EUサイバーレジリエンス法に関するよくある質問

CRAの適用範囲に関する条件を満たす場合は、適用対象です。デジタル要素を備えた製品には、ソフトウェア、ハードウェア、製品の一部を構成するリモートデータ処理ソリューション、または単独で市場に投入されるソフトウェアもしくはハードウェアコンポーネントが含まれます。

製品として供給されるソフトウェアは、CRAの定義と市場に関する条件を満たす場合、適用対象となり得ます。これには、単体アプリケーションやファームウェアが含まれます。開発ツールやソフトウェアコンポーネントについても、名称だけで判断せず、同じ適用範囲の条件を適用してください。

詳しくは 適用対象製品。

メーカーの責任の範囲外で開発された単独のSaaSやクラウドサービスが、自動的にデジタル要素を備えた製品となるわけではありません。クラウド機能がCRA上で問題となるのは、リモートデータ処理の定義を満たす場合です。

リモートデータ処理が製品に属するのは、遠隔地で行われ、その製品の機能の1つを実行するために必要であり、かつ処理用ソフトウェアがメーカー自身またはその責任の下で設計もしくは開発された場合です。

詳しくは 適用対象製品。

いいえ。CRAが用いるのはデータ接続の概念であり、単純なインターネットアクセスの基準ではありません。接続には、論理的、物理的、直接的、間接的なものがあります。

関連する例を以下に示します。

• API、ネットワークソケット、パイプ、ファイル、ブラウザーのHTTPSセッション、電子メールプロトコルを介した論理接続。
• USB、Ethernet、光ファイバー、フィールドバス、Wi-Fi、Bluetooth、NFC、その他の無線リンクを介した物理接続。
• デバイスまたはネットワークに接続可能なホストシステムを介した間接接続。

詳しくは 適用対象製品。

通常は適用対象ではありません。ブルーガイドでは、自社利用のために製造された製品については、市場投入が行われないと説明しています。欧州委員会のFAQはこの考え方をCRAの例に適用し、メーカーが自社利用のために作成する開発ツールや設定ツールを挙げています。

そのツールが後に独立した製品として市場投入される場合は、結論が変わります。その場合は、他のデジタル要素を備えたソフトウェア製品またはハードウェア製品と同様に評価する必要があります。

詳しくは 市場投入。

2027年12月11日より前に市場投入された製品は、その日を迎えただけでCRAの全要件の対象になるわけではありません。その日以降に実質的な変更が行われた場合は、当該要件の対象になります。

第14条の報告義務は別扱いです。報告義務は2026年9月11日から、CRAの適用範囲に該当するデジタル要素を備えた製品に適用されます。これには、2027年12月11日より前に市場投入された製品も含まれます。

詳しくは 市場投入 および 脆弱性報告。

欧州委員会のFAQは、すでに市場投入された個体と新たに市場投入される個体を区別しています。すでに市場投入された個体は、申告されたサポート期間が終了した後も引き続き提供できます。

新たに市場投入される個体は異なります。メーカーが追加の個体を市場投入する場合、第13条第8項に基づき、その個体のサポート期間を設定しなければなりません。

詳しくは サポート期間。

いいえ。無償で供給されることだけでは結論は決まりません。CRAは、非商業的な無償・オープンソース開発と、商業活動として市場投入されるソフトウェアを区別しています。

2026年7月のガイダンスは、ソフトウェアへのアクセスや保守への対価と、無償で利用可能なソフトウェアに付随する任意サービスを区別しています。有償エディションは商業的な供給となる場合がありますが、任意のコンサルティングだけで無償版が商業的になるわけではありません。また、ソフトウェアを通じたサービスの収益化や、ソフトウェアのセキュリティ、互換性、相互運用性の向上を超える個人データ処理を利用条件として要求することも、供給を商業的なものにし得ます。

詳しくは 役割と義務 および 適用対象製品。

はい。ただし、第4条第3項の試験に関する規則に従う場合に限ります。ソフトウェアは試験に必要な限定期間のみ利用可能とし、CRAに適合せず、試験以外の目的では利用できないことを明示しなければなりません。

