【第1回】欧州サイバーレジリエンス法（CRA）とは？ 電気電子機器メーカーが知るべき全体像と対象製品

はじめに

あらゆる機器がインターネットやネットワークに接続される今日、IoT機器を狙ったサイバー攻撃が世界中で激化しています。ひとたび製品の脆弱性が突かれれば、個人のプライバシー侵害にとどまらず、企業のサプライチェーン全体が停止する大規模なインシデントに発展するリスクがあります。 

こうした背景から、欧州連合（EU）は、デジタル要素を含む製品に対して横断的なサイバーセキュリティ要件を課す先駆的な法規制として、「欧州サイバーレジリエンス法（Cyber Resilience Act：以下、CRA）」を制定しました。」

CRA（欧州サイバーレジリエンス法）の目的と基本概要

CRAは、EU市場に投入される「デジタル要素を含む製品」に対して、CRAは、EU市場に上市される「デジタル要素を含む製品」に対し、設計・開発・製造段階から、上市後のサポート期間中の脆弱性対応まで、製品ライフサイクルを通じたサイバーセキュリティ対応を求めるEU規則です。

重要な適用スケジュール

CRAは既に法制化のプロセスを終え、発効しています。メーカーは以下のスケジュールに向けて、直ちに社内体制の構築を始める必要があります。

• 2024年12月10日：発効（EU官報への掲載を経て発効済み）
• 2026年9月11日：現に悪用されている脆弱性、および製品のセキュリティに影響する重大インシデントに関する報告義務の適用開始（発効から21ヶ月後）
• 2027年12月11日：CRAの全面適用開始（発効から36ヶ月後）

適用対象となる「デジタル要素を含む製品」とは

CRAの適用範囲は極めて広範です。「デジタル要素を含む製品」とは、デバイスまたはネットワークと直接または間接に論理的・物理的なデータ接続を行うソフトウェアまたはハードウェア製品をいいます。これには、別途上市されるソフトウェア／ハードウェアコンポーネントや、製品機能に不可欠な遠隔データ処理ソリューションも含まれます。

【具体的な対象製品の例】

• パソコン、スマートフォン、タブレット
• スマート家電（スマートTV、ネットワークカメラ、スマート冷蔵庫など）
• ルーター、モデムなどのネットワーク機器
• 産業用IoT機器、制御システム（PLC、センサー機器など）
• 組み込みソフトウェア、OS、ファームウェア
• アプリストア経由で提供されるモバイルアプリ
• 製品の機能の一部を実行するために必須となる「遠隔データ処理ソリューション」

製品自体が直接インターネットに接続していなくても、OSや他のネットワーク機器を介して間接的に接続される製品も対象となります。ハードウェアメーカーは「自社は部品を作っているだけだから」と看過することはできません。

適用対象外となる製品

すでに別の厳格な欧州法規制によってサイバーセキュリティが担保されている分野については、CRAの対象外（あるいは一部要件の免除）となります。

• 医療機器（MDR/IVDRの対象）
• 自動車および関連部品（UN-R155などの対象）
• 民間航空機
• 製品機能を支えるものではない純粋なSaaSや、メーカーの責任外で設計・開発されたクラウドサービスは、通常、CRA上の「デジタル要素を含む製品」には該当しません。ただし、製品の一機能を実行するために不可欠で、メーカーが設計・開発した、またはメーカーの責任下にある遠隔データ処理ソリューションは、CRA対象に含まれます。なお、SaaS、PaaS、IaaS等のクラウドサービス事業者は、要件を満たす場合、NIS2指令の対象となり得ます。

• 非営利目的で開発・提供されるオープンソースソフトウェア（OSS）

違反時の巨額の罰則と事業上のリスク

CRAの要件を満たさない製品はCEマークを貼付できず、EU市場への投入・流通が禁止されるだけでなく、違反した企業には非常に重い罰金が科せられます。

• 必須セキュリティ要件への違反：最大1,500万ユーロ（約24億円）、または全世界の年間売上高の2.5％のいずれか高い方。
• 一定の義務違反に最大1,000万ユーロまたは2%
• 当局への不正確な情報の提供等：最大500万ユーロ、または全世界の年間売上高の1％のいずれか高い方。

まとめ

第1回では、CRAの全体像と対象範囲について解説しました。
第2回では、製品の開発・設計段階でメーカーに義務付けられる「必須セキュリティ要件」と「SBOM（ソフトウェア部品表）」について深掘りしていきます。

関連情報