EUサイバーレジリエンス法（CRA）の報告義務は2026年9月11日から適用されます。CRA全体の適用は2027年12月11日ですが、報告義務だけが1年以上先行します。実際に悪用されている脆弱性を把握したら24時間以内に早期警告、72時間以内に通知、14日以内に最終報告です。すでにEU市場にある製品も対象で、新製品だけの話ではありません。
EU CRAへの対応は、製品セキュリティだけでなく、社内の検知・判断・報告の体制設計が必要になります。現状のアセスメントから体制構築までをご支援しています。
SCS評価制度 対応支援 を見る →ITコンサルティング2026年9月11日から何が始まるか
CRA（Cyber Resilience Act／Regulation (EU) 2024/2847）は、デジタル要素を持つ製品にセキュリティ要件を課すEUの規則です。全体の適用は2027年12月11日ですが、報告義務は2026年9月11日から先行して始まります。
先行する理由は、報告が「製品の作り方を変える」話ではなく「起きたことを知らせる」話だからです。設計変更の猶予は要りませんが、検知して短時間で報告する体制は先に作っておく必要があります。
制度の全体像と対象製品についてはEUサイバーレジリエンス法の日本企業への影響で整理しています。本記事は9月11日から始まる報告義務に絞ります。
対象になるのは誰か
義務を負う中心は製造者（manufacturer）です。EU市場にデジタル要素を持つ製品を出している事業者が該当します。
ここで最も見落とされやすいのが次の点です。
| 誤解 | 実際 |
|---|---|
| 9月11日以降に発売する製品だけが対象 | すでにEU市場にある製品も対象。過去に販売した製品で悪用が判明した場合も報告が要る |
| ハードウェア製品だけの話 | ソフトウェア単体も「デジタル要素を持つ製品」に含まれる |
| 自社は直接輸出していないので無関係 | 部品やソフトウェアとして組み込まれた最終製品がEUで売られていれば、製造者から情報提供を求められる |
3番目は日本の部品・ソフトウェアサプライヤーに直接効いてきます。契約上の義務として、24時間以内の一次連絡を求められる可能性があります。取引先から要求が来る前に、自社が何を何時間以内に出せるかを整理しておいてください。
24時間・72時間・14日の期限
報告は一度きりではなく、段階的に情報を足していく設計です。
| 期限 | 提出するもの | 内容の粒度 |
|---|---|---|
| 24時間以内 | 早期警告 | 悪用されている脆弱性を認識したこと、影響を受ける製品、判明している範囲の状況 |
| 72時間以内 | 脆弱性の通知 | 脆弱性の説明と、講じた／利用可能な是正・緩和措置 |
| 14日以内 | 最終報告 | 脆弱性の詳細、関与した攻撃者、修正方法、緩和措置 |
重大インシデント（製品のセキュリティに影響する事象）の場合も24時間・72時間の流れは同じですが、最終報告は1か月以内になります。
起算点は「認識したとき」です。社内で誰が「認識した」と判断するかを決めていないと、24時間の計測が始められません。ここが実務上の最大の論点になります。
何を報告するか
報告の対象は2種類です。
- 実際に悪用されている脆弱性：自社製品に含まれる脆弱性が、現に攻撃に使われていると把握した場合
- 重大インシデント：製品のセキュリティに影響を及ぼす事象
提出先はENISAと、各国のCSIRT（コーディネーターとして指定されたもの）です。単一報告プラットフォームを通じて提出すると、両者が同時にアクセスできます。
なお、単に脆弱性が見つかっただけでは対象になりません。悪用が確認されているかどうかが分岐です。この判断を誰が下すかも、体制として決めておく必要があります。
9月までに用意するもの
残された時間は多くありません。優先度の高い順に挙げます。
| 優先度 | 用意するもの | 理由 |
|---|---|---|
| 高 | 対象製品の一覧 | EU市場に出ている自社製品（過去分を含む）が分からないと、報告要否を判断できない |
| 高 | 「認識」の判断者と連絡経路 | 24時間の起算点を決める人。不在時の代理まで |
| 高 | 24時間以内に出せる様式 | ゼロから書き始めると間に合わない。空欄を埋めれば出せる形にしておく |
| 中 | 脆弱性情報の受付窓口 | 外部からの報告を受け取れる連絡先を公開しておく |
| 中 | 製品構成（SBOM）の把握 | 使っているOSSに脆弱性が出たとき、影響製品を即座に特定できる |
| 中 | 取引先との連絡取り決め | 部品供給側なら、製造者へ何時間以内に連絡するかを合意しておく |
とくに3番目が効きます。24時間という期限は、様式を用意していない組織にはほぼ守れません。先に書式を作り、机上で1回書いてみることをおすすめします。手順はインシデント対応計画の作り方と共通です。
日本企業が詰まりやすい点
- 時差：24時間の期限に土日祝や夜間が挟まります。日本時間の金曜夜に把握した場合を想定した当番体制が要ります
- 英語での提出：報告は英語で行うことになります。テンプレートを日本語で作り、英訳を用意しておくと初動が速くなります
- 「悪用されている」の判断：技術部門だけでは決められないことがあります。判断者と、迷ったときのエスカレーション先を決めてください
- 過去製品の把握：現行品のリストはあっても、販売終了品がEU市場に残っている状況を管理できていない企業が多くあります
- サプライヤーからの情報：自社製品に組み込んだ他社部品の脆弱性は、供給元からの連絡がないと分かりません。契約に連絡義務を入れておく必要があります
これらはいずれも制度の理解ではなく社内の段取りの問題です。9月11日までに整うかどうかは、技術力ではなく着手の早さで決まります。
よくある質問
EU CRAの報告義務はいつから始まりますか？
2026年9月11日から適用されます。CRA全体の適用は2027年12月11日ですが、報告義務だけが先行して始まります。
新しく発売する製品だけが対象ですか？
いいえ。すでにEU市場に出ている製品も対象です。過去に販売した製品で実際に悪用されている脆弱性が判明した場合も、報告の対象になります。この点が見落とされやすい部分です。
報告の期限はどうなっていますか？
段階的です。実際に悪用されている脆弱性を把握してから24時間以内に早期警告、72時間以内に是正・緩和措置を含む通知、14日以内に最終報告を行います。重大インシデントの場合は最終報告が1か月以内になります。
どこへ報告するのですか？
ENISAと、各国のCSIRT（コーディネーターとして指定されたもの）です。単一報告プラットフォームを通じて提出すると、両者が同時にアクセスできる仕組みになっています。
日本企業でも対象になりますか？
EU市場にデジタル要素を持つ製品を出している場合は対象です。自社が直接輸出していなくても、部品やソフトウェアとして組み込まれ最終製品がEUで販売されているなら、製造者からの情報提供要請という形で影響が及びます。
24時間以内に何を書けばよいのですか？
早期警告の段階では、詳細な原因分析までは求められません。悪用されている脆弱性を認識したこと、影響を受ける製品、判明している範囲の状況を伝えるものです。72時間・14日の段階で内容を補完していく設計になっています。
まとめ
EU CRAの報告義務は2026年9月11日から適用されます。実際に悪用されている脆弱性を認識してから、24時間以内に早期警告、72時間以内に通知、14日以内に最終報告という段階的な期限です。
すでにEU市場にある製品も対象である点、そして24時間の起算点となる「認識」を誰が判断するかが実務上の要になります。まずEU市場に出ている自社製品の一覧（販売終了品を含む）を作り、24時間以内に提出できる様式を用意してください。制度の理解より、社内の段取りを先に固めることが期限に間に合わせる近道です。