欧州委員会のFAQは前文第37項にも言及しています。メーカーはリスク評価を行った後にのみこのようなソフトウェアを公開し、可能な範囲でセキュリティおよび脆弱性対応の要件を満たすべきです。

はい。第13条第11項は、ユーザーが過去のバージョンを利用しやすくなる公開ソフトウェアアーカイブを認めています。サポート対象外ソフトウェアのリスクについて、ユーザーに分かりやすく、容易にアクセスできる形で知らせなければなりません。

アーカイブは現行のサポートとは異なります。ユーザーが、アーカイブされたバージョンはサポート対象外であり、セキュリティリスクを伴うことを理解できるかが重要です。

いいえ。欧州委員会のFAQは、CRAがメーカーに対して製品に脆弱性が一切ないことを保証するよう求めていないと述べています。

市場投入時点で関連する附属書Iの要件は、メーカーのサイバーセキュリティリスク評価と、その時点で入手可能な事実に基づく、既知で悪用可能な脆弱性に関するものです。

詳しくは サイバーセキュリティの必須要件 および サイバーセキュリティリスク評価。

いいえ。メーカーは、その脆弱性が製品に関係するか、またどのようなリスクをもたらすかを評価しなければなりません。対処方法はそのリスクに見合うものである必要があります。

対処方法にはパッチのほか、注意喚起、設定ガイダンス、回避策、ユーザー情報の更新、後続のソフトウェア更新などがあります。CRAは、デジタル要素を備えた製品に対して生じるリスクに応じて、遅滞なく脆弱性に対処し、是正することを求めています。

詳しくは 脆弱性対応記録。

いいえ。5年間は最低限の保護措置であり、すべての製品に一律で適用される標準期間ではありません。製品がそれより長く使用されると合理的に予想される場合は、より長いサポート期間が必要となることがあります。

5年未満のサポート期間が認められるのは、製品の使用期間が5年未満と予想される場合に限られます。その場合、サポート期間は予想使用期間に対応します。

詳しくは サポート期間。

メーカーは、自社製品に含まれる、現に悪用されている脆弱性を報告します。脆弱性が統合済みコンポーネントに由来し、その製品内で悪用可能な場合は、製品メーカーが報告します。コンポーネントが独立した製品として市場投入されていた場合は、コンポーネントのメーカーにも報告義務があります。

コンポーネントの脆弱性がメーカーの製品内で悪用できない場合、そのことだけを理由に第14条の義務的な報告義務が発生することはありません。ただし、メーカーには上流との調整や脆弱性対応に関する義務が残る場合があります。

詳しくは 脆弱性報告。

いいえ。欧州委員会のFAQによれば、メーカーは、CEマーキングのないコンポーネントも統合できます。これには、市場投入されていないコンポーネントやCRAの適用開始前に市場投入されたコンポーネントが含まれます。

それでもメーカーは、当該コンポーネントが最終製品のサイバーセキュリティを損なわないよう、相当の注意を払わなければなりません。

詳しくは SBOMとコンポーネント記録。

原則として、公開する必要はありません。欧州委員会のFAQによれば、技術文書を顧客や一般に提供する一般的な義務はありません。

重要な例外は、附属書IIIのクラスIまたはクラスIIに該当する無償・オープンソースソフトウェアのメーカーが、第32条第5項の自己評価を利用しようとする場合です。その場合、技術文書を公開しなければなりません。

詳しくは 技術文書 および 適合性評価。

いいえ。規格案は準備資料として役立つことがありますが、第27条に基づく適合性の推定は生じません。適合性の推定には、その参照先が欧州連合官報に公示された整合規格が必要です。

同じ区別は、prEN 40000シリーズの規格案や製品固有の規格案にも当てはまります。メーカーは、これらを証拠の準備に利用しつつ、公示状況と引用状況を別途確認できます。

詳しくは 整合規格と適合性の推定。