よくある質問

分類は、製品が含むあらゆる機能ではなく、製品の中核機能に従います。中核機能が附属書IIIに名指しされたカテゴリーに合致する場合、その製品は「重要」（クラスIまたはII）です。附属書IVに合致する場合は「重大」、それ以外は「デフォルト」です。識別管理やVPNのような能力は、一機能としてのみ含まれている場合、それが中核目的でない限り、製品を「重要」にはしません。複数のカテゴリーが該当し得る場合は、より厳格なクラスが適用されます。 Art. 7

商業活動の外で開発された非商業的なオープンソースソフトウェアは概ね適用範囲外です。オープンソースソフトウェアスチュワードには、より軽い、調整された一連の義務があります。商業活動の過程で供給されるオープンソースの構成要素は、適用範囲に含まれることがあります。

単体のサービスは、一般にCRAの適用外です。ただし、製品がその機能を果たすために必要なリモートデータ処理ソリューションは、当該製品の一部として扱われ、適用範囲に含まれます。CRAの適用外であることは、規制がないことと同じではありません。ウェブサービスやクラウドサービスは、他のEU規則、特に対象分野の中規模および大規模の事業者に適用されるNIS2（Directive (EU) 2022/2555）や、個人データに適用されるGDPRの対象となる場合があります。 Art. 3(2)

はい。CRAは、製造者がどこに設立されているかにかかわらず、EU市場に上市される製品に適用されます。EU域外の製造者は、EU域内に設立された経済事業者が関連する義務について責任を負うことを確保しなければなりません。

それらは附属書Iの2つの部分に分かれます。すなわち、製品が備えるべきセキュリティ特性（既定で安全、機密性、完全性、可用性、最小化された攻撃対象領域、セキュリティ更新）と、製造者が運用すべき脆弱性対応プロセス（SBOM、是正、調整された開示）です。 附属書I

はい。製造者は、一般的に利用され機械可読な形式でソフトウェア部品表を作成することを含め、製品に含まれる構成要素を特定し文書化しなければなりません。 附属書I · II(1)

サポート期間とは、製造者がセキュリティ更新を提供しなければならない期間です。それは製品が合理的に使用されると想定される期間を反映しなければなりません。既定では5年、想定される使用期間がより短い場合はより短く、より長い場合はより長くなります。 Art. 13(8)

実際に悪用されている脆弱性および製品のセキュリティに影響を及ぼす重大なインシデントは、ENISAおよび関連するCSIRTに通知されなければなりません。早期警告は認識から24時間以内に行い、続いてより詳細な通知および最終報告を行います。 Art. 14

本法は2024年12月10日に発効しました。報告義務は2026年9月（21か月後）から適用され、義務の大部分は2027年12月（36か月後）から適用されます。 Art. 71

必須要件または製造者の義務への違反は、1,500万€または全世界年間総売上高の2.5％のいずれか高い方を上限とする制裁金を招く可能性があります。その他の違反および誤った情報の提供については、より低い上限が適用されます。

はい。第14条の義務そのものが始まった日である2026年9月11日から利用できます。プラットフォームはportal.cra-srp.enisa.europa.eu で稼働しており、Assigned Representativeの役割を選択し、多要素認証を有効にしたEU Loginアカウントでサインインします。ENISAは、2026年9月10日にSRPのFAQでこのアドレスを公表し、AR User Manualおよびプラットフォームの利用規約も併せて公開しました。一方、次の4点は提供されていません。第15条に基づく任意報告、報告用API、積極的に悪用されている脆弱性に関する認識の入力欄、そして、早期警告の提出時点ではなく認識の時点から起算する72時間カウンターです。このため、法定の期限が経過する前に、画面上の時計が提出を期限超過と表示することがあります。現時点では、プラットフォームは英語のみで運用されています。詳細は、 報告ガイド. Art. 14 · 16

委員会の標準化要請M/606は、約41の規格（横断的および製品固有）を対象として、2025年にCEN、CENELECおよびETSIに受け入れられました。M/606に関する委員会の2026年7月付け改正案により2026年の期限が2か月延期されたことを受け、2つの中核的横断規格（セキュア開発および脆弱性対応）は2026年10月31日まで、縦断的な製品規格は2026年12月31日まで、残りの横断規格は2027年10月30日までに整備される見込みで、2027年12月の全面適用に先立って予定されています。引用された整合規格に従うことで、適合の推定が得られます。 附属書I

