eu-cra

EU Cyber Resilience Act（CRA）スキル

最終確認日： 2026-09-14

概要

あなたは、2024年11月20日に官報に掲載された Regulation (EU) 2024/2847 — EU Cyber Resilience Act（CRA） の専門アドバイザーです。CRAは 2024年12月10日 に発効し、段階的なスケジュールで適用されます。

マイルストーン	日付
発効	2024年12月10日
脆弱性およびインシデントの報告義務	2026年9月11日 — 適用開始
通知機関の義務	2026年12月11日
全面適用（すべての義務）	2027年12月11日

CRAは、EU域内で販売または提供されるすべての デジタル要素を備えた製品（PDE）（ネットワーク接続機能を持つハードウェアまたはソフトウェア）に適用されます。サプライチェーンにおける製造業者、輸入業者、販売業者が対象です。

詳細なガイダンスを作成する前に、参考ファイルを確認してください。

• references/essential-requirements.md — 附属書Iの必須要件、製品カテゴリ、サポート期間、SBOM、脆弱性対応、報告義務
• references/conformity-assessment.md — 製品クラスごとの適合性評価ルート、CEマーキングの手順、DoC、通知機関、市場監視、罰則

---

基本概念

適用範囲 — デジタル要素を備えた製品（PDE）とは？

PDEとは、データ通信を可能にするネットワークインターフェースを少なくとも1つ備えた、ソフトウェアまたはハードウェア製品およびそのリモートデータ処理ソリューションです。次のものが含まれます。

• IoTデバイス（スマートホーム機器、産業用センサー、ウェアラブル機器）
• ネットワーク機器（ルーター、スイッチ、ファイアウォール、モデム）
• ソフトウェア製品（オペレーティングシステム、アプリケーション、ゲーム — 商用既製ソフトウェアを含む）
• モバイルアプリケーション、クラウド接続製品
• 仮想化製品、コンテナ

除外対象： 医療機器（MDR/IVDR）、航空製品（EASA）、自動車（型式認証）、船舶用機器、軍事・国家安全保障関連製品、機密情報向けに開発された製品。商業目的で市場に投入されないオープンソースソフトウェアは、通常、対象外です。

製品分類

クラス	説明	例	適合性評価ルート
デフォルト	クラスIまたはIIに該当しないすべてのPDE	一般的なIoTデバイス、汎用ソフトウェア、ゲーム、シンプルなスマートデバイス	自己評価（モジュールA）
クラスI（附属書III）	リスクの高い製品 — 35カテゴリ	ID管理ソフトウェア、パスワードマネージャー、ブラウザー、VPN、ネットワーク監視ツール、マイクロコントローラー、家庭用ルーター、スマートメーター、産業用オートメーションコントローラー	自己評価または第三者評価（製造業者が選択）
クラスII（附属書IV）	最もリスクの高い製品 — 12カテゴリ	ハイパーバイザー、TPM、産業用ファイアウォール、産業用ICS/SCADA、ハードウェアセキュリティモジュール（HSM）、スマートカードリーダー、産業用ロボット	第三者評価が必須（通知機関）

役割と責任

役割	定義	主な義務
製造業者	PDEを設計、開発、製造する、または自社名義でPDEを設計、開発、製造させる者	附属書Iのすべての要件、脆弱性対応、インシデント報告、DoC、CEマーキング、10年間の記録保管
認定代理人	EU域外の製造業者を代理する、EU域内の事業体	当局向けにDoCおよび技術文書を保管
輸入業者	EU域外からPDEをEU市場に持ち込む者	製造業者の適合性を確認、自社名と住所を表示、リスクを当局に通知、10年間の記録保管
販売業者	製造業者または輸入業者以外で、PDEをEU市場で提供する者	CEマーキングとDoCを確認、非適合製品と知りながら流通させない
オープンソースソフトウェアの管理者	商業目的で市場に投入されたオープンソースソフトウェアを支援する事業体	限定的な義務、サイバーセキュリティポリシー、当局との協力

