EUサイバーレジリエンス法に基づく製品分類

分類結果

分類は対象範囲を確認した後に行います。まず、その製品がEU市場で入手可能なデジタル要素を備えた製品であり、第2条によって除外されていないかを確認します。次に、中核的機能に該当するCRAカテゴリーに基づいて製品を分類します。

中核的機能

附属書IIIに定める製品カテゴリーの中核的機能を持つデジタル要素を備えた製品は、重要なデジタル要素を備えた製品とみなされ、第32条(2)および(3)に定める適合性評価手続きの対象となる。附属書IIIに定める製品カテゴリーの中核的機能を持つデジタル要素を備えた製品を組み込んでも、それだけで組込み先の製品が第32条(2)および(3)に定める適合性評価手続きの対象となるわけではない。

規則（EU）2024/2847、第7条(1)

第7条と第8条は、一覧にあるカテゴリーの中核的機能を製品が持つ必要があるという同じ考え方に基づいています。判断するのは、製品全体が市場投入される目的となる機能です。製品に、一覧のカテゴリーに該当し得る機能、ライブラリ、半導体、モジュールが含まれるだけでは不十分です。

これは逆方向にも当てはまります。主な機能が附属書IIIのカテゴリーに引き続き該当するなら、追加機能があっても重要製品であることは変わりません。ルーターにファイアウォール機能があっても、中核的機能がルーターであればその機能に基づいて分類できます。一方、主な目的が異なる製品は、同じ作業の一部を実行できるというだけで一覧製品になるわけではありません。

附属書IIIの重要製品

附属書IIIは、デジタル要素を備えた重要製品を列挙し、クラスIとクラスIIに分けています。規則2025/2392は、各カテゴリーの技術的記述を定めています。これはカテゴリーの判定であり、あらゆるサイバーセキュリティリスクを一般的に順位付けするものではありません。

附属書IVのクリティカル製品

附属書IVは、デジタル要素を備えたクリティカル製品を列挙しています。この一覧は附属書IIIより限定的で、セキュリティボックス、スマートメーターゲートウェイ、セキュアな暗号処理、スマートカード、セキュアエレメントの機能を持つ製品に焦点を当てています。第8条により、委任法令に基づいてこれらの製品に認証が関係する場合があります。

技術的記述の参照先

欧州委員会施行規則（EU）2025/2392は、附属書IIIおよび附属書IVのカテゴリーに関する技術的記述を定めています。詳細な読み方と記述全文は、 規則2025/2392の技術的記述で解説しています。

分類と適合性評価

分類によって附属書Iへの適合性が証明されるわけではありません。分類によって、利用できる、または必須となる第32条の手続きが決まります。各手続きの詳細は、 適合性評価で説明しています。

分類とリスク評価

欧州委員会FAQは、分類と製造業者のサイバーセキュリティリスク評価を区別しています。通常製品、重要製品、クリティカル製品のいずれであっても、附属書Iの要件をリスクに応じて適用する必要があります。

分類が同じ二つの製品でも、意図された目的、合理的に予見される使用方法、使用条件が異なれば、必要なセキュリティ対策も異なる場合があります。分類は適合性評価手続きを選び、リスク評価は、その製品と製造業者のプロセスがCRA要件をどのように満たすかを説明します。