策として導入が進んでいる分野です。サーバーOSと標的型メール訓練は、令和7年度に続いて対象に含まれています。

項目	令和7年度	令和8年度
助成限度額	1,500万円	500万円
助成率	2分の1以内	2分の1以内
申請下限額	10万円	10万円
対象機器の区分	8区分	9区分（EDR・EPPを追加）

「2022年度（令和4年度）」の情報を探している方へ

令和4年度（2022年度）を含む過去年度の募集はすべて終了しており、これから申請できるのは令和8年度の第3回です。過去年度の記事に載っている限度額（1,500万円）や対象経費は、現在の制度とは異なります。申請を考えている場合は、令和8年度の内容で判断してください。

SECURITY ACTION二つ星とは？申請前に宣言が必要な理由

この助成金に申請するには、申請日までにSECURITY ACTION二つ星を宣言し、自社のWebサイト等で確認できる状態にしておく必要があります。SECURITY ACTIONは、独立行政法人情報処理推進機構（IPA）が運営する、中小企業がセキュリティ対策への取組を自ら宣言する制度で、宣言は無料です。

SECURITY ACTIONの段階
★一つ星	「情報セキュリティ5か条」に取り組むことを宣言する
★★二つ星	「5分でできる！情報セキュリティ自社診断」で現状を把握し、情報セキュリティ基本方針を定めて外部に公開したうえで宣言する。本助成金の申請に必須

二つ星の宣言には、情報セキュリティ基本方針（会社としてセキュリティにどう取り組むかを定めた文書）を作り、ホームページなどで公開する作業が必要です。申請書類にも、宣言の確認メールまたはIPAの宣言事業者検索結果の写しと、情報セキュリティ基本方針を添付します。

基本方針づくりを無料で支援してもらえる東京都の事業

基本方針の作り方がわからない場合は、東京都の「令和8年度中小企業サイバーセキュリティ基本対策事業」を利用できます。都内に主たる事業所がある中小企業が対象の無料事業で、専門家による情報セキュリティマネジメント指導（最大4回・先着100社）の中で、SECURITY ACTION二つ星の宣言に向けた助言やポリシーのサンプル提供を受けられます。

申込受付は2026年10月30日（金）までで、先着順のため定員に達し次第締め切られます。第3回への申請を考えている方は、早めに申し込んでおくと準備がスムーズです。

助成対象になる機器・サービスは？9区分の一覧

助成対象は、サイバーセキュリティ対策のための機器・ソフトウェアの導入・更新費と、同等のクラウドサービスの利用料です。令和8年度の対象は次の9区分です。

助成対象の機器・サービス（令和8年度）
1	統合型アプライアンス（UTM等）
2	ネットワーク脅威対策製品（ファイアウォール、VPN、不正侵入検知システム等）
3	コンテンツセキュリティ対策製品（ウイルス対策、スパム対策等）
4	エンドポイントセキュリティ製品（EDR、EPP等）
5	アクセス管理製品（シングルサインオン、本人認証等）
6	システムセキュリティ管理製品（アクセスログ管理等）
7	暗号化製品（ファイルの暗号化等）
8	サーバーOSおよびインストール作業費（サーバー入替に伴うOS更新を含む）
9	標的型メール訓練

どの区分でも、主な目的がサイバーセキュリティの向上であることが条件です。バックアップだけを目的とした製品や、申請者が自社で販売している製品は対象になりません。

対象経費の区分と上限のルール

助成対象経費は4つの区分に分かれ、それぞれにルールがあります。

経費区分	内容とルール
機器・ライセンス費	ハードウェア・ソフトウェアの購入費。保守・サポートライセンスは最長5年分まで
設置費等	搬入・設置にかかる費用。機器費の25%が上限
委託費	標的型メール訓練の委託のみ対象。セキュリティ診断は対象外
クラウドサービス利用料等	初期費用と利用料。助成対象期間内に支払う最長12か月分。期間をまたぐ契約は中途解約・返金ができない契約に限る