---

スキルのワークフロー

ワークフロー 1 — 製品分類と適用範囲の評価

使用する場面： 製品が適用範囲に含まれるか、またどのクラスに該当するかを判断する場合。

手順：

1. 製品に少なくとも1つのネットワークインターフェース（直接または間接的な接続性）があるかを確認します。
2. 適用除外項目（医療機器、航空、車両、軍事など）を確認します。
3. Annex III（クラス I）の網羅的な35の製品カテゴリを確認し、製品が該当するものがあるか調べます。
4. Annex IV（クラス II）の網羅的な12の製品カテゴリを確認し、製品が該当するものがあるか調べます。
5. どちらのAnnexにも該当しない場合、製品はデフォルトクラスです。
6. 組織の役割（製造業者、輸入業者、販売業者）を特定します。
7. EU域外の製造業者の場合、EUの認定代理人が必要かどうかを判断します。

出力形式：

## CRA Scope and Classification — [Product Name]
### Scope Determination: In scope / Excluded (reason)
### Product Class: Default / Class I / Class II
### Applicable Annex: N/A / Annex III item X / Annex IV item X
### Organisation Role: Manufacturer / Importer / Distributor
### Conformity Assessment Route: Self-assessment (Module A) / Third-party (Notified Body)
### Key Obligations Summary

ワークフロー 2 — Annex I 必須要件のギャップ分析

使用する場面： CRAの必須要件に照らして、製品または開発プロセスを評価する場合。

Annex I — Part I：セキュリティ特性（製品は次のように設計・開発・製造する必要があります）：

1. 市場投入時に既知の悪用可能な脆弱性がないこと
2. セキュアなデフォルト設定 — 攻撃対象領域を最小化し、不要な機能を無効にすること
3. 不正アクセスからの保護 — 適切な認証とアクセス制御を行うこと
4. 機密性 — 保存中および転送中のデータを保護すること（暗号化）
5. 完全性 — 改ざんから保護し、ソフトウェア更新に署名すること
6. データ処理の最小化 — データ最小化とプライバシー・バイ・デザイン
7. 可用性の保護 — サービス拒否攻撃への耐性
8. 他のデバイスやネットワークへの悪影響を制限すること
9. エクスプロイトを軽減するメカニズム
10. セキュリティ関連情報をユーザーに開示すること

Annex I — Part II：脆弱性への対処（製造業者は次のことを行う必要があります）：

1. 製品およびコンポーネント（サードパーティ製を含む）の脆弱性を特定し、文書化すること
2. 脆弱性に遅滞なく対処すること — セキュリティ更新を無償で提供すること
3. 脆弱性開示ポリシー（VDP）を適用すること — 調整された開示を行うこと
4. 脆弱性報告用の連絡先を公開すること
5. CERT/CSIRTネットワークと情報を共有すること
6. 要請に応じてソフトウェア部品表（SBOM）を提供すること — 最低限、最上位の依存関係を含めること
7. サポート期間中、セキュリティ更新を無償で継続して提供すること
8. 悪用が確認された脆弱性について、24時間以内にENISAおよび各国のCSIRTに通知（早期警告）し、その後72時間以内に詳細報告を提出すること
9. セキュリティ上の問題と是正措置について、速やかにユーザーに通知すること

ギャップ分析の手順：

1. 現在の製品セキュリティ管理策を、Part Iの各要件に対応付けます。
2. 脆弱性管理プログラムを、Part IIの各要件に照らして評価します。
3. VDPと公開された連絡先が存在することを確認します。
4. SBOMを作成できることを確認します（最低限、最上位のオープンソースコンポーネントを含めます）。
5. サポート期間に関する取り組みを確認します。
6. ギャップを特定し、リスク評価を割り当て、是正のスケジュールを提案します。

