EUサイバーレジリエンス法
EU市場に提供するソフトウェアやIoT製品に、設計段階からのセキュリティ対策を求める新しいルール。
日本企業が押さえるべきポイントを解説します。
EU CRAとは？
EU CRA（Cyber Resilience Act：サイバーレジリエンス法）は、 デジタル要素を持つ製品に対して、 サイバーセキュリティ要件を定めるEU規則です。
正式には規則（EU）2024/2847として制定され、 EU市場で提供されるソフトウェアやハードウェアを対象に、 製品の設計・開発から市場投入後の保守まで、 ライフサイクル全体を通じたセキュリティの確保を 求めています。
CRAの目的は、デジタル製品に共通する サイバーセキュリティ水準を高め、 製品の脆弱性に起因するリスクを低減するとともに、 利用者が安全性を考慮して製品を選択できる環境を 整えることです。
EU域外に拠点を置く日本企業であっても、 EU市場に対象製品を提供する場合には、 CRAへの対応が必要になる可能性があります。
CRAの基本的な考え方
CRAでは、製品を市場に投入する時点での セキュリティ確保だけでなく、 販売後も継続して脆弱性に対応することが求められます。
製品の安全性を設計・開発段階から確保する 「セキュリティ・バイ・デザイン」と、 利用開始時から安全な設定を提供する 「セキュリティ・バイ・デフォルト」が 重要な考え方となっています。
CRAの対象となる製品
CRAは、原則として、EU市場で商業活動の一環として 提供される「デジタル要素を持つ製品」を対象とします。 ネットワークや他の機器との接続を想定した ハードウェア、ソフトウェアなどが含まれます。
完成品だけでなく、個別に市場へ提供される ソフトウェアやハードウェアのコンポーネントも 対象となる場合があります。
ハードウェア製品
IoT機器、ネットワーク機器、 スマートデバイス、産業用制御機器など、 デジタル機能や接続機能を備えた製品が 対象となる可能性があります。
ソフトウェア製品
業務用ソフトウェア、 一般向けアプリケーション、 オペレーティングシステムなども、 提供形態や用途に応じて対象となります。
デジタルコンポーネント
他の製品に組み込まれるソフトウェアや ハードウェア部品についても、 独立してEU市場に提供される場合には 対象となる可能性があります。
対象となる事業者
CRAでは、主に製造業者、輸入業者、 販売業者などの経済事業者に義務が課されます。 事業者の立場によって、 適用される義務や責任の範囲が異なります。
適用範囲の確認が重要です
CRAの適用範囲は、製品の機能、用途、 提供形態、他のEU法令との関係などによって異なります。
医療機器など、一定の条件の下で 適用対象から除外される製品もあります。 そのため、個々の製品について CRAの適用対象となるかを確認することが重要です。
CRAで求められる主な対応
CRAでは、製品の設計・開発段階から市場投入後の保守まで、 製造業者を中心に幅広い義務が定められています。
対応にあたっては、個々のセキュリティ対策に加え、 リスク評価、技術文書の整備、 適合性評価、脆弱性管理などを 組織的に実施できる体制が必要になります。
セキュリティ設計・開発
- 製品のサイバーセキュリティリスク評価
- セキュリティを考慮した設計・開発
- 安全な初期設定の提供
- 既知の悪用可能な脆弱性への対応
- 必要な技術文書の作成・管理
脆弱性管理とアップデート
- 脆弱性の特定・評価・修正
- ソフトウェア部品表（SBOM）の整備
- セキュリティアップデートの提供
- 脆弱性報告の受付体制
- サポート期間の設定と利用者への情報提供
サポート期間は原則として少なくとも5年間とされますが、 製品の想定使用期間などに応じて 規則上の条件や例外を確認する必要があります。
適合性評価とCEマーキング
- 製品分類に応じた適合性評価
- 必要に応じた第三者評価
- EU適合宣言書の作成
- CEマーキングの貼付
- 市場監視当局に対応する文書管理
脆弱性・重大インシデントの報告
悪用が確認された脆弱性や、 製品のセキュリティに影響する重大インシデントについて、 製造業者には報告義務があります。
- 認識後24時間以内の早期警告
- 認識後72時間以内の通知
- 所定の期限内の最終報告
報告は、ENISAが運用する CRA単一報告プラットフォームを通じて行います。
CRAの適用スケジュール
CRAは2024年12月10日に発効し、 各規定が段階的に適用されます。 特に、2026年9月11日からの報告義務と、 2027年12月11日からの主要規定の適用開始が 重要な節目となります。
CRAの発効
