meok-eu-cra-mcp

meok-eu-cra-mcp

MEOK AI Labs による、EU サイバーレジリエンス法（CRA、規則（EU）2024/2847）への準拠を支援する MCP サーバーです。

CRA（EU サイバーレジリエンス法、規則（EU）2024/2847）向け MCP です。AI システム、IoT デバイス、スタンドアロンソフトウェアなど、EU で販売されるソフトウェア搭載製品すべてに適用されます。

日付	内容
2024 年 12 月 10 日	CRA 発効
2026 年 9 月 11 日	脆弱性報告義務の適用開始（第 11 条、第 14 条）
2027 年 12 月 11 日	全面的な適用開始 — すべての製品が準拠必須

CRA は、製品を運用する組織を対象とする NIS2、および製品のAI 機能を対象とする EU AI Act と併存します。規制対象の事業体の多くは、両方に準拠する必要があります。

対応する 4 つの義務

義務	内容	影響
第 6 条 + 附属書 I — サイバーセキュリティの基本要件	リスクに基づく設計時のセキュリティ、市場投入時に既知の脆弱性がないこと、デフォルトで安全な設定、暗号化、完全性、DoS 耐性、攻撃対象領域の縮小、セキュリティ更新メカニズム	EU 市場のすべての製品が対象。罰則：1,500 万ユーロまたは全世界売上高の 2.5%
第 10 条 — 脆弱性への対応	製品のライフサイクル全体、または 5 年間（いずれか短い方）にわたり、特定、文書化、テスト、修正、周知を無料で実施	すべての製品が対象。実際に悪用されている脆弱性に関する ENISA への 24 時間以内の報告は、2026 年 9 月 11 日に開始
第 13 条 — 適合性評価	市場投入前に、自己評価（クラス I）または認証機関による評価（クラス II）を実施	すべての製品が対象。附属書 III の 5 つの重要カテゴリー（パスワードマネージャー、ID／認証、VPN、ネットワーク管理、SIEM、PKI 発行者）にはクラス II が必須
附属書 I 第 2 項 — SBOM + デフォルトで安全な設定	ソフトウェア部品表（CycloneDX または SPDX）、自動更新の有効化、サポート終了時の工場出荷時設定へのリセット手順	すべての製品が対象。SBOM は、機械可読なコンプライアンス証拠として事実上の標準です

インストール

pip install meok-eu-cra-mcp
meok-eu-cra-mcp

ツール（5 件）

cra_overview()

CRA の枠組みの概要：適用範囲、主要日程、罰則の仕組み、適用除外（医療機器、自動車、航空機、商用利用のない FOSS）、および NIS2、EU AI Act、GDPR、製造物責任指令 2024/2853 との併存関係。

classify_cra_obligations(places_product_on_eu_market, has_internet_connectivity, handles_personal_data, is_critical_infrastructure, is_iot_or_connected_device, is_ai_system_under_ai_act, is_free_and_open_source_no_commercial, is_medical_device, is_motor_vehicle, is_aviation_product)

製品の特性を、4 つの CRA 義務、重要度クラス（クラス I の自己評価またはクラス II の認証機関による評価）、ENISA への報告要件、24 時間以内の報告期間、2027-12-11 の全面適用日に対応付けます。適用除外（医療機器、自動車、航空機、商用利用のない FOSS）を先に判定します。

audit_cra_pipeline(tenant_id, has_sbom, sbom_format, has_security_txt, has_vulnerability_disclosure_policy, has_signed_releases, has_auto_update_mechanism, has_data_removal_procedure, has_threat_model, has_ssa_or_penetration_test, has_secure_sdlc_documented, sample_sbom_components)