お客様の製品クラスに該当する適合性評価ルートを実施し、技術文書を編集し、EU適合宣言を作成・署名し、その後CEマーキングを貼付します。デフォルト製品は自己評価が可能ですが、重要製品および重大製品にはより厳格なルートが求められます。 Art. 28 · 32

CRA Fast Checkから始めて適用範囲とクラスを確認し、お客様の役割に応じて書かれたガイドに従い、コンプライアンスマトリクスを使用して必須要件を完了まで追跡してください。

Art. 14の報告義務が執行可能となります。その日以降、製造者は単一報告プラットフォームを通じて積極的に悪用されている脆弱性および重大なインシデントをENISAおよび関連CSIRTに通知しなければなりません。これはCRAの主要な義務の中で最も早く発効するものであり、2027年12月11日の完全適用より大幅に先行します。次を参照してください： 報告ガイド. Art. 14 · 71

いいえ。のみ 積極的に悪用されている脆弱性 および 重大なインシデント 製品のセキュリティに影響するものはArt. 14に基づいて報告が必要です。悪用される前に発見・修正した脆弱性は、報告チャネルではなく通常の脆弱性対応プロセスで対処します。 報告ガイド テストと期限を定めます。 Art. 14

ENISAの単一報告プラットフォームを通じて行います。同プラットフォームは2026年9月11日から稼働しており、portal.cra-srp.enisa.europa.eu で利用できます。通知はENISAと関係する各国のCSIRTに送付されます。認識から24時間以内に早期警告を、72時間以内により詳細な通知を提出し、最終報告は、脆弱性の場合は是正措置が利用可能になってから14日以内、重大なインシデントの場合は72時間以内の通知から1か月以内に提出します。サインインにはEU Loginと多要素認証を使用します。手順の詳細については、 報告ガイド. Art. 14 · 16

一般には、それだけでは回避できません。委員会ガイダンスは、ユーザーのデバイス上で実行されるソフトウェア（ダウンロードされたアプリ、ブラウザ拡張機能、ローカルにインストールされたクライアント）はデジタル要素を備えた製品であり、ブラウザを通じてのみ利用されるウェブアプリケーションや、情報を提示するだけのウェブサイトは製品に当たらない、と明確にしています。リモートサービスは、製品がその機能を果たすために必要なリモートデータ処理である場合にのみ対象となります。CRAの適用外であることは、規制がないことと同じではありません。ウェブのみのサービスであっても、NIS2（中規模および大規模の事業者が対象）やGDPRの適用を受ける場合があります。 Art. 3 参照: 委員会ガイダンス概要.

答えが変わる可能性があります。CRAが規制するのはサービスではなく製品だからです。同じコードでも、インストール可能なアプリ（CapacitorやElectronなどによるビルドを含む）としてパッケージ化されれば、ユーザーのデバイス上で実行され、デジタル要素を備えた製品となるため、CRAが適用されます。ブラウザ上のプログレッシブウェブアプリとしてのみ提供する場合はウェブサービスであり、製品としては一般にCRAの適用外です。そのアプリが通信するバックエンドは、製品がその機能を果たすために必要なリモートデータ処理である場合にのみ対象となります。ただし、2点に注意が必要です。ウェブのみのサービスは規制の対象外というわけではなく（中規模および大規模の事業者にはNIS2が、個人データにはGDPRが適用され得ます）、また製品とサービスの境界は曖昧になり得ます。そのため、「PWAで提供する」ことは、確実な適用除外ではなく、アーキテクチャ上の判断として扱ってください。 Art. 3 参照: 委員会ガイダンス概要.

アップデートが該当するのは、それが 実質的な変更:製品のサイバーセキュリティリスクを、リスクアセスメントでまだカバーしていなかった形で変化させる変更をいう。通常のセキュリティアップデートは、一般的には実質的な変更に該当しない。アップデートが実質的な変更に該当する場合、変更後の製品は新たに市場に上市されたものとみなされ、影響を受ける部分について新たな適合性評価が必要となる。 Art. 3(30) 次の 委員会ガイダンス が判断基準を定めている。