EUサイバーレジリエンス法に基づく市場投入

市場に関する用語

「市場投入」とは、デジタル要素を備えた製品をEU市場で初めて利用可能にすることをいう。

規則 (EU) 2024/2847、第3条第21号

「市場での提供」とは、対価の有無を問わず、商業活動の過程で、EU市場における流通または使用を目的としてデジタル要素を備えた製品を供給することをいう。

規則 (EU) 2024/2847、第3条第22号

市場投入とは、その製品がEU市場で初めて供給されることです。市場での提供は、より広い概念です。初回の供給後に流通または使用のために行われる後続の供給も含みます。

価格だけでは判断できません。無償の製品でも、商業活動の一環として供給される場合は市場で提供され得ます。自社利用のみを目的として製造された製品は異なり、存在するというだけで市場投入されたことにはなりません。

個々の製品の市場投入日

「市場での提供」と同様に、「市場投入」という概念は、製品の種類ではなく個々の製品を対象とし、その製品が個別に製造されたか、連続生産されたかを問いません。したがって、各個別製品がEU市場に投入されるのはEU全域で一度だけであり、加盟国ごとに行われるものではありません。新たな必須要件を定めるEU整合法令の発効前にある製品モデルまたは種類が供給されていたとしても、新要件が適用可能になった後に市場投入される同一モデルまたは種類の個々の製品は、新要件に適合しなければなりません。

ブルーガイド2022、第2.3節

欧州委員会のFAQは、この点をCRAに当てはめています。ある製品タイプが以前に市場投入されたからといって、同じタイプの後続の全個体が対象になるわけではありません。個々の製品ごとに市場投入日を確認する必要があります。

これは在庫や輸入の繰り返しに関係します。ルーターのある個体群が2027年12月11日より前に市場投入されていた場合、最終利用者に届くのが後日であっても、その個体群がその日を迎えただけでCRAの全面適用対象になるわけではありません。同じモデルの別の個体群が2027年12月11日以降にEU市場へ投入された場合は、扱いが異なります。

2027年12月11日より前に市場投入された製品

2027年12月11日より前に市場投入されたデジタル要素を備えた製品は、同日以降に実質的な変更の対象となる場合に限り、本規則に定める要件の対象となる。

規則 (EU) 2024/2847、第69条第2項

本条第2項の特例として、第14条に定める義務は、本規則の適用範囲に該当し、2027年12月11日より前に市場投入されたすべてのデジタル要素を備えた製品に適用される。

規則 (EU) 2024/2847、第69条第3項

移行規則により、2027年12月11日より前に市場投入された製品は、同日以降に実質的な変更が行われない限り、CRAの全要件の適用を免れます。後日市場投入された新たな個体には、この保護は適用されません。

第14条の報告は別扱いです。より早い時期に開始され、2027年12月11日より前に市場投入された、適用範囲内の製品にも適用されます。

ソフトウェアバージョンの市場投入日

欧州委員会の2026年7月のガイダンスでは、単体ソフトウェアは、製造段階が完了し、商業活動の過程でEU市場における流通または使用のために初めて供給された時点で市場投入されたものとして扱われます。同一ソフトウェアのコピーは、その日付を共有します。コンポーネント、設定、有効化された機能が異なるバリアントは、この目的上、別個の製品として扱われます。

同一バージョンの後日のダウンロードは、通常、同じソフトウェア製品を後から市場で提供することに当たります。後続バージョンに実質的な変更がある場合、そのバージョンには新たな市場投入日が生じます。

この解釈は、デジタル形式で供給される単体ソフトウェアを対象としています。ソフトウェアが物理媒体で供給される場合は、物理製品も考慮する必要があります。ハードウェア製品が機能を実行するためにソフトウェアを必要とする場合、ソフトウェアが後日ダウンロードされても、ハードウェアとソフトウェアが一体の製品を構成することがあります。

実質的な変更

「実質的な変更」とは、デジタル要素を備えた製品の市場投入後に行われ、附属書I第I部に定める必須サイバーセキュリティ要件への当該製品の適合性に影響を及ぼす変更、または当該製品の評価対象となった意図された目的を変更する変更をいう。

規則 (EU) 2024/2847、第3条第30号

この定義には2つの経路があります。変更が附属書I第I部の製品サイバーセキュリティ要件への適合性に影響する場合、実質的な変更となり得ます。また、製品の評価対象となった意図された目的を変える場合も、実質的な変更となり得ます。

市場投入後の変更については、実質的な変更の定義を適用します。その変更は必須サイバーセキュリティ要件への適合性に影響するか、または製品の評価対象となった意図された目的を変えるかを確認してください。修理やセキュリティ更新も、これらの条件に照らして検討する必要があります。

• 脆弱性を修正し、意図された目的を変更しないセキュリティ更新は、通常、実質的な変更に当たらないことを示します。
• 製品の目的を変える機能更新は、実質的な変更となる場合があります。
• 小規模な機能でも、従来は考慮されていなかった新しいインターフェース、データフロー、外部依存関係、攻撃シナリオを追加する場合は重要となり得ます。
• 2027年12月11日より前に市場投入された製品も、同日以降に実質的な変更が行われた場合はCRAの全面適用対象になります。

変更後の責任

輸入業者または販売業者が自らの名称もしくは商標の下で製品を市場投入する場合、またはすでに市場投入された製品に実質的な変更を行う場合、第21条により、その輸入業者または販売業者はメーカーとして扱われます。

第22条は同じ考え方をさらに広く適用します。メーカー、輸入業者、販売業者以外の者でも、実質的な変更を行い、変更済み製品を市場で提供する場合はメーカーとして扱われることがあります。

よくある時期のケース