EU「サイバーレジリエンス法（CRA）」の概要、対象者、対応が必要な要件と期限を解説

要点

• EUで導入された「サイバーレジリエンス法（CRA）」の概要と、ソフトウェア開発チームが対応すべきセキュリティ要件やスケジュールを整理して解説する。
• EU市場で販売されるデジタル要素を持つすべてのハードウェアおよびソフトウェア製品に対し、横断的なセキュリティ基準を義務付ける。
• 製品ライフサイクルを通じた脆弱性管理や、機械読み取り可能なSBOM（ソフトウェア部品表）の作成が法的に義務化される。
• 2027年12月の全面施行に先立ち、2026年9月からは悪用された脆弱性や重大なインシデントに対する24時間以内の報告義務が適用される。

導入

近年、デジタル製品を標的としたサイバー攻撃の頻発と被害拡大を受け、EU（欧州連合）は包括的なセキュリティ規制「サイバーレジリエンス法（CRA: Cyber Resilience Act）」を導入しました。これは欧州市場に流通するハードウェアおよびソフトウェアのセキュリティ水準を向上させる、初めての横断的な法的枠組みです。本記事では、この新たな規制が対象とする範囲や具体的な要求事項、そして対応スケジュールについて整理して解説します。

EUの「サイバーレジリエンス法（CRA）」とは

CRAは、EUにおいてデジタル要素を持つ製品に対して初めて横断的なサイバーセキュリティ基準を設定する規制です。規制の対象となる「デジタル要素を持つ製品」には、スマート家電のような消費者向けIoTデバイスから、企業向けのエンタープライズデータベース、そしてコンテナランタイムにいたるまで、極めて広範なハードウェアとソフトウェアが含まれます。

本規制は「製品のセキュリティ」を対象としており、この点が「特定の重要組織や事業者」のセキュリティ対策を義務付ける別のEU規制「NIS2（重要組織のセキュリティ強化を目的とした規制）」との違いです。SaaS（クラウド経由でソフトウェアを提供するサービス）やPaaSなどのクラウドサービスは原則としてNIS2の管轄になります。しかし、CRAのガイドライン案が示す3つの条件である「処理がリモートか」「中核機能が失われるか」「製造元がそのコンポーネントを設計・制御しているか」のすべてを満たす場合は、CRAの対象に含まれることになります。

規制が適用される対象者と役割

CRAでは、製品の市場投入に関わる立場に応じて義務が設定されています。

• 製造元：最も重い義務を負います。市場投入前のセキュリティ要件への適合性評価を実施し、「CEマーク（製品がEUの基準に適合していることを示す表示）」を貼付し、適合宣言書を添付する必要があります。さらに、製品のライフサイクル全体で脆弱性に対応し、重大なインシデントが発生した際には当局に報告する義務があります。
• 輸入元・販売元：製造元がCRAの義務を遵守していることを確認し、文書の保持や、製品の不適合や脆弱性を認識した際の対応を行います。
• オープンソース・ソフトウェア・スチュワード：商業活動に使われるオープンソースソフトウェアを体系的に支援する非営利団体などがこれに分類されます。簡素化された義務（ポリシー策定や脆弱性管理など）が適用され、違反時の罰金は免除されます。

CRAが求める主要なセキュリティ要件

CRAが求める要件は、大きく「設計段階でのセキュリティ」と「脆弱性管理」の2つに分かれています。

• 設計段階でのセキュリティ（セキュリティ・バイ・デザイン）：リスク評価に基づく設計、デフォルトで安全な設定、不要な機能の排除による攻撃領域の最小化、データの暗号化、データ最小化などが求められます。
• 脆弱性管理とSBOMの作成：製品サポート期間中の脆弱性の特定・修正プロセスの維持が必要です。また、製品に含まれるすべてのソフトウェア部品や依存関係を一覧にした「SBOM（ソフトウェア部品表：ソフトウェアに含まれる構成部品や依存関係を一覧にしたリスト）」を、機械読み取り可能な形式（SPDXやCycloneDXなど）で作成し、技術文書に含めなければなりません。SBOMは公開の義務はありませんが、当局の要請があれば開示する必要があります。
• インシデントと脆弱性の報告義務：製品で悪用された脆弱性や重大なインシデントが発生した場合、24時間以内の早期警告、72時間以内の詳細報告、そして修正措置提供後14日以内（脆弱性の場合）または72時間報告から1か月以内（インシデントの場合）の最終報告が義務付けられます。

適合性評価と不適合時のペナルティ

市場への製品投入前には、セキュリティ要件を満たしているかを確認する「適合性評価」が必要です。評価手順はリスクの高さ（3段階）で決まり、コンテナランタイムなどの重要なカテゴリ（Important Class II）に該当する製品は、第三者機関による評価が必要です。

要件に違反した場合は、最大1500万ユーロ（または世界の年間総売上高の2.5%のいずれか高い方）の罰金や、製品の回収・販売禁止などのペナルティが科されます。ただし、小規模企業は早期警告の遅れに対する罰金が免除されます。

オープンソースソフトウェアの扱い

商業活動を伴わないフリーのオープンソースや個人の開発活動は対象外です。しかし、有料サポートの提供や商用レジストリによる配布など、商業モデルでオープンソースソフトウェアを提供する組織は「製造元」に分類され、CRAのすべての義務を負うことになります。

コンテナ開発チームへの影響

コンテナイメージやランタイムを商業的にEU市場へ提供している場合、開発チームは「製造元」としてCRAの対象になります。不要なツールやパッケージを排除して攻撃面を減らす「イメージの最小化（イメージ・ハーデニング）」、ビルド時のSBOM生成、脆弱性監視、イメージの改ざんを防ぐ電子署名の導入、サポート期間の設定などが求められます。

CRAの施行スケジュール

CRAは2024年12月10日に正式に発効しましたが、段階的に適用されます。

• 2026年6月11日：加盟国による通知当局の指定と、適合性評価機関による審査の受付開始。
• 2026年9月11日：悪用された脆弱性と重大インシデントの報告義務が開始。ここが注意すべきポイントですが、この報告義務は、市場にすでに流通している既存の製品にも遡及して適用されます。
• 2027年12月11日：CRAが全面施行され、設計段階のセキュリティ要件、SBOMの同梱、適合性評価、CEマーク貼付などが完全に義務化されます。

CRAはEU市場に製品を提供する世界のあらゆる組織に適用されるため、早期の準備が必要です。