EUサイバー・レジリエンス法、報告義務が適用開始 悪用脆弱性は24時間以内に早期警告
欧州連合（EU）のサイバー・レジリエンス法（Cyber Resilience Act、CRA）で、製品のサイバーセキュリティに関する報告義務が2026年9月11日から適用されました。
EU市場で「デジタル要素を持つ製品」を提供するメーカーは、実際に悪用されている脆弱性や、製品のセキュリティに重大な影響を与えるインシデントを認識した場合、EUサイバーセキュリティ機関（ENISA）の単一報告プラットフォーム（Single Reporting Platform＝SRP）を通じて報告する必要があります。ENISAは同日、SRPの初期運用機能を展開し、報告受付を開始しました。
重要なのは、CRA全体の主要義務の適用開始は2027年12月11日である一方、第14条の報告義務だけは1年以上早く始まったことです。日本企業にとっても、EU向けIoT機器、ネットワーク製品、組み込みソフトウェア、各種デジタル製品を扱う場合は、すでに実務対応が必要な段階に入っています。
カバー画像：欧州委員会ビル前のEU旗。Photo: Sébastien Bertrand / Wikimedia Commons / CC BY 2.0。画像は記事テーマの参考イメージです。
EUサイバー・レジリエンス法、2027年を待たず報告義務が開始
CRAはRegulation (EU) 2024/2847として2024年12月10日に発効しました。主要な製品セキュリティ要件は2027年12月11日から全面的に適用されますが、第71条は例外として、第14条の報告義務を2026年9月11日から適用すると定めています。
そのため、「CRAの本格対応は2027年までに行えばよい」という理解では不十分です。適合性評価やCEマーキングなどの主要義務とは別に、脆弱性・インシデント報告の体制はすでに稼働していなければなりません。
24時間、72時間、最終報告――3段階の期限
第14条が求める報告は、すべての脆弱性ではありません。対象となるのは、メーカーが把握した「実際に悪用されている脆弱性（actively exploited vulnerability）」と、製品のセキュリティに重大な影響を与える「重大インシデント（severe incident）」です。
24時間以内：認識後、不当な遅延なく早期警告を提出。
72時間以内：脆弱性またはインシデントの概要、利用可能な是正・軽減措置などを含む本通知を提出。
悪用脆弱性の最終報告：是正または軽減措置が利用可能になってから14日以内。
重大インシデントの最終報告：72時間通知の提出から1か月以内。
報告はSRPを通じて一度行い、該当する加盟国のCSIRTとENISAへ共有されます。SRPは9月11日時点で利用可能になっています。
過去にEU市場へ出した製品も対象
注意したいのは、新製品だけが対象ではない点です。CRA第69条3項は、第14条の報告義務について、2027年12月11日より前にEU市場へ投入された対象製品にも適用すると定めています。
ENISAの最新FAQによると、メーカーが2026年9月11日より前から悪用の事実をすでに認識していた脆弱性を遡って報告する必要はありません。一方、既存の脆弱性であっても、悪用されていることを9月11日以降に初めて認識した場合は報告義務が生じます。
EU域外の日本メーカーは、どこに報告するのか
EU域内に主要拠点を持たないメーカーについても、第14条は報告先の決め方を定めています。EU域内の主要拠点がない場合は、原則として次の順序で関係する加盟国のCSIRTを特定します。
最も多くの対象製品を担当する認定代理人が所在する加盟国
最も多くの製品を市場投入する輸入者が所在する加盟国
最も多くの製品を提供する販売業者が所在する加盟国
それでも決まらない場合、対象製品の利用者が最も多い加盟国
日本企業だから対象外になる制度ではありません。EU市場に製品を提供しているメーカーは、自社がどのCSIRT経由で報告することになるのかを事前に整理しておく必要があります。
違反時は最大1,500万ユーロまたは世界売上高2.5％
CRA第64条では、加盟国が違反に対する制裁ルールを整備するとしています。第13条および第14条の義務違反については、行政制裁金の上限を1,500万ユーロ、または企業の場合は前年度の世界年間売上高の2.5％のうち高い方と定めています。
ただし、実際の制裁運用は各加盟国の執行制度に従います。また、マイクロ企業・小規模企業については、24時間の報告期限を満たせなかったことだけを理由とする制裁金には例外があります。
日本企業が今確認すべきこと
実務上のポイントは、法務部門だけで完結しないことです。24時間という期限は、海外営業や法務が事後的に情報を受け取る体制では間に合わない可能性があります。
EU市場に提供している製品のうち、CRAの対象となる「デジタル要素を持つ製品」を整理する
脆弱性・インシデントを最初に把握する開発、CSIRT、SOC、品質保証部門からの社内連絡経路を決める
24時間・72時間の時計をいつ開始するか、社内判断責任者を決める
EU域内の報告先CSIRTとSRPの利用担当者を確認する
既存製品やレガシー製品も対象リストから漏れていないか確認する
ACIMA WORLD NEWSの視点
今回のポイントは、CRAを「2027年に始まる規制」とだけ捉えると、すでに始まった報告義務を見落とすことです。9月11日を境に、CRAは将来の準備課題ではなく、実際のインシデント対応フローに組み込むべき運用ルールになりました。特にEU域外企業にとっては、EUのどの当局へ報告するのかまで事前に決めておかなければ、24時間の期限は極めて短いものになります。
ACIMA WORLD NEWSでは今後、SRPの運用状況、欧州委員会・ENISAの追加ガイダンス、加盟国ごとの執行・制裁ルール、そして日本企業への具体的な適用事例を追跡します。
一次情報
海外規制の一次情報を確認する必要がある企業へ
海外の規制・政府発表・企業情報について、原文や現地情報まで確認して日本語で整理する必要がある場合は、アシーマの海外情報リサーチをご利用いただけます。
コメント