CRAのインシデント・脆弱性報告

01報告しなければならないもの

次の文書の Art. 14 Cyber Resilience Act は、デジタル要素を含む製品の製造者に2つの報告義務を課しています。これらの義務は一見するよりも狭く、日常的な不具合や通常のパッチは対象外です。 Art. 14

• 積極的に悪用されている脆弱性：所有者の許可なく悪意ある行為者がシステム内でそれを悪用したという信頼できる証拠がある、自社製品の脆弱性を指します。悪用される前に発見して修正した脆弱性は、通常の 脆弱性対応プロセス、この報告チャネルではありません。
• 重大なインシデント：データまたは機能の可用性、真正性、完全性または機密性を保護する製品の能力に悪影響を及ぼす、または及ぼすおそれのあるインシデントを指します。重大性の基準は第14条(5)に定められています。

これらの義務は商業的な製造者に限られません。 オープンソースソフトウェアの管理者 も、デジタル要素を含む製品に関与する限りにおいて、独自の報告義務を負います。 Art. 24(3)

023つの期限

各報告は3つの段階で展開され、 認識した時点から 起算されます。悪用された脆弱性や重大なインシデントの報告期限は短く、だからこそ準備が重要になります。 Art. 14(2)–(4)

• 24時間以内早期警告。 積極的に悪用されている脆弱性または重大なインシデントが発生した旨の最初の通知です。インシデントについては、違法または悪意ある行為によるものと疑われるか否かも記載します。
• 72時間以内脆弱性・インシデントの通知。 より詳細な報告です。脆弱性および悪用の一般的な性質、初期評価、講じた是正措置または緩和措置、ならびに利用者が取り得る措置を記載します。
• 最終報告最終報告。 対象が 脆弱性の場合は、 14日 以内。是正措置または緩和措置が利用可能となった時点から起算します。対象が 重大なインシデントの場合は、72時間通知から 1か月 以内。完全な説明、重大性、影響および適用された是正内容を記載します。

最後の行の非対称性に注意してください。脆弱性の起算点は修正が存在することであり、インシデントの起算点は先行する通知です。仕組みが異なるため、社内のランブックには別々に書き込んでおくべきです。

03開始時期

報告義務はCRAの中で最も早く発効する主要な部分です。大部分の規定は2027年12月11日から適用されますが、Art. 14は 2026年9月11日：法の発効から21か月後です。ENISAは、単一報告プラットフォームを同じ日までに稼働させる予定としています。 Art. 71

04報告先

報告の提出先： ENISA および次に対して コーディネーターとして指定されたCSIRTに対して、各国当局に個別に提出するのではなく、単一の窓口を通じて行います。その窓口が 単一報告プラットフォームであり、ENISAが第16条に基づき設置・管理・維持します。 Art. 14 · 16

どのCSIRTが自社の担当となるかは、 主たる事業所 が連合内のどこにあるかによって決まります。EU域内に設立されていない場合は、 授権代理人の所在によって決まります。受領したCSIRTは、その通知を製品が提供されている加盟国のCSIRTsに、また必要に応じて市場監視当局に展開します。 Art. 14(7) · 18

支援は双方に用意されています。 ENISA は、特に中小企業に配慮したヘルプデスクを運営しており、 調整役として指定されたCSIRTs も第14条の義務についてヘルプデスク支援を提供することが求められています。ENISAはまた、修正済みの脆弱性を 欧州脆弱性データベースに登録し、2年ごとに技術動向報告書を公表します。第1回は報告義務の開始から24か月以内の予定です。 Art. 17(6)

通知した脆弱性の展開はCSIRTが止められますが、自社が止めることはできません

受領したCSIRTは、正当なサイバーセキュリティ上の理由により、厳密に必要な期間に限って、その後の展開を遅らせ、または差し控えることができます。たとえば、脆弱性が協調的開示手続の中にある場合です。欧州委員会はその条件を、 2025年12月11日に採択された委任法で定めました。CSIRTが通知を差し控える場合は、直ちにENISAに伝え、理由と展開の予定時期を示さなければなりません。

これとは別に、 特に 例外的な状況では、 第16条(2) の限定的な条件のいずれかを72時間通知で選択できます。すなわち、悪用が自社のCSIRTの加盟国内にとどまっていること、さらなる展開が当該加盟国の本質的利益に反すること、または展開が差し迫った高いサイバーセキュリティリスクをもたらすことです。選択した場合、CSIRTが完全な通知を公開するまで、ENISAは限定的な情報(通知が行われたこと、製品に関する一般的情報、悪用の一般的性質、セキュリティ上の理由が主張されたこと)のみを受け取ります。

