← 戻る

KNOWLEDGE HUB

EU サイバーレジリエンス法(CRA)

デジタル要素を持つ製品に設計段階からのセキュリティを義務付ける、EU初の水平的な法律——重要な期限が目前に迫っています:2026年9月11日。

何か

サイバーレジリエンス法(規則(EU)2024/2847)は、『デジタル要素を持つ製品』——産業用PLCから商業的に配布されるオープンソースライブラリまで、ネットワークに接続されるほぼすべてのハードウェア・ソフトウェア——に義務的なサイバーセキュリティ要件を課す、EU初の水平的な規制です。

2024年12月10日に発効しました。製品がどこで製造されるかは関係なく、メーカーの本社所在地にかかわらず、EU市場に投入すること自体が義務を発生させます。

なぜ重要か(そしてなぜ今か)

任意の標準である62443や特定業界向けのCIPとは異なり、CRAはEU加盟27カ国すべてに直接適用される法律であり、実際の罰金が科されます。EU向けの産業製品を製造・統合する人なら誰もが覚えておくべき日付があります:2026年9月11日、活発に悪用されている脆弱性と重大なインシデントをENISAと管轄の国家CSIRTに報告する義務が始まる日です——早期警告24時間、トリアージ報告72時間、最終報告14日という期限が設定されています。

OT/ICSの世界にとってこれは直接関係があります:EUで販売されるPLC、HMI、産業用スイッチは、疑いなく『デジタル要素を持つ製品』です。

どのように構成されているか

• 製品ライフサイクル全体にわたる義務:設計段階からのセキュリティ、継続的な脆弱性管理、明示されたサポート期間(最低10年間の文書保管を含む)。
• インシデント報告(第14条):活発に悪用されている脆弱性と重大なインシデントを、ENISAの単一報告プラットフォームを通じて報告——2026年9月11日から、すでに市場に出ている製品も含めて適用される。
• 適合性評価とCEマーキング:重要度の高い製品は、販売前に notified body(認証機関)による評価が必要。
• 全面適用:2027年12月11日——適合性評価、EU適合宣言、技術文書一式を完了させる期限。

ベストプラクティス

• 2027年まで待たない:脆弱性報告義務は、市場から撤退しない限り既存(レガシー)製品を含めてすでに2026年9月から適用される。
• 62443についてすでに知っていることを活用する——CRAの整合規格(2026年第3四半期予定、CEN/CENELEC/ETSI経由)は、適合性推定のためにIEC 62443-4-1と4-2に大きく依拠すると見込まれる。すでに62443に取り組んでいるなら、ゼロからのスタートではない。
• 脆弱性モニタリングのプロセスとSBOM形式のインベントリを今すぐ構築する——2026年のインシデント報告と2027年の全面的なコンプライアンスの両方の基盤となる。

よくある間違い

• 自社がEUに拠点を置いていないという理由で『CRAは関係ない』と考えること——重要なのは工場の場所ではなくEU市場で販売するかどうか。
• 2027年だけを重要な日付として扱い、インシデント報告がすでに2026年から義務化されていることを見落とすこと。
• すでに市場に出ている製品は永久に適用除外だと想定すること——2027年12月以降の実質的な変更は適合義務を再び発生させ得る。