EUサイバーレジリエンス法に基づく役割と義務

役割は製品ごとに決まる

CRAは製品法上の役割を用います。誰がコードを書いたか、リポジトリを所有しているか、サービスを運営しているかだけで義務を割り当てるものではありません。まず、デジタル要素を備えた製品がEU市場で提供されているかを確認します。次に、その製品に対して当該事業者が何を行うかを確認します。

CRAでは、メーカー、指定代理人、輸入業者、販売業者、および一部のその他の義務対象者を「経済事業者」と呼びます。この用語は、役割を市場活動に結び付けるために有用です。単にコードに貢献する、リポジトリをホストする、または無関係なサポートを提供するだけで、その者がすべてのCRA上の役割を担うことにはなりません。

メーカーが中心となる役割

「メーカー」とは、デジタル要素を備えた製品を開発もしくは製造する自然人もしくは法人、またはデジタル要素を備えた製品の設計、開発もしくは製造を他者に行わせ、自己の名称もしくは商標の下で当該製品を販売する自然人もしくは法人をいい、対価、収益化の有無を問わず、無償の場合も含む。

規則 (EU) 2024/2847、第3条第13号

この定義には2つの要素があります。事業者は、自らまたは他者を介して製品の開発もしくは製造に関与し、かつ自らの名称または商標の下で製品を販売しなければなりません。元のソフトウェア作者が常にメーカーとは限りません。自らのために製品を開発させ、自社製品として販売するブランド所有者がメーカーとなる場合があります。

CRAの主要な義務がメーカーに課されるのはこのためです。メーカーは、製品の設計、開発、適合性、ユーザー情報、サポート期間、脆弱性対応、第13条および第14条に由来する報告義務について、CRAが責任を負うものとして扱う事業者です。

輸入業者と販売業者はサプライチェーン上の役割

輸入業者はEU域内に設立され、EU域外に設立された者の名称または商標を付したデジタル要素を備えた製品をEU市場に投入します。EU域外のメーカーがEU市場の規制当局による直接的な管理の及ぶ範囲外にいる場合があるため、輸入業者という役割が設けられています。

販売業者は、メーカーまたは輸入業者以外のサプライチェーン上の事業者であり、製品の特性を変えずにEU市場で製品を提供します。販売業者は、製品を設計、開発した者でも、自らの製品として販売する者でもないため、その役割はメーカーの役割より限定的です。

輸入業者と販売業者は、適合性表示、メーカー情報、輸入業者情報を確認します。また、製品に適合していないと信じる理由がある場合にその製品の提供を差し控えることや、市場監視当局に協力することも義務に含まれます。

指定代理人は委任に基づいて行動する

指定代理人はEU域内に設立され、メーカーから書面による委任を受けた場合に限り、メーカーに代わって行動します。委任状には対象業務を明記しなければなりません。指定代理人を任命しても、メーカーとしての役割自体が移るわけではありません。

この区別は実務上重要です。代理人は、市場監視当局への文書提出や是正措置への協力など、指定された業務についてEU側の窓口となることがあります。製品の設計、開発、製造、適合状態の維持に関する中核的な義務は、引き続きメーカーが負います。

オープンソースには別個の2つの概念がある

無償・オープンソースソフトウェアが常にCRAの適用対象外というわけではありません。ある者が商業活動として、自らの名称または商標の下で無償・オープンソースのデジタル要素を備えた製品を市場投入する場合、その者は当該製品のメーカーとなり得ます。

CRAは、公開されていても、その意味で市場に提供されていないオープンソースソフトウェアについて、別の役割も設けています。それがオープンソースソフトウェア管理者です。

「オープンソースソフトウェア管理者」とは、メーカー以外の法人であって、商業活動を目的とする無償・オープンソースソフトウェアに該当する特定のデジタル要素を備えた製品の開発を継続的に体系立てて支援し、当該製品の持続可能性を確保する目的または目標を有するものをいう。

規則 (EU) 2024/2847、第3条第14号

したがって、管理者という役割は、すべてのメンテナーや貢献者に付く名称ではありません。特定の無償・オープンソースソフトウェアについて、メーカーではない法人がプロジェクトを継続的に支援し、その持続可能性を確保する場合に適用されます。欧州委員会は、管理者制度をメーカー制度に比べて対象に合わせた軽い制度と説明しています。

個々のソースコード貢献者は、さらに別扱いです。自らの責任の下にない無償・オープンソースソフトウェアにソースコードを貢献する自然人または法人には、CRAは適用されません。

役割の変化

他者の製品を単に供給する立場から、CRA上メーカーの活動とみなされる方法で製品を提示または変更する立場に移ると、役割が変わることがあります。

輸入業者または販売業者が、自らの名称または商標の下でデジタル要素を備えた製品を市場投入する場合、またはすでに市場投入されたデジタル要素を備えた製品に実質的な変更を行う場合、当該輸入業者または販売業者は本規則上のメーカーとみなされ、第13条および第14条の適用を受ける。

規則 (EU) 2024/2847、第21条

同じ原則は、輸入業者や販売業者以外にも適用されます。メーカー、輸入業者、販売業者以外の者が実質的な変更を行い、変更後の製品を市場で提供する場合、その者はメーカーとみなされます。その者のメーカー義務は、影響を受ける製品部分に適用されます。変更が製品全体のサイバーセキュリティに影響する場合は、製品全体に適用されます。

実質的な変更とは、あらゆる更新、修理、サポート活動を指すわけではありません。CRAの定義では、市場投入後の変更が必須サイバーセキュリティ要件への適合性に影響するか、製品が評価された意図された目的を変えるかが判断基準です。リスクのみを低減するセキュリティ更新は、通常、役割が変わらないことを示します。意図された目的を変える機能変更やサイバーセキュリティリスクを高める変更は、役割が変わる方向に働き得ます。

これらの規則は、よくある境界を説明しています。EU域内に設立された事業者がEU域外ブランドの製品をEU市場に投入する場合、通常は輸入業者です。変更されていない製品を提供するサプライチェーン上の事業者は、通常は販売業者です。自らの名称または商標を使用する事業者、または実質的な変更を行って製品を提供する事業者は、メーカーとなることがあります。