【3分でわかる】欧州サイバーレジリエンス法（CRA）の概要とメーカーが備えるべき対策
近年、インターネットに接続されるIoT機器や産業用ネットワーク機器の普及に伴い、サイバーセキュリティの重要性がかつてなく高まっています。本記事では、欧州連合（EU）で新たに施行された「サイバーレジリエンス法（CRA）」について、その背景や対象となる製品、メーカーに求められる具体的な義務について、国内企業の皆様に向けてわかりやすく解説します。
2. なぜCRAが制定されたのか？（背景と目的）
CRA制定の背景には、サイバー攻撃の高度化と被害の深刻化があり、主に以下の4つの狙いが込められています。
- サプライチェーン全体のリスク低減： セキュリティの脆弱性は消費者だけでなく、サプライチェーンに関わる企業全体にとっての重大なリスクとなっています。
- 重要インフラと人命の保護： デジタル技術の普及により、悪意のある国家やハッカー集団が病院や行政機関などの「重要インフラ」を標的にしやすくなっています。これらが機能停止に陥れば、深刻な社会的混乱や人命に関わる事態を招く恐れがあります。
- 「セキュア・バイ・デフォルト」の義務化： これまではセキュリティ対策の責任を消費者やユーザーに依存する側面がありました。CRAはこれを転換し、メーカーに対し「製品のライフサイクル全体を通じた安全管理義務」を課すことで、セキュリティの責任を製造者側に移す（リバランスする）ことを求めています。
- グローバルスタンダードの主導： 本法案には、EUがサイバーセキュリティ分野における世界のルール形成をリードし、国際的な基準を牽引するという戦略的な意図も含まれています。
5. メーカーに求められる具体的な義務
CRAの適用に伴い、メーカーは設計段階から市場投入後まで、以下のような厳格なコンプライアンス対応が求められます。
- 自動セキュリティアップデートの実装: セキュリティ更新プログラムはデフォルトで自動的に適用される仕組みが必要です（ユーザー側でのオプトアウトは可能）。また、可能な限り新機能の追加とは分離し、セキュリティ更新のみを独立して行える設計にすることが求められます。
- インシデントの迅速な報告義務: サイバー攻撃などの重大なインシデントや脆弱性を把握した場合、メーカーは24時間以内にEUのサイバーセキュリティ機関（ENISA）に報告し、解決に向けた措置を講じる義務があります。（※前述の通り、この義務は2026年9月より先行適用されます）
- リスク評価と文書の長期保管: 製品を市場に投入する前にサイバーリスク評価を実施し、販売後10年間（またはサポート期間のうち長い方）、関連する技術文書やデータインベントリを保管・維持する必要があります。
- 外部監査（重要製品の場合）: 対象製品の約90%はメーカー自身による自己評価が可能ですが、セキュリティ要件が「特に重要（クリティカル）」と分類される製品については、外部機関による厳格な監査（審査）を受ける必要があります。
7. おわりに
サイバーレジリエンス法（CRA）は、EU市場に向けた製品展開を行う国内企業にとっても決して対岸の火事ではありません。多額の制裁金リスクを回避し、顧客からの信頼を維持・向上させるためには、2027年末の全面適用開始、および2026年9月の報告義務化に向け、現在の開発体制やサポート体制の抜本的な見直しと準備を早期に進めることが不可欠です。
