CRAに関する欧州委員会ガイダンス

01これは何か

Art. 26 は、経済事業者がCRAを適用する際の助けとなるガイダンスを委員会が公表することを義務付けており、特に中小企業のコンプライアンスを容易にすることに重点を置いている。 2026年7月27日 委員会は当該ガイダンスの内容を承認した(文書番号C(2026) 5252)。全体で約80ページに及び、製造者から最も多く寄せられる質問について順を追って解説している。

ガイダンスは 拘束力を持たない であり、法律そのものを変更するものではない。CRAの権威ある解釈を示すことができるのは欧州司法裁判所のみである。しかし、市場監視当局や通知機関は、一貫した整合的な解釈を得るためにこれを参照しており、本規則の自然な補完資料となっている。

02何が製品に該当するか

ガイダンスの中で最も大きな部分を占めるのは、 適用範囲,最も質問が多い分野である。デジタル要素を有する製品とは、直接的または間接的なデータ接続を伴って使用される、ソフトウェアまたはハードウェア製品(およびそのリモートデータ処理)をいう。 Art. 3(1)

• ソフトウェアがどこで実行されるかが判断基準となる;ユーザーのデバイス上で実行されるソフトウェア(ダウンロードされたアプリ、ブラウザ拡張機能、ローカルにインストールされたクライアントなど)は、デジタル要素を有する製品に該当する。ブラウザを通じて単にリモートでアクセスされるだけのソフトウェアは、それだけの理由では該当しない。
• ウェブアプリ及びウェブサイト;ブラウザを通じてのみ利用されるウェブアプリケーションや、単に情報を提示するだけのウェブサイトは、一般的にはデジタル要素を有する製品には該当しない。これらが対象範囲に含まれるのは、製品の機能を支えるリモートデータ処理に該当する場合に限られる。
• ソースコード;CRAにおけるソフトウェアの定義は機械語コードとソースコードの両方を対象とするが、単に公開リポジトリでオープンソースコードを共有することは、一般的には「市場への上市」には該当しない。 Art. 3(4)

自社の製品がどこに位置するか判断がつかない場合は、 Fast Check および 平易な言葉による解説 が、実務における対象範囲を順を追って説明している。

03オープンソースソフトウェア

ガイダンスは、オープンソース向けに調整された簡易な制度について詳細に定めている。商業活動の枠外で開発される非商業的なオープンソースソフトウェアは、その大部分が対象範囲外となる。判断の分かれ目となるのは 商業活動 そして、そのソフトウェアが市場に上市されているかどうかである。

• FOSSが「市場に上市される」場合;ガイダンスでは、価格の請求、関連サービスの収益化や個人データの要求、有償サポート、寄付、資金調達の仕組み、非営利組織の構造、そして他の製造者によるFOSSの組み込みといった各ケースについて順を追って検討している。
• オープンソースソフトウェアの管理者;ソフトウェアのセキュリティと継続的な存続可能性を支えることに重点を置いた、明確で比例的な一連の義務である。
• 重要なFOSS;重要な製品(クラスIまたはクラスII)であっても、フリーかつオープンソースのソフトウェアとして市場に上市される場合は、より簡易なデフォルトカテゴリーの適合性評価手続きに従うことができる。 Art. 32(5)

04実質的な変更

変更が 実質的な変更 が、新たな適合性評価が必要かどうかを決定する。Recital 39はこれを次のように整理している。製品は、変更が製造者のリスクアセスメントで既に考慮されていなかった形でそのサイバーセキュリティリスクの水準を変化させる場合に、実質的に変更されたものとされる。 Art. 3(30)

• セキュリティアップデートは一般的には実質的な変更に該当しない;その目的はリスクを低減することにあるため、製品の意図された目的を変更せず、新たなリスクも生じさせないセキュリティ修正は、それ自体では実質的な変更に該当しない。
• 問題となるのは規模ではなくリスクである;判断基準となるのは変更の規模ではなく、サイバーセキュリティリスクプロファイルへの影響(新たな脅威ベクトル、新たな攻撃シナリオ、または可能性もしくは影響度の変化)である。
• その帰結;実質的に変更された製品は、新たに市場に上市されたものとみなされる。オリジナルの製造者以外の者が変更を行った場合、その者が変更部分について製造者としての義務を負う。 Art. 21 · 22