05プラットフォームへの登録

ENISAの 2026年7月31日 付ガイダンスは、実際の画面を示した最初の資料です。プラットフォームが稼働するまで登録そのものはできませんが、誰がアカウントを保有するかを今のうちに決め、認証情報を準備しておくことはできます。また、24時間の期限の下で初めて向き合う前に、手順を把握しておくべきです。

必要になる前に2名を指名する

プラットフォームは、各製造者に 2種類 のユーザーアカウントを付与します。誰が担うかは今日決められます。 主 たる代表者がまず登録し、プラットフォーム上に製造者の登録情報を作成します。その担当者が次に、 副 たる代表者を招待します。この代表者は同一の製造者に対するバックアップの役割を担い、その製造者に代わって提出できます。いずれも自社の指名された個人です。提出は手動であるため、指名された報告者が1名だけで、その人物が休暇中、就寝中、または退職済みである場合は現実的な運用リスクとなります。2つ目の席は任意ではなく必要なものとして扱ってください。

認証情報はEU Loginであり、2名とも今日作成できます

プラットフォームのアカウントは EU Loginで認証します。これは欧州委員会のオンラインシステム全体で使われる共通のサインインサービスです。ENISAはアカウントを事前に作成できるとしており、これは今すぐできる最も有用な対応です。主たる代表者用に1つ、副たる代表者用に1つを、 ecas.ec.europa.euで作成してください。1年後も存在している業務用メールアドレスを使用します。欧州委員会は、EU Loginとは何か、より広い電子的アイデンティティの枠組みにどう位置づけられるかを、 信頼できるデジタルID のページで説明しています。

登録の流れ

プラットフォームへの初回アクセス時に、自分の役割を選択し、 指定されたCSIRT をドロップダウンから選び、EU Loginで認証し、法的合意を読んで承諾し、事前入力された個人情報(名、姓、メールアドレス、法人名)を確認したうえで、製造者の名称、住所および追加情報を入力します。製造者の必須項目を省略すると手続は進みません。完了すると、アカウントは「AR Active」の役割で有効になり、確認メールが届き、プラットフォーム上に製造者エンティティが作成されます。

次の 副 たる代表者は、 メールによる招待 によって主たる代表者から加わり、事前入力された個人情報および製造者情報を確認し、同一の製造者に対するバックアップ利用者として登録されます。この招待は 7日で失効し、その後、記録は「Invitation Expired」と表示され、新たに送り直す必要があります。バックアップの設定は主たる代表者と同じ機会に済ませてください。インシデントの最中に失効した招待を見つけるのは、避けられる問題です。

CSIRTは代表者を手作業で確認しますが、それによって提出が妨げられることはありません

ある人物が本当に特定の製造者を代表して報告できるのかは、誰かが確認しなければならず、その確認は調整役として指定されたCSIRTが担います。これは手作業の工程であり、手続はCSIRTごとに異なり、各CSIRTが独自の方法を定めています。重要なのは、それがプラットフォームへの初回アクセスの 後 に行われ、報告と 並行して 進みます。ENISAは、この検証が 決して 通知を提出する能力に影響しないと述べています。検証されていないアカウントでも、24時間の期限内に提出できます。

ENISAが、市場全体を事前に登録してCSIRTsを推測に基づく確認で埋めるのではなく、実際に提出が必要になった時点で登録と検証を開始するよう勧めているのも、このためです。事前に行う準備は、EU Loginアカウントと2つの席を誰が担うかの決定であって、プラットフォームへの登録そのものではありません。

06報告の提出

報告はダッシュボードから行います。通知を作成し、3つの別々のものを提出するのではなく、各段階で同じ記録に追記していきます。各段階には専用のタブがあり、いずれもまず下書きとして保存できます。下書きは自分だけが閲覧できます。

• 早期警告ダッシュボードから新しい通知を開始し、必須項目を入力して、既存の製造者を選択するか新たに追加します。提出すると、指定されたCSIRTに送られ、自動的にENISAにも送られます。メールとアラートによる確認が、自社、CSIRTおよびENISAに届きます。
• 72時間早期警告が存在する場合にのみ利用できます。同じ通知を開き、72時間のタブを入力します。ENISAは自動的にこれを受け取りますが、 ただし 第16条(2)の条件を援用した場合は、記録に印が付き、CSIRTが公開するまでENISAの閲覧範囲は制限されます。
• 最終報告先行する2つの段階が存在する場合にのみ利用できます。他の関係CSIRTsが最終報告を受け取るのは、調整役のCSIRTが手作業で展開した後です。

何が必須で、いつ必要になるか

ENISAは、各段階でどの項目が必須かを公表しています。この表は、広く見られる思い込みに対する有益な訂正となります。24時間の早期警告は アラートであって、調査ではありません。

