CRA第14条の報告準備

報告前の準備

インシデントが発生する前に、製造業者は対象製品、報告を提出できる担当者、報告を受け取る調整CSIRT、製品を供給したEU加盟国を把握しておく必要があります。

調整CSIRT

通知は、製造業者のEU域内の主たる事業所が所在する加盟国で調整CSIRTに指定されたCSIRTの電子通知窓口を使って提出し、同時にENISAがアクセスできる状態にしなければなりません。

規則（EU）2024/2847、第14条(7)

EU域内の製造業者の場合、主たる事業所とは、その製品に関するサイバーセキュリティ上の意思決定が主に行われる加盟国内の事業所を指します。これを特定できない場合は、製造業者がEU域内に置く事業所のうち従業員数が最も多い事業所が所在する加盟国を基準とします。

EU域内に主たる事業所を持たない製造業者の場合、第14条(7)は、製造業者が利用できる情報を用いて、次の順序で調整CSIRTの加盟国を決定するよう求めています。

1. 当該製造業者の製品を最も多く担当する認定代理人が設立されている加盟国。
2. 当該製造業者の製品を最も多く市場投入する輸入業者が設立されている加盟国。
3. 当該製造業者の製品を最も多く市場で入手可能にする販売業者が設立されている加盟国。
4. 当該製造業者の製品を使用するユーザーが最も多く所在する加盟国。

加盟国ごとの製品供給

24時間以内の早期警告では、影響を受ける製品が供給されたことを製造業者が把握している加盟国を示すよう求められます。SRPは、製品を入手できる他の加盟国を担当するCSIRTにも情報を振り分けます。

• EU域内での直接販売と販売業者経由の供給；
• EUのユーザーが利用するマーケットプレイス、アプリストア、ダウンロード経路；
• 特定の加盟国で製品を市場投入、または入手可能にする輸入業者と販売業者；
• 報告内容に影響する製品バージョン、ファームウェアリリース、クラウド依存機能、モデルのバリエーション。

報告データの準備

ENISAは、SRPを単一の受付窓口として説明しています。製造業者は一度提出すれば、プラットフォームが調整CSIRTとENISAに通知を振り分けます。ただし、報告には社内の製品情報とセキュリティ情報を準備しておく必要があります。

• 通知の提出を許可されている担当者；
• 影響を受ける製品、バージョン、コンポーネント、またはサービス機能；
• 事象が現に悪用されている脆弱性と重大インシデントのどちらに該当するか；
• 判明している事実、調査中の事項、利用可能な緩和策；
• 影響を受ける可能性のあるユーザーまたは加盟国；
• 第14条で求められる場合に、影響を受けるユーザーへ通知する方法。

報告対象事象の認識

報告が義務となる条件は 脆弱性の報告で説明しています。製造業者は24時間および72時間の期限を守れるよう、該当する事象を速やかに認識する必要があります。