「元請から情報セキュリティの認証取得を求められた」「入札参加資格や取引先審査でISMSの有無を問われた」——こうした背景から、ISO27001を建設業で取得するにはどれくらいの期間がかかるのかを調べている方が増えています。結論から言えば、キックオフから審査登録まではおおむね6〜12か月が一つの目安です。ただしこれは全社一律の数字ではなく、会社規模、適用範囲（現場を含めるか本社のみか）、既存のISO9001運用の有無、社内担当者の稼働時間によって大きく変わります。
本記事では、建設会社がISO27001（ISMS）を取得する際の標準的なスケジュール、期間を左右する要因、現場と本社の二層構造という建設業特有の難所、費用の目安、そして取得後の維持運用までを、審査対応の実務目線で整理します。
ISO27001の取得期間は「6〜12か月」が目安、その内訳
ISO27001の取得プロセスは、大きく「構築フェーズ」「運用フェーズ」「審査フェーズ」の3段階に分かれます。このうち運用フェーズをどれだけ圧縮できるかが期間を決める最大のポイントです。審査機関は「規程を作っただけ」の状態では登録を認めず、実際に運用した記録（ログ、教育実施記録、内部監査記録、マネジメントレビュー議事録など）を求めるためです。
| フェーズ | 主な作業 | 期間の目安 |
|---|---|---|
| ①キックオフ・適用範囲決定 | 推進体制の設置、適用範囲（サイト・部門）の確定、現状ギャップ分析 | 約1か月 |
| ②リスクアセスメント | 情報資産の洗い出し、リスク評価基準の設定、リスク対応計画・附属書A適用宣言書の作成 | 約1〜2か月 |
| ③文書・規程類の整備 | 基本方針、情報セキュリティ規程、機器管理・委託先管理・アクセス制御などの手順書 | 約1〜2か月 |
| ④全社展開・教育 | 本社・支店・現場事務所への周知、eラーニングや朝礼での教育、記録の取得開始 | 約1か月 |
| ⑤運用期間 | 規程どおりの運用と証拠記録の蓄積（最低でも2〜3か月は欲しい） | 約2〜3か月 |
| ⑥内部監査・マネジメントレビュー | 内部監査員の養成、全部門監査、是正処置、経営層によるレビュー | 約1か月 |
| ⑦審査機関手配・第一段階審査 | 見積・契約（審査機関への申込は早めに）、文書審査 | 約1か月 |
| ⑧第二段階審査・是正・登録 | 現地審査、不適合の是正、判定・登録証発行 | 約1〜2か月 |
単純合計すると8〜13か月程度になりますが、②〜④は並行して進められるため、集中的に取り組めば6〜8か月での登録も現実的です。逆に、担当者が兼任で月数時間しか動けない場合は、12か月を超えて1年半近くかかるケースも珍しくありません。
建設業で期間が延びやすい5つの要因
1. 現場事務所を適用範囲に含めるかどうか
建設業のISMSで最初に悩むのが適用範囲です。本社・支店の管理部門だけに限定すれば構築は速く進みますが、元請や発注者が求めているのは「工事現場での情報管理」であることが多い点に注意が必要です。施工図データ、地下埋設物や構造の情報、近隣住民の連絡先、作業員名簿（個人情報）などは、まさに現場で扱われます。範囲を絞りすぎると「うちの現場は対象外でした」となり、取引要件を満たせない本末転倒になりかねません。現場を含める場合は、開設から閉所までの情報の流れをルール化する分、1〜2か月余計に見ておくのが妥当です。
2. 支店・営業所が多く、拠点間で運用がバラバラ
拠点ごとにファイルサーバーの管理者が違う、支店独自のクラウドストレージを使っている、といった状態だと、標準化に時間がかかります。まずは「どの情報が、どこに、誰の権限で保管されているか」の実態調査から始めることになり、ここだけで1か月かかることもあります。
3. 協力会社・外注先の管理体制が未整備
ISO27001では委託先の管理（供給者関係）が明確に求められます。建設業は重層下請構造であり、施工図の作成を外注、積算を外注、CADオペレーターは常駐派遣、といったケースが一般的です。協力会社との秘密保持契約（NDA）の締結状況を洗い出し、未締結先と巻き直す作業は、相手のある話なので想定以上に時間を要します。着手は早いほど良い項目です。
4. 現場のIT環境が把握できていない
現場用のノートPC、タブレット、Wi-Fiルーター、工事写真を撮るスマートフォン、black boxになりがちな個人所有端末の業務利用——これらの棚卸しができていない会社は非常に多いです。資産台帳の整備と、紛失時の対応手順（遠隔ロック、報告ルート）の設計に時間を見込んでください。
5. 審査機関のスケジュールが取れない
見落とされがちですが、審査機関の審査員の空き状況によっては、申込から現地審査まで2〜3か月待つこともあります。年度末や決算期は特に混み合う傾向があります。構築が8割方固まった時点で申込を進めるのが定石です。
ISO9001をすでに取得している建設会社は期間を短縮できる
多くの建設会社はISO9001を先に取得しています。この場合、ISO27001の構築期間は体感で2〜3割ほど短縮できることが少なくありません。理由は、両規格が同じマネジメントシステムの共通構造（いわゆるHLS）を採用しており、以下の仕組みを流用できるからです。
- 文書管理・記録管理の仕組み：既存の文書管理規程に情報セキュリティ文書を組み込む
- 内部監査：ISO9001の内部監査員に追加教育を行い、同一日程で同時監査を実施
- マネジメントレビュー：品質と情報セキュリティを一つの会議体で審議