助成対象にならない経費は？パソコン・リース・中古品は対象外

次のような経費は助成対象になりません。とくにパソコンやスマートフォン、リース・割賦での導入、交付決定前の発注は誤解が多いので注意が必要です。

• パソコン、スマートフォン、タブレット、複合機、外付けドライブなどの汎用品・消耗品
• サーバー本体・HDD・UPSなどのハードウェア（サーバーはOSとインストール作業費のみ対象）
• リースや割賦購入による導入、中古品
• LAN配線や建物の改修、運用・保守の委託費、通信費
• コンサルティング費用、申請書類の作成費用、セキュリティ診断費用
• 交付決定前に発注・契約・設置したもの
• 助成対象期間の終了後に支払ったもの、銀行振込以外で支払ったもの
• 関係会社からの購入、自社製品の購入

パソコン本体の購入を補助金で考えている場合は、国の「デジタル化・AI導入補助金」でハードウェアが対象になる枠があります。

VPN・リモートVPN・SSL-VPNの導入や更新に使える？

VPN機器やリモートVPNの導入・更新は、この助成金の対象になります。対象機器の「ネットワーク脅威対策製品（ファイアウォール、VPN、不正侵入検知システム等）」にあたるためです。テレワーク用のリモートVPNやSSL-VPNも、セキュリティ向上が主な目的であれば申請できます。

VPN機器は、いま最も狙われている侵入口の一つです。警察庁の2026年上半期の資料では、ランサムウェアの侵入経路の約5割がVPN機器でした。サポートが終了した古いVPN機器を使い続けていたり、更新プログラムを適用していなかったりすると、弱点を突かれて社内ネットワークに入り込まれます。

申請書では「VPNを入れたい」だけでなく、次のように課題と対策を結びつけて書くことが大切です。

一方で、テレワークの通信速度を上げたいなど、利便性の向上が主な目的と判断されると不採択になるおそれがあります。VPN機器の更新とあわせて、多要素認証（パスワードに加えてスマートフォンの認証アプリなどで本人確認する仕組み）を導入すると、課題と対策の筋道が伝わりやすくなります。

助成額はいくら？対象経費別のシミュレーション

助成額は「対象経費×2分の1」で計算し、500万円が上限です。対象経費が1,000万円を超えると、助成額は500万円で頭打ちになります。

グラフのとおり、対象経費200万円なら助成額100万円、400万円なら200万円です。1,000万円で上限の500万円に達し、1,400万円の場合も助成額は500万円、自己負担は900万円になります。助成額が10万円未満（対象経費20万円未満）になる場合は申請できません。

対象経費（税抜）	助成額	自己負担
20万円	10万円	10万円
200万円	100万円	100万円
400万円	200万円	200万円
1,000万円	500万円	500万円
1,400万円	500万円（上限）	900万円

予算200万〜500万円のセキュリティ対策はどう組む？

総予算200万〜500万円の対策であれば、助成額は100万〜250万円となり、限度額の範囲に収まります。たとえば社員30人程度の会社で、UTMの更新、全端末へのEDR導入、クラウドサービスへの多要素認証の追加を組み合わせると、ネットワークの出入口と端末の両方を守る構成になります。

導入する機器の数量やスペックが会社の規模に比べて過大だと、審査で「設備導入の妥当性」が低く評価されます。従業員数や拠点数、扱う情報の種類に見合った構成にすることが大切です。なお、最終的な助成額は完了検査後に確定し、交付決定額より少なくなることもあります。

申請できる事業者の要件は？

申請できるのは、都内で1年以上事業を営む中小企業者・中小企業団体・個人事業主・中小企業グループのうち、次の要件をすべて満たす事業者です。

NPO法人、一般社団法人・財団法人、学校法人、医療法人、社会福祉法人などは対象外です。

機器はどこに設置すればいい？

機器の設置場所は、原則として都内の事業所です。本店が都内にある場合は、茨城県・栃木県・群馬県・埼玉県・千葉県・神奈川県・山梨県の事業所への設置も認められます。設置場所は申請者が所有または賃借し、専用で使っている場所に限られ、自宅への設置はできません。サーバーOSは、検査員が立ち入れる首都圏（山梨県を含む）のデータセンターに置くことも可能です。

情報通信業は不採択になりやすい？

業態から見て「当然備えるべきセキュリティ対策」と判断された場合は不採択になります。募集要項では、情報通信業がとくに注意すべき業種として挙げられています。ITサービスを本業とする会社が申請する場合は、通常の業務で当然必要な対策を超える取組であることを説明できるよう準備してください。