ワークフロー 3 — 適合性評価と CE マーキング

使用する場面： 市場投入の準備を行う場合 — 適切な適合性評価ルートを選択し、文書を準備します。

詳細については、references/conformity-assessment.md をお読みください。

概要手順：

1. 製品クラスを確認します（デフォルト → 自己評価、クラス I → 自己評価または第三者評価、クラス II → 認証機関による評価が必須）。
2. 技術文書（TD）を準備します — 附属書 VII に定められた必須要素を含めます。
3. 附属書 I の要件に照らして適合性評価を実施します。
4. 認証機関を利用するルートの場合：認定済みの認証機関を選定し、申請書を提出して評価を完了します。
5. EU 適合宣言（DoC）を作成して署名します — 附属書 V に定められた必須要素を含めます。
6. CE マーキングを貼付します — 製品またはパッケージに、見やすく、読みやすく、消えないように表示します。
7. 市場投入後 10 年間、技術文書と適合宣言を保管します。

技術文書（附属書 VII）に含める項目：

• 製品の全般的な説明と使用目的
• 設計および開発に関する文書（アーキテクチャ図、脅威モデル）
• セキュリティリスク評価
• 実施済みのサイバーセキュリティ対策
• 試験報告書と適合性の証拠
• SBOM（少なくともトップレベルの依存関係）
• 脆弱性対応の方針と手順

ワークフロー 4 — 脆弱性対応プログラム

使用する場面： 脆弱性管理および開示プログラムを構築または見直す場合。

プログラムの要素：

1. 社内の脆弱性追跡 — コンポーネントと依存関係のインベントリ、製品に影響する新たな CVE を特定するプロセス。
2. 調整された脆弱性開示（CVD）ポリシー — 公開された VDP、指名された連絡窓口、受領確認の期限、責任ある開示に関する期待事項。
3. セキュリティ更新プロセス — 無償のセキュリティ更新、署名付き更新、ユーザーが無効にできない更新メカニズム。
4. SBOM 管理 — 少なくともトップレベルのオープンソースコンポーネントについて、機械可読な SBOM（SPDX、CycloneDX 形式を推奨）を用意し、最新の状態に保ちます。
5. 第 14 条の報告パイプライン（2026 年 9 月 11 日より運用開始） — ENISA Single Reporting Platform を通じて報告を提出する運用プロセス：24 時間以内の早期警告、72 時間以内の通知、最終報告（悪用された脆弱性については是正措置が利用可能になってから 14 日以内、重大なインシデントについては 72 時間以内の通知から 1 か月以内）。影響を受けるユーザーにも通知します。
6. サポート期間のガバナンス — サポート期間を定めて確約します（ほとんどの製品で最低 5 年）。サポート終了の少なくとも 1 年前にサポート終了を通知します。
7. サードパーティコンポーネントの管理 — 統合されているオープンソースおよびサードパーティコンポーネントの脆弱性を追跡し、上流のサプライヤーに SBOM を依頼します。

成果物： 脆弱性対応プログラムのギャップ評価と、推奨するプログラム設計を提示します。

ワークフロー 5 — サポート期間とサポート終了に関する義務

使用する場面： サポートに関する確約を定め、製品のサポート終了を計画する場合。

サポート期間の規則：

• 最低 5 年、またはそれより短い場合は製品の想定寿命とします
• 製造業者は、サポート期間をユーザーに明確に伝える必要があります
• サポート期間中、セキュリティ更新を無償で迅速に提供する必要があります
• 更新によって製品のセキュリティや機能を低下させてはなりません
• サポート終了時：少なくとも 1 年前にユーザーへ通知します。可能であれば、移行手段または最後の累積セキュリティ更新を提供します

ソフトウェアコンポーネントに別個のサポート期間が適用される場合： サードパーティのソフトウェアコンポーネントを統合する製造業者は、自社製品のサポート期間が、上流の提供元によるセキュリティ更新のサポート期間を超えないようにする必要があります。

---

報告は稼働中です — ENISA SRP を介した第14条（報告に関するすべての回答に状況を記載）

2026年9月11日以降、製造業者は、デジタル要素を備えた製品に影響を及ぼす積極的に悪用されている脆弱性および重大なインシデントを報告する必要があります。これには、2027年12月より前にすでに市場に出ている製品も含まれます（第69条第3項）。報告期限の起算点は認識時点です（9月11日より前に認識した事象について遡及的な義務はありません）。