- 是正処置のフロー：不適合報告書の様式を共通化
- 協力会社評価：既存の協力会社評価表に情報管理の項目を追加
さらに、施工計画書・品質記録・工事写真といった既存の帳票類は、そのままISMSにおける「情報資産」として位置づけられます。ゼロから資産台帳を作るのではなく、品質マネジメントで管理している記録類のリストを起点に拡張するのが効率的です。審査機関を9001と同じにして統合審査（複合審査）を選べば、審査工数と費用の抑制にもつながります。
費用の目安と、期間短縮のために先に手をつけるべきこと
費用感（あくまで目安）
金額は適用範囲・人数・拠点数・審査機関によって大きく変動するため、以下は一般的なレンジとしての目安としてご覧ください。正確な数字は必ず複数の審査機関・支援会社から見積を取得してください。
| 項目 | 内容 | 費用の目安 |
|---|---|---|
| 審査費用（初回） | 第一段階＋第二段階審査、登録料 | 数十万円〜百数十万円程度 |
| 維持審査（年次） | サーベイランス審査 | 初回審査の半分前後が一般的 |
| 更新審査（3年ごと） | 再認証審査 | 初回に準じる水準 |
| コンサルティング | 構築支援、文書作成支援、内部監査同行 | 数十万円〜二百万円程度（期間・範囲による） |
| 社内工数 | 事務局の人件費、教育時間 | 事務局1名が月20〜40時間程度稼働するイメージ |
初月のうちに着手すべき3つ
- 適用範囲の決定：元請や発注者から要求されている場合は、先方が求める範囲（本社のみか、工事施工まで含むか）を確認してから決める。後から範囲を広げると再審査が必要になり、期間もコストも余分にかかります。
- 協力会社とのNDA締結状況の棚卸し：相手のあるタスクは最も遅延しやすいため、最優先で着手。
- 審査機関への概算見積依頼：スケジュール確保と予算取りを同時に進める。
「入札で有利になる」は正しく理解する
ISO27001を検討する動機として「入札で加点されるから」という話を耳にしますが、ここは慎重な理解が必要です。経営事項審査（経審）のW評点では、ISO9001およびISO14001の登録が評価項目として設けられていますが、ISO27001はこれらと同列の加点項目としては位置づけられていません（審査基準は改正されることがあるため、必ず最新の公式資料でご確認ください）。
一方で、自治体や発注機関が独自に設定する入札参加資格の等級格付けや総合評価方式の加点項目において、情報セキュリティに関する認証を評価対象としている例はあります。また、近年はゼネコンや大手発注者が取引先選定の条件としてISMSやプライバシーマークを求めるケース、あるいは調達アンケートで認証の有無を問うケースが増えています。
つまり、ISO27001の建設業における実質的な価値は「経審の点数」よりも、元請・発注者からの取引要件クリアと、インシデント発生時の企業存続リスクの低減にあると考えるのが実態に近いでしょう。図面データの流出や、公共工事に関わる情報の漏えいは、指名停止や損害賠償に直結しかねません。取得目的をここに置くと、社内の納得感も得やすくなります。
取得はゴールではない——運用にかかる期間と手間
登録証を受け取った後も、サイクルは続きます。1年目・2年目にサーベイランス審査、3年目に更新審査という流れが一般的で、毎年、内部監査とマネジメントレビューを回す必要があります。建設業で運用が形骸化しやすいポイントは次のとおりです。
- 現場が入れ替わる：新規現場の開設時に、情報管理ルールの周知が抜ける。現場開設チェックリストにISMS項目を組み込むのが有効です。
- 工事完了後の記録の扱い：竣工図書や工事写真データを、誰がどこに、いつまで保管するかが曖昧。保存年限と廃棄手順の明確化が必要です。
- 現場代理人の負担感：書類が増えると反発が起きます。既存の施工計画書や安全書類に統合し、新規帳票を極力増やさない設計が鍵です。
- 担当者の属人化：事務局が1人だと、その人の異動で運用が止まります。副担当を必ず置いてください。
年間の維持工数は、事務局でおおむね月10〜20時間程度を見込むのが現実的な目安です。これを「余分な負担」と捉えるか、「情報事故を防ぐ保険」と捉えるかで、運用の質は大きく変わります。
まとめ
ISO27001の建設業における取得期間は、準備開始から登録まで6〜12か月が目安です。期間を左右するのは、適用範囲（現場を含むか）、拠点数、協力会社との契約整備状況、社内担当者の稼働時間、そして審査機関のスケジュールです。ISO9001をすでに運用している会社であれば、内部監査・文書管理・協力会社評価の仕組みを流用することで、相応の短縮が見込めます。
一方で、取得すれば自動的に受注が増えるという性質のものではありません。経審の直接的な加点対象ではない点、維持に年間の工数と費用がかかる点を含めて、冷静に投資判断することをおすすめします。
次のアクションとして、まずは以下の3点を社内で整理してみてください。
- 誰から、いつまでに、どの範囲での認証を求められているのかを文書で確認する
- 目標登録時期から逆算し、着手すべき月を決める（審査機関の空き待ちを2〜3か月見込む）
- 事務局の担当者と副担当を指名し、月あたりの確保可能時間を明確にする
この3点が固まれば、審査機関や支援会社から精度の高い見積とスケジュール案を得られます。逆に、ここが曖昧なまま見積だけを集めても、比較検討は進みません。まずは自社の「求められている範囲」の確定から着手しましょう。
