EU CRA：prEN 40000-1-2 サイバーレジリエンスの原則

草案の位置付け

ここで扱う文書は、2025年10月に照会手続きへ提出されたものです。この説明はその草案の特定バージョンに関するもので、照会が現在も継続中であることや、これが最新文書であることを示すものではありません。後続バージョンで要件が変更される可能性があります。草案自体はCRAに基づく適合性の推定を生じさせません。

M/606の項目1は、リスクに基づき適切なサイバーセキュリティレベルを確保するため、デジタル要素を備えた製品の設計、開発、製造を扱う欧州規格を求めています。同項目のM/606期限は2026年8月30日です。

附属書Iとの関係

デジタル要素を備えた製品は、リスクに基づき適切なレベルのサイバーセキュリティを確保できるように設計、開発、製造しなければならない。

規則（EU）2024/2847、附属書I、第I部(1)

prEN 40000-1-2は、第I部のこの一般要件に最も直接関係します。プロセスとライフサイクルを扱う規格です。附属書I第I部(2)(a)から(m)の、より具体的な製品セキュリティ要件に取って代わるものではなく、脆弱性対応規格でもありません。

サイバーセキュリティの原則

2025年10月の草案第5節は、製品の計画、設計、実装、製造、保守に関する四つの原則を示します。リスクベースのアプローチ、セキュア・バイ・デザイン、安全な初期設定、透明性です。

リスク管理の構成

草案は、リスク管理を一度限りの書式記入ではなく、製品に対して繰り返し行う活動として扱います。同じソフトウェアやハードウェアでも使用場面によってリスクが異なるため、まず製品の状況を定めます。

ライフサイクル活動

草案は続いて、原則をライフサイクル活動へ展開します。異なる開発モデルに合わせて活動を実施できますが、重要なのはセキュリティ作業を計画、実施、確認し、最新の状態に保つことです。

• 製品のサイバーセキュリティ計画。
• 製品のサイバーセキュリティ要件。
• サイバーセキュリティアーキテクチャと設計。
• セキュアな実装。
• サイバーセキュリティの検証と妥当性確認。
• セキュアな製造と流通。
• サイバーセキュリティ上の問題管理。
• 製品の監視。
• 安全な廃止計画。
• サードパーティ製コンポーネントのサイバーセキュリティ管理。

他の規格との境界

prEN 40000-1-2は、原則とライフサイクルリスクを扱う規格です。脆弱性対応は、 prEN 40000-1-3 脆弱性対応が扱います。製品固有規格は、ブラウザー、ルーター、ファイアウォール、セキュアエレメント、その他の重要製品またはクリティカル製品に関するカテゴリー固有の要件を追加する場合があります。

CRAの規格策定プログラムは、 規格と整合規格で説明しています。