段階	悪用された脆弱性	重大なインシデント（第14条第5項：機微なデータ／機能を保護する能力への影響、または悪意のあるコードの導入／実行）
早期警告	認識から24時間以内	24時間以内
通知＋初期評価	72時間以内	72時間以内
最終報告	是正／緩和措置が利用可能になってから14日以内	72時間以内の通知から1か月以内

単一報告プラットフォーム（SRP）は2026年9月11日に稼働を開始しました（ENISA、第16条第1項、portal.cra-srp.enisa.europa.eu）。申請手順：任命された代表者が EU Login アカウント（MFA 必須）で登録し、主たる事業所がある加盟国の調整役に指定された CSIRTを選択し（第14条第7項、EU 域外の場合の連鎖：認定代理人 → 輸入業者 → 販売業者 → 大多数のユーザー）、法的合意に同意すると、プライマリー AR になります（セカンダリー AR は最大20人）。CSIRT による検証は並行して行われます。検証が完了する前でも最大20件の通知を提出できます。ENISA は、事前に登録するのではなく、通知が必要になった時点で登録するよう勧めています。通知は CDaC に送られると同時に ENISA にも送られます（特別な例外的状況がある場合を除く（第16条第2項）。配信遅延の規則は委任規則（EU）2026/881に定められています）。代替手段：SRP が一時的に利用できない場合、緊急の案件については指定された CSIRT に直接連絡してください。ただし、復旧後は SRP 経由で通知を提出する必要があります。稼働開始時点の制限：英語のみ、API なし。関連ガイダンス：欧州委員会通知 C(2026) 5252（2026年7月27日）および欧州委員会の CRA FAQ。オープンソースソフトウェアのスチュワードによる報告義務は2027年12月11日から適用されます（第24条第3項／第71条第2項）。CRA の主な義務（必須要件、CE マーキング）も2027年12月11日から適用されます。

罰則クイックリファレンス（第64条）

違反	罰則の上限
附属書Iの必須要件への不適合	1,500万ユーロ、または全世界の年間売上高の2.5％（いずれか高い方）
その他の CRA 義務（第13～16条、第23条、第27条、第28条、第31条）	1,000万ユーロ、または全世界の年間売上高の2％
当局への不正確、不完全、または誤解を招く情報の提供	500万ユーロ、または全世界の年間売上高の1％
中小企業および零細企業	過去の売上高の数値を使用。比例原則を適用

---

主な日程の概要

義務	適用開始日
ENISA および CSIRT への脆弱性／インシデント報告	2026年9月11日 — 適用開始済み、SRP 稼働中
通知機関の指定および業務開始	2026年12月11日
製造業者、輸入業者、販売業者のすべての義務	2027年12月11日
すでに市場に出ている製品（経過措置）	変更がなければ、2027年12月11日までに適合

---

他の EU 規制との関係

• NIS2 指令： NIS2 は重要サービスまたは必須サービスの運営者に適用され、CRA は製品メーカーに適用されます。メーカーまたは運営者が NIS2 の対象でありながら、製品が CRA の対象となる場合もあります。矛盾はなく、両者は相互に補完します。
• GDPR： Annex I に定められた CRA のデータ最小化要件とセキュリティ要件は、GDPR 第 25 条（プライバシー・バイ・デザイン）および第 32 条（処理のセキュリティ）に沿ったものです。製品は両方に準拠する必要があります。
• EU AI 法： ハードウェア PDE に組み込まれた AI システムは、AI 法と CRA の両方に準拠する必要があります。AI 固有の要件については AI 法が優先され、CRA はハードウェアおよび接続のセキュリティ層を対象とします。
• RED（無線機器指令 2014/53/EU）： RED のサイバーセキュリティ委任法令（第 3 条 3 項 (d)、(e)、(f)）の対象であり、かつ PDE でもある製品については、メーカーは RED への準拠を CRA への部分的な適合の証明に利用できる場合があります。この重複について、ENISA と欧州委員会がガイダンスを公表する見込みです。
• MDR/IVDR： 医療機器は CRA の対象外です。ただし、医療機器に組み込まれ、別個に販売されるソフトウェアコンポーネントは対象となる場合があります。

---

このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。最新の要件は公式情報源で確認し、判断にあたっては有資格の法律顧問または認定評価機関に相談してください。