サイバーレジリエンス法 （規則（EU）2024/2847）が発効しました。
適合性評価機関に関する規定の適用
適合性評価機関の通知に関する規定 （第IV章）の適用が開始されました。
脆弱性・重大インシデントの報告義務開始
悪用が確認された脆弱性および 重大インシデントについて、 製造業者による報告義務が適用されています。
CRAの主要規定の適用開始
セキュリティ要件、適合性評価、 CEマーキングなど、 CRAの主要な義務の適用が開始されます。
2027年を待たずに準備が必要です
2026年9月11日からの報告義務は、 2027年12月11日より前に EU市場へ投入された対象製品にも適用されます。
また、2027年12月11日以降に 対象製品をEU市場へ投入するためには、 事前に必要な適合性評価や技術文書の整備を 進めておくことが重要です。
CRA対応の進め方
CRAへの対応には、製品の適用対象性の確認から、 セキュリティ要件への対応、適合性評価、 市場投入後の脆弱性管理まで、 複数の取り組みが必要になります。
自社製品に適用される要件を把握し、 現在の対応状況を確認した上で、 必要な対策を段階的に進めることが重要です。
対象製品と適用要件の確認
自社製品がCRAの対象となるかを確認し、 製品分類や事業者としての立場に応じて、 適用されるセキュリティ要件や義務を 明確にします。
現状の評価と課題の特定
既存の開発プロセス、 セキュリティ対策、脆弱性管理体制、 技術文書などを確認し、 CRAの要求事項と比較して 不足している対応を整理します。
セキュリティ対策と管理体制の整備
必要なセキュリティ対策を実施し、 技術文書やSBOMの整備、 脆弱性対応、アップデート提供、 インシデント報告などの 管理体制を構築します。
適合性評価と継続的な対応
製品分類に応じた適合性評価を実施し、 必要なEU適合宣言書の作成や CEマーキングへの対応を進めます。 市場投入後も継続して 脆弱性管理やセキュリティアップデートを行います。
よくある質問
日本企業にもCRAは適用されますか？
はい。EU域外に拠点を置く企業であっても、 EU市場にCRAの対象となる製品を提供する場合には、 規則への対応が必要となる可能性があります。 適用される義務は、製品の提供形態や 事業者の立場によって異なります。
ソフトウェアもCRAの対象になりますか？
はい。CRAはハードウェアだけでなく、 ソフトウェア製品も対象としています。 ただし、具体的な適用の有無は、 製品の機能、用途、提供形態などによって 判断されます。
CRAへの対応はいつまでに必要ですか？
CRAの主要規定は2027年12月11日から適用されます。 一方、製造業者による悪用が確認された脆弱性や 重大インシデントの報告義務は、 2026年9月11日からすでに適用されています。
CRA対応では何から始めるべきですか？
まずは自社製品がCRAの対象となるかを確認し、 製品分類や適用される義務を把握することが重要です。 その後、既存の開発プロセスや セキュリティ対策の状況を確認し、 不足している対応を整理します。
CRAではCEマーキングが必要ですか？
CRAの対象製品については、 適用される要求事項への適合性を確認し、 必要な適合性評価を実施した上で、 CEマーキングを付すことが求められます。 適合性評価の方法は製品分類などによって異なり、 第三者評価が必要となる場合もあります。
CRAではSBOMの作成が必要ですか？
CRAでは、製造業者に対して、 少なくとも製品の最上位の依存関係を含む ソフトウェア部品表（SBOM）を 作成・維持することが求められます。
ただし、SBOM全体を一般公開することが 一律に義務付けられているわけではありません。 技術文書の管理や当局への情報提供など、 規則に定められた要件に従う必要があります。
CRAの日本語条文
CRAの具体的な要求事項や義務については、 規則の各条文を確認することが重要です。
Enobyteでは、サイバーレジリエンス法 （規則（EU）2024/2847）の 日本語条文を公開しています。
CRA対応についてのご相談
CRAへの対応では、 自社製品の適用対象性の確認から、 現状のセキュリティ管理体制の評価、 必要な改善措置の整理まで、 段階的に準備を進めることが重要です。
Enobyteでは、EUのサイバーセキュリティ規制に関する ご相談を受け付けています。 CRAの適用要件や対応の進め方について 確認したい点がある場合は、 お問い合わせください。
本ページはCRAの一般的な概要を説明するものです。 個別の製品に対する正式な適用判断は、 製品の機能や提供形態、 具体的なビジネスモデルに基づいて 行う必要があります。