【第1回】欧州サイバーレジリエンス法（CRA）とは？電気電子機器メーカーが知るべき全体像と対象製品

はじめに

あらゆる機器がインターネットやネットワークに接続される今日、IoT機器を狙ったサイバー攻撃が世界中で激化しています。ひとたび製品の脆弱性が突かれれば、個人のプライバシー侵害にとどまらず、企業のサプライチェーン全体が停止する大規模なインシデントに発展するリスクがあります。

こうした背景から、欧州連合（EU）は世界で初めて、デジタル製品に対する包括的なサイバーセキュリティ法規制「欧州サイバーレジリエンス法（EU Cyber Resilience Act：以下、CRA）」を制定しました。

本ブログシリーズでは、電気電子機器メーカーの設計・開発・品質保証・経営企画の皆様に向けて、CRAによって何が義務付けられ、どのような対策を打つべきかを全5回にわたって事実に基づき詳細に解説します。

CRA（欧州サイバーレジリエンス法）の目的と基本概要

CRAは、EU市場に投入される「デジタル要素を含む製品」に対して、開発から運用、廃棄に至るライフサイクル全体でのサイバーセキュリティ要件を義務付けるEUの規則（Regulation）です。

本法の最大の特徴は、「セキュリティ要件に適合し、CEマークを貼付しなければ、EU市場での販売が一切できなくなる」という点です。これは欧州に製品を輸出する日本の電気電子機器メーカーにとって、単なる努力義務ではなく、ビジネスの存続に関わる強制力を持った法規制です。

CRAは既に法制化のプロセスを終え、発効しています。メーカーは以下のスケジュールに向けて、直ちに社内体制の構築を始める必要があります。

特に注意すべきは、全面適用の1年以上前である「2026年9月」から、重大な脆弱性やインシデントの報告義務が先行して課される点です。

CRAの適用範囲は極めて広範です。「デジタル要素を含む製品（Products with digital elements）」とは、デバイスまたはネットワークに対して論理的・物理的にデータ接続を行うハードウェアおよびソフトウェアを指します。

製品自体が直接インターネットに接続していなくても、OSや他のネットワーク機器を介して間接的に接続される製品も対象となります。ハードウェアメーカーは「自社は部品を作っているだけだから」と看過することはできません。

すでに別の厳格な欧州法規制によってサイバーセキュリティが担保されている分野については、CRAの対象外（あるいは一部要件の免除）となります。

（※これらは主に「NIS2指令」の対象となります）

（※ただし、メーカーが自社の商用製品に組み込む場合は、メーカー側にCRAの要件を満たす責任が生じます）

CRAの要件を満たさない製品はCEマークを貼付できず、EU市場への投入・流通が禁止されるだけでなく、違反した企業には非常に重い罰金が科せられます。

第1回では、CRAの全体像と対象範囲について解説しました。
第2回では、製品の開発・設計段階でメーカーに義務付けられる「必須セキュリティ要件」と「SBOM（ソフトウェア部品表）」について深掘りしていきます。