審査で見られる5つのポイント

審査は、書類による財務審査のあと、外部の審査委員による総合審査で行われ、必要に応じて現地調査もあります。評価されるのは次の5項目です。

審査項目	見られる内容
申請資格	助成金の資格要件に合っているか
経営面	財務内容や企業概要から助成対象として妥当か
計画の妥当性	自社のセキュリティ上の課題を把握し、適切な対策を選んでいるか
設備導入の妥当性	数量・スペック・価格が市場価格と比べて妥当か
設備導入の効果	課題と対策に対して導入効果が見込めるか

採択に向けて大切なのは、「自社にどんな弱点があり、なぜこの機器・サービスで解決できるのか」を具体的に書くことです。二つ星の宣言で行う自社診断の結果を出発点にすると、課題と対策の筋道を説明しやすくなります。

令和8年度の申請スケジュールは？次の申請は第3回

令和8年度の募集は年3回で、第1回と第2回はすでに受付を終えています。次に申請できるのは第3回で、電子申請の受付は2027年1月8日（金）9時〜1月15日（金）17時の予定です。

回	電子申請受付期間	交付決定	助成対象期間
第1回	【受付終了】2026年5月13日（水）〜5月19日（火）	2026年7月下旬	2026年8月1日〜11月30日
第2回	【受付終了】2026年9月9日（水）〜9月15日（火）	2026年11月下旬	2026年12月1日〜2027年3月31日
第3回	2027年1月8日（金）〜1月15日（金）	2027年3月下旬	2027年4月1日〜7月31日

第3回の助成対象期間は2027年4月1日〜7月31日です。発注・契約・納品・支払のすべてをこの期間内に終える必要があり、2027年3月までに導入した機器は対象になりません。予算の状況によっては受付が早期に終了する場合もあります。第3回の募集案内は公社サイトで「今冬掲載予定」とされているため、公表後に日程と要件を必ず確認してください。

第3回に間に合わせるには？いまから始める準備の流れ

第3回に申請するなら、2026年10月〜11月のうちにSECURITY ACTION二つ星の宣言とGビズIDプライムの申請を済ませておくのが安全です。年末年始の休業をはさむと、見積書の取得や書類準備に使える日数は思った以上に少なくなります。

STEP1：SECURITY ACTION二つ星を宣言する

情報セキュリティ自社診断を行い、情報セキュリティ基本方針を作成して自社サイトで公開したうえで、IPAのWebサイトから二つ星を宣言します。宣言後に届く確認メールは申請書類として使うため、保存しておきましょう。

STEP2：GビズIDプライムを取得する

Jグランツでの電子申請には、GビズIDプライムのアカウントが必要です。公社は取得に2〜3週間かかるとして、早めの登録を呼びかけています。すでに他の補助金でGビズIDプライムを取得している場合は、そのアカウントを使えます。

STEP3：見積書を2社分そろえ、書類を準備する

見積書は、採用する見積書と、同じ製品の比較見積書の2社分が必要です。見積書には次の条件があります。

• 販売業者の名称・所在地・連絡先と、押印または記名があること
• 納品時期・納品場所と、有効期限（申請受付期間内を含むこと）が書かれていること
• 品目ごとに金額が分かれていること（「設置一式」などのまとめた記載は不可）
• 値引きは総額ではなく品目ごとに割り振ってあること

ほかに、直近の確定申告書と決算書、3か月以内に発行された登記簿謄本（個人事業主は開業届の写し）、納税証明書、製品カタログ、設置場所の図面、販売業者の会社案内なども必要です。

STEP4：Jグランツで電子申請する

受付期間内に、Jグランツから申請書類をアップロードして提出します。郵送・持参・メールでの申請は受け付けていません。1ファイル16MBまでで、白黒でも読めることが条件です。受付最終日の17時を過ぎると申請ボタンが押せなくなるため、余裕をもって提出しましょう。

STEP5：交付決定後に発注し、完了報告をする

交付決定の通知を受けてから、助成対象期間内に発注・納品・支払を行います。支払は銀行振込に限られ、現金・手形・小切手は認められません。事業が終わったら完了報告を提出し、公社の完了検査を受けたうえで助成額が確定し、請求後に支払われます。税抜50万円以上の機器には公社のシールを貼り、5年間保管する決まりもあります。

