01CRAとは何か
Cyber Resilience Act（Regulation (EU) 2024/2847）は、以下に対して強制的なサイバーセキュリティ要件を定めるEU全体で初めての法律です： デジタル要素を含む製品；ハードウェアおよびソフトウェアを、その全ライフサイクルにわたって対象とします。これは、セキュリティの責任を利用者に委ねるのではなく、これらの製品を上市する組織に移すものです。 Art. 1
実際には、製品は次に定められた基本要件を満たす場合にのみEU市場で提供することができます： 附属書I 製造者がそれに付随する義務を果たした製品。適合性は適合性評価、EU適合宣言および CEマーキング。拘束力のある文言は次の文書で確認できます： 規則の全文.
お客様の製品がデジタル要素を有しEU市場に到達する場合、それは定められたサイバーセキュリティ基準に従って設計、構築および維持されなければならず、お客様はそれを実証できなければなりません。
これが自社に適用されるかどうか不明ですか？2分間の CRA Fast Check さらに読み進める前に適用範囲と想定されるクラスを確定します。
02誰に適用されるか
規則は、意図された使用または合理的に予見可能な使用が直接または間接的なデータ接続を含むデジタル要素を持つ製品をカバーします。この定義は意図的に広く設定されており、接続されたコンシューマーデバイス、業務用ハードウェア、モバイルおよびデスクトップアプリケーション、オペレーティングシステム、ライブラリおよびコンポーネントはすべて、特定の除外が適用されない限り対象となります。義務はサプライチェーン全体に分散されています： Art. 13–28
- 製造者；主要な義務を負います：セキュアな設計、技術文書、適合性評価、脆弱性対応。 製造者ガイド および ソフトウェア開発者ガイド 完全なパスを説明します。
- 輸入者；適合製品のみを市場に出荷することができ、そのために製造者の義務が果たされていることを確認しなければなりません。
- 流通業者；相当の注意を払い、CEマーキングと文書が存在することを確認しなければなりません。 輸入者・流通業者ガイド これらの義務をカバーします。
CRAは製造者がどこに設立されているかに関係なく適用されます。EUに販売するEU外の企業も対象であり、EUの経済事業者が関連する義務について責任を負うことを確保しなければなりません。 リモートデータ処理ソリューション 製品の機能を果たすために必要なものは、その製品の一部として扱われ、対象にも含まれます。 Art. 2 · 3(2)
医療機器、自動車、民間航空などの分野固有の規則ですでにカバーされている製品は除外されます。商業活動外で開発された非商業的なオープンソースソフトウェアは主に対象外であり、オープンソースのスチュワードには軽量で特化した義務のセットが適用されます。
03製品クラス
必要な適合性ルートは製品の重要度によって異なります。大多数の製品は自己評価を行いますが、附属書に記載されたより高リスクのカテゴリーはより厳格な手続きに直面します。分類は製品の 中核機能、製品にたまたま含まれるすべての機能ではありません。 Art. 6–7 · Annex III–IV
| クラス | 例 | 適合ルート |
|---|---|---|
| デフォルト | デジタル要素を含む製品の大半 | 自己評価 |
| 重要：I | パスワードマネージャー、ネットワーク管理、VPN | 規格または第三者 |
| 重要：II | オペレーティングシステム、ファイアウォール、マイクロプロセッサ | 第三者評価 |
| 重大 | スマートメーター、スマートカード、セキュアエレメント | 必須の認証 |
複数のカテゴリーが適用される可能性がある場合、より厳しいクラスが適用されます。製品をAnnex IIIおよびIVのカテゴリーと照合するには、次を使用してください： 製品クラス検索ツール.
