よくある質問

分類は、製品が含むあらゆる機能ではなく、製品の中核機能に従います。中核機能が附属書IIIに名指しされたカテゴリーに合致する場合、その製品は「重要」（クラスIまたはII）です。附属書IVに合致する場合は「重大」、それ以外は「デフォルト」です。識別管理やVPNのような能力は、一機能としてのみ含まれている場合、それが中核目的でない限り、製品を「重要」にはしません。複数のカテゴリーが該当し得る場合は、より厳格なクラスが適用されます。 Art. 7

商業活動の外で開発された非商業的なオープンソースソフトウェアは概ね適用範囲外です。オープンソースソフトウェアスチュワードには、より軽い、調整された一連の義務があります。商業活動の過程で供給されるオープンソースの構成要素は、適用範囲に含まれることがあります。

スタンドアロンのサービスは一般的にCRAの対象外です。ただし、製品がその機能を果たすために必要なリモートデータ処理ソリューションは、その製品の一部として扱われ、適用範囲に含まれます。 Art. 3(2)

はい。CRAは、製造者がどこに設立されているかにかかわらず、EU市場に上市される製品に適用されます。EU域外の製造者は、EU域内に設立された経済事業者が関連する義務について責任を負うことを確保しなければなりません。

それらは附属書Iの2つの部分に分かれます。すなわち、製品が備えるべきセキュリティ特性（既定で安全、機密性、完全性、可用性、最小化された攻撃対象領域、セキュリティ更新）と、製造者が運用すべき脆弱性対応プロセス（SBOM、是正、調整された開示）です。 附属書I

はい。製造者は、一般的に利用され機械可読な形式でソフトウェア部品表を作成することを含め、製品に含まれる構成要素を特定し文書化しなければなりません。 附属書I · II(1)

サポート期間とは、製造者がセキュリティ更新を提供しなければならない期間です。それは製品が合理的に使用されると想定される期間を反映しなければなりません。委員会ガイダンスは、想定される使用期間がより短い場合を除き、これが一般的に少なくとも5年とすべきであることを示しています。 Art. 13(8)

実際に悪用されている脆弱性および製品のセキュリティに影響を及ぼす重大なインシデントは、ENISAおよび関連するCSIRTに通知されなければなりません。早期警告は認識から24時間以内に行い、続いてより詳細な通知および最終報告を行います。 Art. 14

本法は2024年12月10日に発効しました。報告義務は2026年9月（21か月後）から適用され、義務の大部分は2027年12月（36か月後）から適用されます。 Art. 71

必須要件または製造者の義務への違反は、1,500万€または全世界年間総売上高の2.5％のいずれか高い方を上限とする制裁金を招く可能性があります。その他の違反および誤った情報の提供については、より低い上限が適用されます。

2026年半ば時点ではまだです。ENISAはArt. 16に基づいて単一報告プラットフォームを構築中であり、開始に向けて登録および試験運用資料を公開しています。2026年9月11日までに運用開始する予定で、それ以前にテスト期間が設けられます。また、正確な報告フォーマットと手続きは欧州委員会の実施行為によってさらに規定される可能性があり、脆弱性対応を支える整合規格は2026年8月30日頃に予定されています。今すぐ内部プロセスを構築し、最終的な仕組みを待たないでください。次を参照してください： 報告ガイド. Art. 14 · 16

委員会の標準化要請M/606は、約41の規格（横断的および製品固有）を対象として、2025年にCEN、CENELECおよびETSIに受け入れられました。2つの中核的横断規格（セキュア開発および脆弱性対応）は2026年8月30日まで、縦断的な製品規格は2026年10月30日まで、残りの横断規格は2027年10月30日まで、2027年12月の全面適用に先立って予定されています。引用された整合規格に従うことで、適合の推定が得られます。 附属書I

お客様の製品クラスに該当する適合性評価ルートを実施し、技術文書を編集し、EU適合宣言を作成・署名し、その後CEマーキングを貼付します。デフォルト製品は自己評価が可能ですが、重要製品および重大製品にはより厳格なルートが求められます。 Art. 28 · 32

CRA Fast Checkから始めて適用範囲とクラスを確認し、お客様の役割に応じて書かれたガイドに従い、コンプライアンスマトリクスを使用して必須要件を完了まで追跡してください。

Art. 14の報告義務が執行可能となります。その日以降、製造者は単一報告プラットフォームを通じて積極的に悪用されている脆弱性および重大なインシデントをENISAおよび関連CSIRTに通知しなければなりません。これはCRAの主要な義務の中で最も早く発効するものであり、2027年12月11日の完全適用より大幅に先行します。次を参照してください： 報告ガイド. Art. 14 · 71

いいえ。のみ 積極的に悪用されている脆弱性 および 重大なインシデント 製品のセキュリティに影響するものはArt. 14に基づいて報告が必要です。悪用される前に発見・修正した脆弱性は、報告チャネルではなく通常の脆弱性対応プロセスで対処します。 報告ガイド テストと期限を定めます。 Art. 14

ENISAの単一報告プラットフォームを通じて。通知はENISAおよび関連する各国CSIRTに転送されます。認識から24時間以内に早期警告を送付し、72時間以内に詳細な通知を送付し、是正措置が利用可能になってから14日以内に最終報告を送付します。ステップバイステップの 報告ガイド. Art. 14 · 16