CRAは2027年12月に完全適用され、EU市場にデジタル製品を販売するすべての企業に影響します。SBOM管理、脆弱性管理プロセス、セキュリティ・バイ・デザインの導入を今から進めましょう。
CRAとは
EU サイバーレジリエンス法（Cyber Resilience Act：CRA）は、EU市場で販売される「デジタル要素を持つ製品」すべてにサイバーセキュリティ要件を義務付けるEU規則です。2024年に成立し、2027年12月から完全適用されます。
EU市場に製品を販売する日本企業も適用対象であり、製造業・ソフトウェア開発企業に大きな影響があります。
対象製品
- ハードウェア：IoT機器、ネットワーク機器、産業用制御機器、スマート家電等
- ソフトウェア：OS、アプリケーション、ファームウェア等
- 除外：医療機器（MDR適用）、自動車（UNECE適用）、航空機器等の既存規制が適用される製品
製品は重要度に応じてClass I / Class II / Defaultに分類され、Class IIは第三者認証が必要です。
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →主な要件
| 要件 | 内容 |
|---|---|
| セキュリティ・バイ・デザイン | 設計段階からセキュリティを組み込む |
| 脆弱性管理 | 製品のライフサイクル全体（最低5年）での脆弱性管理義務 |
| セキュリティアップデート | 脆弱性発見時のセキュリティパッチの無償提供義務 |
| SBOM（ソフトウェア部品表） | 製品に含まれるソフトウェアコンポーネントの一覧を作成・管理 |
| インシデント報告 | 悪用された脆弱性を24時間以内にENISA（EU機関）に報告 |
| CEマーキング | CRA適合を示すCEマーキングの貼付が必要 |
日本企業への影響
- EU向けに製品を輸出する製造業：すべてのデジタル要素を持つ製品がCRA対象。適合しなければEU市場で販売不可
- ソフトウェア開発企業：EU向けのソフトウェア製品もCRA対象。脆弱性管理とSBOMの作成が義務化
- 部品メーカー：完成品メーカーからCRA適合のための要件が課される
対応の準備
- 自社製品のうちEU市場向け製品を特定し、CRAの適用範囲を確認
- SBOMの作成・管理体制を構築
- 脆弱性管理プロセス（発見→評価→パッチ提供→報告）を整備
- セキュリティ・バイ・デザインの開発プロセスを導入
報告義務は2026年9月11日から先行して適用されます。実際に悪用されている脆弱性を認識してから24時間・72時間・14日という段階的な期限があり、すでにEU市場にある製品も対象です。実務の詳細はEU CRAの報告義務が2026年9月11日から開始で解説しています。
よくある質問
EUサイバーレジリエンス法（CRA）とは何ですか？
EU市場で販売される「デジタル要素を持つ製品」すべてにサイバーセキュリティ要件を義務付けるEU規則です。2024年に成立し、2027年12月から完全適用されます。
どんな製品が対象ですか？
IoT機器・ネットワーク機器・産業用制御機器・スマート家電などのハードウェアと、OS・アプリケーション・ファームウェアなどのソフトウェアです。医療機器（MDR）、自動車（UNECE）、航空機器など既存規制が適用される製品は除外されます。
主な要件は何ですか？
設計段階からセキュリティを組み込むセキュリティ・バイ・デザイン、製品ライフサイクル全体（最低5年）での脆弱性管理、脆弱性発見時のセキュリティパッチの無償提供、SBOM（ソフトウェア部品表）の作成です。
日本企業は何を準備すべきですか？
自社製品のうちEU市場向け製品を特定してCRAの適用範囲を確認し、SBOMの作成・管理体制を構築します。あわせて発見→評価→パッチ提供→報告という脆弱性管理プロセスを整備します。部品メーカーも完成品メーカーからCRA適合を求められる可能性があります。
まとめ
CRAは2027年12月に完全適用され、EU市場にデジタル製品を販売するすべての企業に影響します。SBOM管理、脆弱性管理プロセス、セキュリティ・バイ・デザインの導入を今から進めましょう。