次の CEマーキングガイド は、新たな市場への上市によって発生する適合性評価を対象とする。

05サポート期間

サポート期間とは、脆弱性への対応が求められる期間をいう。これは製品が 合理的に使用されると見込まれる. Art. 13(8)

• 5年は既定値であり、下限ではない; 製品の使用期間が5年未満と見込まれる場合、期間はそれより短くすることができ、より長期間の使用が合理的に見込まれる製品については、より長いサポート期間を設けるべきです。
• ユーザーに伝える;購入時点で終了日(少なくとも月と年)を明示し、技術的に可能な場合はサポート終了時にユーザーへ通知すること。 Art. 13(19)
• ソフトウェアに関する柔軟性;一定の条件の下で、製造者は最新版においてのみ脆弱性を修正することができる。ただし、ユーザーが無償かつ追加費用なしにアップグレードできる場合に限る。 Art. 13(10)
• 実質的な変更の後は;同じ基準に照らして期間を再評価することを意味し、自動的にリセットまたは延長されるわけではない。

自社の計画を立てるには、 サポート期間及びEOLプランナー.

06重要製品及び重大製品

分類が適合性評価の方式を決定する。製品は 重要 if its 中核機能 Annex IIIのカテゴリー(クラスIまたはクラスII)に合致すること、および 重大 Annex IVに合致する場合であり、それ以外は自己評価が可能なデフォルト製品となる。 Art. 7 · 8 · 32

• 判断基準は中核機能である;製品が意図された目的を達成するために不可欠な主要機能を指す。付随的な機能はクラスに影響を与えず、重要または重大なコンポーネントを組み込んでいるというだけでは、製品全体が重要または重大となるわけではない。オペレーティングシステムを組み込んだスマートフォンは、それ自体が「オペレーティングシステム」となるわけではない。
• 単一の中核機能;適合性評価の方式を選択する目的においては、製品は技術文書に示された単一の中核機能を有するものとして扱われる。
• カテゴリーの定義;重要カテゴリーおよび重大カテゴリーの技術的な説明は、Commission Implementing Regulation (EU) 2025/2392に定められている。

自社の製品を各カテゴリーと照合するには、 製品クラス検索ツール.

07リモートデータ処理

リモートデータ処理ソリューションがデジタル要素を有する製品の一部となるのは、それが 製品がその機能を果たすために必要である. Art. 3(2) ガイダンスは実務的な判断基準を示している。処理が「遠隔で」行われているか、それが行われない場合に製品がその機能の一つを果たせなくなるか、そしてそのソフトウェアが製造者によって、または製造者の責任の下で設計・開発されたものであるか、である。

モバイルバンキングアプリケーション、スマートサーモスタット、電子書籍リーダー、産業用ロボット、携帯電話網といった具体的な事例を用いて判断基準を示しており、製品と単なるサービスとの境界がどこにあるかを明らかにしている。

08報告及び脆弱性

ガイダンスは継続的な義務についても明確化している。 Article 14 reporting 積極的に悪用されている脆弱性及び重大なインシデントの、そしてAnnex Iの vulnerability-handling 要件、すなわち上流への報告とセキュリティ修正の共有、既知の悪用可能な脆弱性への対処、そして効果的かつ定期的なセキュリティテスト及びレビューの実施である。 Art. 14 · Annex I

09その他の公式情報源

ガイダンスは、併せて読む価値のある他の2つの公式な参照資料と並んで位置づけられる。

整合規格。 必須要件は以下にあります。 附属書I は達成すべき結果の形で書かれており、関連する整合規格がOfficial Journalに掲載されれば、それに従うことで適合性の推定が得られる。委員会の標準化要請 M/606 は2025年にCEN、CENELEC及びETSIによって受理され、約41の規格を対象とする。中核となる2つの水平規格(セキュアな開発及び脆弱性対応)は30 August 2026までに、垂直的な製品規格は30 October 2026までに、残りの水平規格は全面適用のおよそ1年前にあたる30 October 2027までに整備される見込みである。