CRAの重要製品およびクリティカル製品のカテゴリー

規則2025/2392の技術的説明

2025年12月11日までに、欧州委員会は、附属書IIIに定めるクラスIおよびクラスIIのデジタル要素を備えた製品のカテゴリについて、その技術的説明を特定する実施法令を採択する。また、附属書IVに定めるデジタル要素を備えた製品のカテゴリについても、その技術的説明を特定する。当該実施法令は、第62条第2項に定める審査手続に従って採択する。

規則 (EU) 2024/2847、第7条第4項

規則2025/2392がこの実施法令に当たります。附属書IIIまたは附属書IVに置き換わるものではありません。カテゴリ名の意味を技術的な観点から説明し、EU全域で同じ製品が一貫して分類されるようにするものです。

技術的説明とその解釈方法については、 規則2025/2392の技術的説明で解説しています。

中核機能

欧州委員会のFAQは要点を簡潔に示しています。メーカーは製品の中核機能を確認すべきです。製品内にある機能だけでは十分ではありません。別の主目的を持つ製品は、列挙された機能を含む、組み込む、または模倣できるというだけで、重要製品やクリティカル製品に分類されることはありません。

重要製品

附属書IIIでは、重要製品をクラスIとクラスIIに分けています。クラスIIの方が厳格な区分です。以下にカテゴリ名を示します。技術的説明は規則2025/2392に記載されています。

クリティカル製品

附属書IVは附属書IIIより対象が絞られています。耐タンパー性ハードウェア、スマートメーターゲートウェイ、スマートカード、セキュアエレメントなど、セキュリティ上の役割が特に集中する製品が対象です。

1. セキュリティボックスを備えたハードウェアデバイス
2. 欧州議会および理事会の指令 (EU) 2019/944第2条第23号に定義されるスマートメータリングシステム内のスマートメーターゲートウェイ、および安全な暗号処理など、高度なセキュリティを目的とするその他のデバイス
3. セキュアエレメントを含むスマートカードまたは同様のデバイス

カテゴリによる影響

製品カテゴリは、附属書Iへの適合を示すために利用できる評価ルートを決定します。製品が適用範囲に入るかどうかを決めるものではなく、サイバーセキュリティリスク評価に代わるものでもありません。

• 重要クラスI製品は、適用した整合規格、共通仕様、または該当する認証スキームが対象とする要件についてのみ、内部管理を利用できます。それ以外の場合は、より厳格なルートが必要です。
• 重要クラスII製品には、モジュールBとC、モジュールH、または該当する欧州サイバーセキュリティ認証スキームが適用されます。
• 第8条第1項に定めるルートが発動するクリティカル製品には、認証が必要です。それ以外の場合は、第32条第3項に定めるクラスIIのルートに従います。
• 附属書IIIに該当する重要な無償・オープンソースソフトウェアは、市場投入時に第31条の技術文書が公開されていれば、第32条第1項のルートを利用できます。

各ルートの詳細は、 適合性評価で解説しています。