東京都のサイバーセキュリティ対策で使える支援・相談窓口

東京都には、この助成金のほかにも中小企業のサイバーセキュリティ対策を支える仕組みがあります。助成金と組み合わせると、無料で試してから本格導入する、といった段階的な進め方ができます。

制度・窓口	内容	問い合わせ先
サイバーセキュリティ対策促進助成金	機器・クラウドサービス導入費の1/2を最大500万円助成	東京都中小企業振興公社 設備支援課 03-3251-7889
中小企業サイバーセキュリティ基本対策事業（令和8年度）	UTM・EDRの最大3か月無料体験（各先着50社）、専門家による指導（最大4回・先着100社）。申込は2026年10月30日まで	東京都（運営：アデコ株式会社）
東京都中小企業サイバーセキュリティ支援ネットワーク（Tcyss）	東京都・警視庁・支援機関が連携した相談窓口	Tcyss事務局（東京都産業労働局商工部）03-5320-4773

基本対策事業でUTMやEDRを無料で試し、効果を確かめてから助成金で本格導入すれば、「導入効果」を申請書で具体的に説明しやすくなります。

国の補助金や「お助け隊サービス」との違い

国の制度では、デジタル化・AI導入補助金の「セキュリティ対策推進枠」で、IPAが認定した「サイバーセキュリティお助け隊サービス」の利用料が補助されます。都の助成金は機器の購入費まで対象になる一方、国の枠はサービス利用料が対象です。同じ経費で両方の助成を受けることはできないため、どちらを使うかは事前に決めておきましょう。国・自治体の制度の比較は、次の記事でまとめています。

サイバーセキュリティ対策促進助成金に関するよくある質問

サイバーセキュリティ対策促進助成金の次の申請はいつですか？

令和8年度の次の申請は第3回で、電子申請の受付は2027年1月8日（金）9時〜1月15日（金）17時の予定です。第1回（2026年5月）と第2回（2026年9月）は受付を終了しています。第3回の交付決定は2027年3月下旬、助成対象期間は2027年4月1日〜7月31日の予定で、募集案内は東京都中小企業振興公社のサイトに「今冬掲載予定」とされています。

サイバーセキュリティ対策促進助成金はいくらもらえますか？

対象経費の2分の1以内で、上限は500万円、申請下限額は10万円です。対象経費400万円なら助成額は200万円、1,000万円以上なら上限の500万円になります。標的型メール訓練だけで申請する場合の上限は50万円です。令和7年度の上限1,500万円から、令和8年度は500万円に変わっています。

SECURITY ACTIONの二つ星は申請前に取得しなければなりませんか？

はい。東京都のサイバーセキュリティ対策促進助成金では、申請日までにSECURITY ACTION二つ星を宣言し、Webサイト等で確認できる状態にしておく必要があります。二つ星の宣言には、情報セキュリティ自社診断の実施と、情報セキュリティ基本方針の作成・外部公開が必要です。基本方針づくりは、東京都の中小企業サイバーセキュリティ基本対策事業（無料、申込は2026年10月30日まで）で支援を受けられます。

VPNやリモートVPNの導入に助成金は使えますか？

はい。VPNは東京都サイバーセキュリティ対策促進助成金の「ネットワーク脅威対策製品」に含まれ、リモートVPNやSSL-VPN機器の導入・更新も対象になります。ただし、セキュリティ向上が主な目的であることが条件です。古いVPN機器の脆弱性や、パスワードだけで社外から接続できる状態など、自社の課題と対策の関係を申請書で具体的に説明することが大切です。

EDRやサーバーOSの更新は対象になりますか？

対象になります。令和8年度の東京都サイバーセキュリティ対策促進助成金では「エンドポイントセキュリティ製品（EDR、EPP等）」が対象機器の区分に加わりました。サーバーOSとインストール作業費（サーバー入替に伴うOS更新を含む）も対象で、OSは最新版であることが条件です。サーバー本体やHDD、UPSなどのハードウェアは対象外です。

パソコンやスマートフォンの購入は対象になりますか？

対象になりません。東京都サイバーセキュリティ対策促進助成金では、パソコン、スマートフォン、タブレット、複合機、外付けドライブなどの汎用品は対象外です。パソコンにインストールするEDRやウイルス対策ソフトのライセンス費用は、対象機器の区分に当てはまれば申請できます。