既存の製品パイプラインを監査し、CRA 準拠におけるギャップを確認します。SBOM、security.txt、VDP、署名済みリリース、自動更新、データ削除手順、脅威モデル、セキュリティテスト、セキュア SDLC の不足をチェックします。また、サンプル SBOM のコンポーネントに既知の脆弱性があるパッケージ（log4j 1.x、openssl 1.0.1 など）が含まれていないかスキャンし、見つかった場合は重大としてフラグを立てます。

sign_cra_attestation(entity_name, product_name, criticality_class, compliance_score, has_sbom, has_vdp, has_signed_releases, contact_email)

正規の meok-attestation-api /sign エンドポイントを介して、ハッシュチェーン化された CRA コンプライアンス証明書を生成します。cert_id、signature、verify_url、audit_url、issued_at、expires_at、kid を返します。MEOK_API_KEY 環境変数が必要です（無料プラン：1日あたり1件の証明書、Pro プラン：月額 £199 で無制限）。

crosswalk_cra_to_nis2()

CRA ↔ NIS2 の対照表を並べて表示します。10項目（適用範囲、施行日、当局、報告、脆弱性対応、セキュア・バイ・デフォルト、SBOM、罰則、適合性評価、ペネトレーションテストの頻度）を掲載しています。実務上のポイント：CRA は製品側、NIS2 は組織側を対象とします。クラウドでホストされる AI 製品は CRA の規制対象（製品として）であり、クラウドプロバイダーは NIS2 の規制対象（重要なエンティティとして）です。1つの評価で両方の制度に対応しますが、成果物は異なります。

対応範囲の制限

• 実際の SBOM 生成には対応していません：SBOM を用意するか、先に Syft／cdxgen を実行してください。MCP は形式と標準を案内します
• ENISA への報告提出には対応していません：ENISA の単一報告プラットフォームは別のポータルです（URL は ENISA が決定予定。2026年9月11日から利用可能）
• ノーティファイドボディへの連絡には対応していません：ノーティファイドボディは加盟国が指定します。該当するカテゴリの機関を探す必要があります
• 実際の適合性評価には対応していません：MCP は手続き（自己評価かノーティファイドボディか）と成果物（DoC、CE マーキング、附属書 VII に基づく技術文書）を案内します
• Cybersecurity Act との連携には対応していません：MCP は EU Cybersecurity Act の認証データベースから情報を取得しません。認証はご自身で用意してください

テスト

cd eu-cra-mcp
pip install mcp httpx pytest
pytest tests/test_eu_cra_mcp.py -v

全5つのツールと対象外項目にわたる11件のテストです。ライブ API は不要です。

他地域との相互対応

• NIS2 — crosswalk_cra_to_nis2() が、最も差異の大きい10項目を対象とします
• EU AI Act — 高リスク AI は CRA（製品サイバーセキュリティ）と EU AI Act（AI リスク管理）の両方を満たす必要があります
• GDPR — CRA 第6条(g)のデータ最小化は、GDPR 第5条(1)(c)と重複します
• 製造物責任指令 2024/2853 — CRA 違反は欠陥の証拠となります
• 英国 — 英国の Product Security and Telecommunications Infrastructure Act 2022（PSTI）は同様の領域を対象としています。所管当局は英国 NCSC です
• 米国 — 連邦レベルで同等の法律はありません。California SB-327（IoT セキュリティ）と NY DFS Part 500（金融サービス）が最も近い制度です

関連項目

• meok-pipl-mcp — 中国の PIPL（データ側。こちらは製品側を対象とします）
• meok-fda-samd-mcp — 米国 FDA SaMD（医療分野に特化した、類似の構成）
• meok-eu-ai-act-mcp — EU AI Act（AI 製品向けの CRA 関連制度）
• meok-owasp-agentic-mcp — OWASP Agentic Top 10（セキュリティテストのパターン）
• meok-compliance-gateway — 13のフレームワークの対照表
• meok-attestation-api — 正規の SIGIL 署名サービス（Ed25519、kid d4cb0eaa）

ライセンス

MIT — MEOK AI Labs、英国 Companies House 登録番号 16939677。