EUサイバーレジリエンス法の概要

目的と構成

CRAは、対象範囲の条件を満たす消費者向け製品と産業用製品に適用されます。まず製品を特定し、除外規定が適用されるかを確認します。そのうえで、製造業者の義務と利用できる適合性評価手続きが、その事業者の役割と製品の分類に応じて決まります。

以下のトピックページでは、製品ごとの評価に必要な法的定義、例、出典を示しながら、これらの問いを一つずつ解説します。

基本概念

目的に応じた読み方

製品責任者、セキュリティエンジニア、適合性評価チームでは、規則のうち必要となる箇所が異なります。次の読み方は、それぞれの責任に合わせたものです。

• 製品・コンプライアンス責任者：供給する製品とバージョンを特定し、CRAの適用有無、法的な役割、製品カテゴリー、関連する適用日を確認します。
• セキュリティ・エンジニアリングチーム：アーキテクチャ、資産、信頼境界、コンポーネント、更新設計をサイバーセキュリティリスク評価に結び付けます。
• 脆弱性対応チーム：コンポーネントと脆弱性の記録を維持し、製品への影響を評価して対策を準備し、関連する事実が判明した時点で第14条の報告要件に該当するかを判断します。
• 技術文書・評価チーム：製品固有の証拠をまとめ、規格と評価手続きを確認し、文書一式をリリース済みバージョンと整合させます。

たとえば、接続デバイスが組み込みファームウェア、アプリケーション、製造業者が管理するリモートデータ処理に依存する場合があります。まず製品の境界を定義し、その境界に基づいてリスク評価、コンポーネントの記録、文書を作成します。

製造業者向けの推奨閲覧順

最初に、製品が対象範囲に入るかを確認します。続くページでは、責任を負う事業者、製品カテゴリー、適用要件を解説します。報告規則は別途確認してください。第14条は、製品に関する主要要件より先の2026年9月11日から適用されます。

1. まず読む： 対象製品 と 市場投入 。
2. 経済事業者の役割を確認するには「 役割と義務 」を参照します。
3. 製品を分類するには 製品分類 と 規則2025/2392の技術的記述 を使って製品を分類します。
4. 製品およびプロセスに関する義務は サイバーセキュリティ必須要件 で製品およびプロセスの義務を確認します。
5. 関連規格については、 規格と整合規格 および 製品カテゴリー別の規格 を参照します。
6. 続いて、 サイバーセキュリティリスク評価、 技術文書 、 ユーザー向け情報と取扱説明を確認します。
7. 第14条に基づく報告の準備には、 脆弱性の報告 と 第14条の報告準備 を参照します。
8. 重要な日付を確認し、報告、適合性評価機関、移行期間、全面適用の各時期を区別します。

対象となる製品

本規則は、市場で入手可能なデジタル要素を備えた製品に適用されます。これらの製品は、その意図された目的または合理的に予見可能な使用において、デバイスまたはネットワークとの直接的もしくは間接的な論理的または物理的データ接続を含みます。

規則（EU）2024/2847、第2条(1)

デジタル要素を備えた製品には、ソフトウェア、ハードウェア、市場に個別に供給されるソフトウェアまたはハードウェアのコンポーネント、製品のリモートデータ処理ソリューションが含まれます。リモート処理が製品の一部となるのは、製造業者が設計・開発したか、その責任の下で設計・開発され、かつ、それがなければ製品の機能の一つを実行できない場合に限られます。

CRAにより、あらゆるデジタルサービスがデジタル要素を備えた製品になるわけではありません。製造業者の製品責任の範囲外にあるウェブサイトやクラウドサービスは、製品の動作に必要なリモート処理とは異なります。明示的な除外規定は対象範囲のページで、製品法令全般の背景は基本ページで扱います。

役割と製品カテゴリー

同じ製品について、製造業者、輸入業者、販売業者がそれぞれ義務を負う場合があります。製品分類では別の問い、すなわち利用できる、または必須となる適合性評価手続きを判断します。重要製品および重要なクリティカル製品のカテゴリーは、製品の中核的機能によって決まります。

• 通常の製品もCRAの対象ですが、通常は内部管理による適合性評価手続きを利用します。
• 重要製品は附属書IIIに列挙され、クラスIとクラスIIに分かれます。
• 重要なクリティカル製品は附属書IVに列挙され、認証またはより厳格な第三者評価手続きが求められる場合があります。
• 欧州委員会施行規則（EU）2025/2392は、重要製品および重要なクリティカル製品のカテゴリーについて技術的記述を定めています。

列挙されたカテゴリーに該当するコンポーネントを含むというだけで、その製品全体が重要製品または重要なクリティカル製品になるわけではありません。判断の基準は、製品全体がそのカテゴリーの中核的機能を持つかどうかです。

必須要件と規格

第6条は、製品と製造業者の脆弱性対応プロセスの双方に、附属書Iへの適合を求めています。附属書Iの二つの部では、これらの要件を別々に定めています。参照先が欧州連合官報に掲載された整合規格は、その規格が対象とする要件について適合性の推定を与えることがあります。

詳細ページでは、附属書Iの構成と、規格を適合性の証拠として活用する方法を説明します。 サイバーセキュリティ必須要件 および 規格と整合規格。

報告と脆弱性対応

脆弱性対応はライフサイクル全体にわたる義務です。報告義務は、特定の事象を契機として発生する、より限定された義務です。2026年9月11日以降、製造業者が製品で現に悪用されている脆弱性、または製品のセキュリティに影響する重大インシデントを認識した場合、第14条が適用されます。

• 早期警告：製造業者が認識してから24時間以内。
• 通知：製造業者が認識してから72時間以内。ただし、該当情報をすでに提出している場合を除きます。
• 現に悪用されている脆弱性に関する最終報告：是正措置または緩和策が利用可能になってから遅くとも14日以内。
• 重大インシデントに関する最終報告：72時間以内のインシデント通知から1か月以内。

主な日付

CRAは2024年11月20日に欧州連合官報で公示され、2024年12月10日に発効しました。適用は段階的に始まるため、報告義務と適合性評価機関に関する規則は全面適用より先に開始します。