04主要な義務
Annex Iの基本要件は2つのグループに分かれます。製品が持たなければならない特性と、製造者が実行しなければならないプロセスです。 コンプライアンスマトリクス 各条項の参照とともにそれらすべてを追跡します。 附属書I
- 設計段階から安全、既定で安全；安全な構成と最小化された攻撃対象領域を備えて提供されます。
- 既知の悪用可能な脆弱性なし；既知の悪用可能な欠陥のない状態で出荷されます。
- 脆弱性対応；問題を特定し、文書化し、是正し、開示するプロセス。
- セキュリティ更新；定義された サポート期間；製品の予定使用期間がより短い場合を除き、一般的に少なくとも5年間と予想されます。
- ソフトウェア部品表； SBOM 一般的に使用される機械可読フォーマットで製品のコンポーネントをカバーする。
- 報告；積極的に悪用されている脆弱性および重大なインシデントをENISAおよび関連CSIRTに通知し、24時間以内に早期警告を行ってください（以下参照）。
05適合性とCEマーキング
適合性の実証は固定された手順に従い、そのルートは製品クラスによって決まります。 Art. 28 · 32 · Annex V · VII
- 技術文書を作成する；Annex VIIに記載された証拠ファイルで、製品が市場に出回った後10年間保管されます。
- 適合性評価を実施する；デフォルト製品は自己評価が可能（Module A）；重要製品は整合規格または通知機関を使用；重大製品は認証が必要です。
- EU適合宣言を作成する；Annex Vに従って構成された署名付き声明書。 適合宣言書生成ツール 自動生成します。
- CEマーキングを貼付する；上記が完了したことを示す可視的なマーク。
ステップバイステップの CEマーキングガイド 各ルートを詳細に説明し、また 費用計算ツール 自社クラスへの適合達成に関する参考数値を提供します。
06報告義務
開始： 2026年9月11日、製造者は報告しなければなりません 積極的に悪用されている脆弱性 および 重大なインシデント 製品のセキュリティに影響するものを、Art. 16に基づいて設立された単一報告プラットフォームを通じてENISAおよび関連する各国CSIRTに報告します。これはCRAの主要な義務の中で最も早く適用されるものです。 Art. 14 · 16
- 24時間早期警告。積極的に悪用されている脆弱性または重大なインシデントを認識した時点から。
- 72時間講じられた是正または軽減措置を含む詳細な通知。
- 14日脆弱性が修正された後の最終報告、またはインシデントの場合は対応が完了した後の最終報告。
実際にこれらの期限を守るには、コンポーネントを把握し、継続的に監視することが必要です。 SBOMと脆弱性アナライザー 部品表をNVDおよびEU脆弱性データベースと照合して追跡し、24時間以内に対応できるようにします。報告対象となるものの詳細な説明と各報告の受取先については、次を参照してください： インシデント・脆弱性報告ガイド.
07タイムラインおよび罰則
本法は既に発効しています。その義務は以降数年間にわたって段階的に導入されます。 Art. 71
- 2024年12月発効（2024年12月10日）。
- 2026年9月報告義務の適用開始（2026年9月11日）。
- 2026主要な整合規格および製品分類の期日（2026年8月30日 / 2026年10月30日）。
- 2027年12月完全適用；大部分の規定が適用されます（2027年12月11日）。
基本要件または製造者の義務への不適合は、€15 million / 2.5%（世界全体の年間総売上高）のいずれか高い方を上限とする制裁金を招く可能性があります。その他の違反および不正確な情報の提供には、より低い上限が適用されます。
08よくある質問
サイバーレジリエンス法は私の製品に適用されますか？
製品にソフトウェアまたはファームウェアが含まれており、直接または間接的なデータ接続を持つEU市場で提供される場合、対象となる可能性が非常に高いです。分野固有の製品（医療機器、自動車、航空）および非商業的なオープンソースが主な例外です。 Fast Check 2分で確認できます。
CRAは実際にいつ適用されますか？
2024年12月10日に発効しました。報告義務は2026年9月11日から適用され、大部分の義務は2027年12月11日から適用されます。
デフォルト、重要、重大の製品の違いは何ですか？
デフォルト製品は自己評価を行います。重要製品（Annex III、クラスIまたはII）は整合規格または通知機関が必要です。重大製品（Annex IV）は強制的な認証が必要です。分類は製品の中核機能に従い、複数が該当する場合はより厳しいクラスが適用されます。
ソフトウェア部品表（SBOM）は必要ですか？
はい。製造者は、一般的に使用される機械可読フォーマットでSBOMを作成することを含め、製品のコンポーネントを特定し文書化しなければなりません。 附属書I · II(1)
不適合に対する罰則は何ですか？
基本要件または製造者の義務の違反に対して、€15 million / 2.5%（世界全体の年間総売上高）のいずれか高い方を上限とします。
各条項の参照付きのさらに多くの回答は次のページにあります： よくある質問の全ページ.
09次に何をすべきか
まず法律が自社製品に適用されるかどうかを確認し、次に自身の役割向けのガイダンスに従い、要件を完了まで追跡してください。