リースで導入する機器も対象になりますか？

対象になりません。東京都サイバーセキュリティ対策促進助成金では、リースや割賦購入による導入は対象外です。中古品、関係会社からの購入、交付決定前に発注・契約したもの、銀行振込以外で支払ったものも対象になりません。

クラウドサービスの利用料は対象になりますか？

はい。セキュリティ目的のクラウドサービスの初期費用と利用料は、助成対象期間内に支払う最長12か月分が対象です。期間をまたぐ契約は、中途解約や返金ができない契約に限られます。一般的なオンラインストレージなどセキュリティが主な目的でないサービスや、通信費は対象外です。

個人事業主でも申請できますか？

はい。東京都サイバーセキュリティ対策促進助成金は個人事業主も申請できます。都内で開業届を出し、1年以上実質的に事業を営んでいること、SECURITY ACTION二つ星を宣言していることなどが条件です。機器の設置場所は事業所に限られ、自宅への設置は認められていません。

第1回・第2回で不採択でも第3回に申請できますか？

東京都サイバーセキュリティ対策促進助成金で交付を受けられないのは「過去に交付を受けた事業者」です。第1回・第2回で交付を受けていなければ、第3回への申請は要件上妨げられていません。ただし同じ経費で重複して申請中の状態は認められないため、再申請の可否や扱いは第3回の募集要項と東京都中小企業振興公社（03-3251-7889）で確認してください。

GビズIDプライムはいつまでに取得すればいいですか？

東京都中小企業振興公社は、GビズIDプライムの取得に2〜3週間かかるとしています。第3回の受付が2027年1月8日から始まり、年末年始の休業期間もはさむため、2026年11月中には申請しておくと安心です。すでに他の補助金で取得したGビズIDプライムがあれば、そのまま使えます。

情報通信業でも申請できますか？

申請はできますが注意が必要です。東京都サイバーセキュリティ対策促進助成金では、業態から見て当然備えるべきセキュリティ対策と判断されると不採択になり、募集要項でも情報通信業が注意すべき業種として挙げられています。本業で当然必要な対策を超える取組であることを、具体的に説明できるよう準備してください。

見積書は何社分必要ですか？

東京都サイバーセキュリティ対策促進助成金では、採用する見積書と、同じ製品の比較見積書の2社分が必要です。見積書は品目ごとに金額を分け、値引きも品目ごとに割り振ります。有効期限が申請受付期間内を含み、納品時期・納品場所が記載されていることも条件です。

AIを使ったサイバー攻撃にもこの助成金の対策は有効ですか？

AIを使った攻撃でも、入り口になるのは古いVPN機器、更新されていないソフト、使い回しのパスワードといった基本的な弱点であることが多いため、基本対策の強化は有効です。東京都サイバーセキュリティ対策促進助成金の対象には、VPN・ファイアウォール、EDR、多要素認証などの本人認証製品、アクセスログ管理が含まれます。ただし、どの製品でも攻撃を完全に防げるわけではなく、更新作業や社員教育とあわせた運用が欠かせません。

まとめ

東京都のサイバーセキュリティ対策促進助成金（令和8年度）のポイントは次のとおりです。

• 助成率は対象経費の2分の1以内、上限は500万円（下限10万円、標的型メール訓練のみは上限50万円）
• 令和8年度はEDR・EPPが対象区分に追加され、VPN・UTM・本人認証・サーバーOSなど9区分が対象
• パソコン・スマートフォン、リース、中古品、交付決定前の発注は対象外
• 申請日までにSECURITY ACTION二つ星の宣言が必要
• 第1回・第2回は受付終了。次は第3回（2027年1月8日〜15日予定）で、導入は2027年4月1日〜7月31日
• Jグランツ申請にはGビズIDプライム（取得に2〜3週間）と2社分の見積書が必要

ランサムウェアの侵入経路の約5割をVPN機器が占めるいま、古い機器や認証の弱さを放置するリスクは年々大きくなっています。第3回までの準備期間は、二つ星の宣言、GビズIDの取得、見積書の取りそろえで意外に早く過ぎていきます。東京都の無料の基本対策事業（申込は2026年10月30日まで）も活用しながら、早めに準備を始めましょう。

公式ページを確認する

無料で相談する

▼▼▼日々配信中！無料メルマガ登録はこちら▼▼▼
メルマガ会員登録する