• 24時間の時点：通知の種別とレベル、製造者またはスチュワードの名称、製品、および表題です。インシデントについては、違法または悪意ある行為が疑われるか否かも記載します。製品が提供されている加盟国は、すでに把握している場合にのみ必要です。
• 72時間の時点：脆弱性および悪用の一般的な性質、講じた是正措置または緩和措置、利用者が取り得る措置です。インシデントについては、検知の時期と発生の時期、および初期評価を記載します。機微性の申告もこの段階で行います。
• 最終報告の時点：完全な説明、重大性と影響、是正措置が利用可能となった日付、およびセキュリティアップデートの詳細です。インシデントについては、推定される根本原因と継続中の緩和策を記載します。

任意項目でも記録しておく価値があるのは CVE ID および EUVD IDで、いずれも最初の段階から入力できます。

編集と、後戻りできない地点

提出済みの通知は更新でき、プラットフォームは自社のCSIRT、ENISA、および展開によってすでに受領したCSIRTsに自動的に通知します。制約は2つあります。 クローズされた 通知は更新できません。また、記録は 最終報告を提出すると編集できなくなります.

07今日できること

24時間の期限を守ることは、書類上の問題ではなく運用上の問題であり、準備のほとんどはすでに着手できます。以下のいずれも、プラットフォームの稼働に依存しません。

• EU Loginアカウントを作成する。 主たる報告者と、少なくとも1名のバックアップの分を作成します。所要は数分で、 ecas.ec.europa.eu から行えます。インシデントの最中に気づきたくない手順を1つ減らせます。
• 指定されたCSIRTを特定する。 連合内の主たる事業所によって決まり、EU域外に設立されている場合は授権代理人の所在によって決まります。ENISAによる調整役の完全な一覧はまだ公表されていないため、判断の根拠を今のうちに記録し、一覧が公表されたら照合してください。
• 24時間用のフォームを社内で作る。 ENISAの早期警告の必須項目に対応した短い雛形を用意しておけば、最初の実際の提出は文章を考える作業ではなく、書き写す作業になります。
• 担当者を、時間外も含めて指名する。 報告が必要かを判断する人、起草する人、提出する人を決めてください。APIがない以上、最後の工程はキーボードに向かう特定の担当者です。
• 正確なSBOMを維持する。 出荷したことを知らなかった構成要素については報告できません。ソフトウェア部品表を整備し、リリースの変更に合わせて最新の状態に保ってください。
• 継続的に監視する。 構成要素を既知脆弱性の情報源と突き合わせ、積極的に悪用されている欠陥が数週間ではなく数時間で表面化するようにします。当社の SBOMと脆弱性アナライザー は、部品表をNVDおよびEU脆弱性データベース(EUVD)と照合します。
• 実際に対象となる範囲を確認する。 72時間の段階では製品の種類と附属書IIIまたはIVの区分が問われるため、必要になる前に分類を確定しておきましょう。 分類ツール がその答えを示します。また、 コンプライアンスマトリクス 報告をAnnex Iの脆弱性対応義務全体の中に位置付けます。
• ウェビナーを予定に入れる。 ENISAは、プラットフォームの稼働開始2週間前に1回開催し、公開に近い時期に短い解説動画を公表する意向です。

08一次情報で追う

このページは 2026年8月6日時点の状況を反映しています。プラットフォームは今も動いており、ENISAは変更のたびに告知するのではなく静かにページを更新するため、以下のページの「最終更新」表示は直接確認する価値があります。これらが一次情報であり、上記はすべて当社による読み解きです。

• ENISA · 単一報告プラットフォーム：ハブとなるページで、ファクトシートと、法的根拠、期限、経路、項目一覧、プラットフォームのセキュリティを扱う詳細なFAQを掲載しています。公開URLはここで告知されます。enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
• ENISA · SRP利用者登録ガイダンス：主たる利用者とバックアップ利用者向けに、段階を追った登録の流れを画面例とともに示しています。enisa.europa.eu/cra-srp-ar-user-registration
• ENISA · SRP通知提出ガイダンス：早期警告、72時間通知、最終報告をどのように提出・更新するのか、また各ステータスが何を引き起こすのかを説明しています。enisa.europa.eu/cra-srp-ar-notification-submission-and-update
• 欧州委員会 · CRAの報告義務：政策ページで、報告を扱う第5節を含むCRA実施に関するFAQも掲載しています。digital-strategy.ec.europa.eu/en/policies/cra-reporting
• 欧州委員会 · CRA適用ガイダンス(2026年7月27日)：9.1項が製造者およびオープンソースのスチュワードの報告義務を定めています。当社の ガイダンスの要約 が残りを扱っています。digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login：プラットフォームが使用するアカウントを作成します。今すぐ実行してください。ecas.ec.europa.eu/cas/login

拘束力のある条文としては、第14条から第17条が報告のエコシステムを定め、第16条がプラットフォームを設置します。当社の 規則リーダーでお読みいただけます。節目となる日付は 現況 のページで追跡しています。

09よくある質問