EUサイバーレジリエンス法に基づく適合性評価

評価対象

製造業者は、デジタル要素を備えた製品と製造業者が導入したプロセスについて適合性評価を行い、附属書Iに定めるサイバーセキュリティ必須要件が満たされているかを判断しなければならない。

規則（EU）2024/2847、第32条(1)

第32条は附属書Iの両面を対象とします。製品は第I部の製品サイバーセキュリティ要件を満たす必要があります。製造業者の脆弱性対応プロセスは第II部を満たさなければなりません。

肯定的な評価は、技術文書、EU適合宣言、CEマーキングの根拠となります。製品カテゴリーを変更するものではありません。利用可能な評価手続きはカテゴリーによって決まります。

適合性評価手続き

第32条は四つの手続きを定めています。主に製品カテゴリー、整合規格または共通仕様の利用状況、該当するサイバーセキュリティ認証制度を利用できるかどうかによって、適切な手続きが決まります。

分類と手続きの選択

通常製品は内部管理を利用できます。重要製品とクリティカル製品には、より厳格な評価手続きが適用されます。クラスI製品でも、該当する要件が関連規格、共通仕様、認証によって完全にカバーされない場合は、より厳格な手続きが必要です。

規格と認証

第27条は、規格、共通仕様、サイバーセキュリティ認証が適合性をどう支えるかを説明します。これらは同じものではなく、法的効果も一律ではありません。

• 整合規格による適合性の推定は、公示された規格の参照先が対象とする附属書Iの要件に限られます。
• 共通仕様も、その仕様が対象とする要件について適合性の推定をもたらす場合があります。
• 欧州サイバーセキュリティ証明書も、対象となる要件について適合性の推定をもたらす場合があります。
• 第27条(9)に基づく委任法令で指定された証明書は、保証レベルが少なくとも実質的である場合、該当要件に関する第三者評価を不要にする場合があります。

文書、適合宣言、CEマーキング

製品を市場投入する前に、製造業者は技術文書とEU適合宣言を作成します。適合宣言は、該当する附属書Iの要件が満たされたことを確認します。サポート期間中は、必要に応じて文書を更新しなければなりません。

• 技術文書には、製品とプロセスが附属書Iを満たすことを示すために用いたデータまたは詳細を含めます。
• EU適合宣言には附属書Vの様式を用います。該当する場合は、附属書VIの簡略手続きを利用できます。
• CEマーキングは市場投入前に付します。ソフトウェアの場合、適合宣言上、またはソフトウェア製品に付随するウェブサイト上に表示できます。
• モジュールHを利用する場合、CEマーキングに続けて通知機関の識別番号を表示します。