CRAのサイバーセキュリティ必須要件

附属書Iの構成

附属書Iは二部構成です。第I部は製品、第II部は製造業者の脆弱性対応プロセスを扱います。第6条が両者を結び付けており、製品が市場投入できるのは、該当する第I部の要件を満たし、かつ製造業者のプロセスが第II部を満たす場合です。

第13条は、製造業者にサイバーセキュリティリスク評価を求めています。この評価によって、第I部の要件を製品にどう適用するかが決まります。

第I部：製品のサイバーセキュリティ特性

第I部はまず製品全体に求める結果を示し、続いてサイバーセキュリティリスク評価に基づいて、該当する場合に適用されるセキュリティ特性を列挙しています。CRAは多様なソフトウェア、ハードウェア、コンポーネント、製品機能を支えるリモートデータ処理を対象とするため、この一覧は幅広い内容です。

デジタル要素を備えた製品は、リスクに基づき適切なレベルのサイバーセキュリティを確保できるように設計、開発、製造しなければならない。

規則（EU）2024/2847、附属書I、第I部(1)

消費者向けアプリ、産業用VPN、再利用可能なハードウェアコンポーネントでは、同じ文言の要件であっても直面するリスクが異なる場合があります。リスク評価では、その製品に第I部の要件をどう適用するか、また製造業者が要件を適用対象外と判断する場合はその理由を説明します。

第I部では主に、製品が次のことを実現できるかを確認します。

• 既知の悪用可能な脆弱性がなく、安全な初期設定を備えた状態で市場に出せること。
• セキュリティ更新を通じて脆弱性に対処できること。製品に適する場合は自動更新も含みます。
• アクセス、機密性、完全性、可用性、コマンド、プログラム、構成、処理データを保護すること。
• 攻撃対象領域を制限し、インシデントの影響を低減すること。
• ユーザーが記録を無効にできる仕組みを設け、関連するセキュリティ活動を記録・監視すること。
• ユーザーがデータと設定を安全に削除できること。データ転送機能がある場合は、安全に転送できること。

これらは製品に求められる特性であり、一律の実装方法を定めるものではありません。同じ要件でも、消費者向け機器、業務用ネットワーク製品、SDK、他の製品への組込みを想定したファームウェアでは、技術的な選択が異なる場合があります。

第II部：脆弱性対応

第II部は製造業者のプロセスを扱います。製品の市場投入時からサポート期間の終了まで適用されます。また、製品に含まれるコンポーネントの脆弱性も対象となるため、コンポーネントの可視性と上流の提供者との連絡が重要です。

規格と証拠

整合規格による適合性の推定は、該当する参照先が欧州連合官報に掲載された場合に限り得られます。草案、対応表、業界規格も証拠として役立ちますが、第13条が求める製品固有のリスク評価に代わるものではありません。

欧州委員会のCRA標準化要請M/606は、欧州標準化機関に分野横断的規格と垂直規格の策定を求めています。実施FAQでは、リスクベースの製品枠組み、第I部の製品特性、第II部の脆弱性対応に関する分野横断的な成果物と、重要製品およびクリティカル製品カテゴリー向けの垂直規格が説明されています。

技術文書では、選択した規格やその他の技術的対策が、製品について特定されたリスクにどう対処するかを説明します。さらに、どの製品特性と脆弱性対応プロセスがそれらの対策を実装するかを示します。

参照： prEN 40000-1-4 公開資料 で計画中の汎用セキュリティ要件規格に関する最新の公開資料を確認できます。また、 prEN 40000-1-3 脆弱性対応 で脆弱性対応の最新草案を確認できます。