EU CRAの対象となる製品
Sytance · 更新日
製品がCRAの適用対象となるのは、デジタル要素を備えた製品であり、商業活動としてEU市場に供給され、その意図された目的または合理的に予見可能な使用に、デバイスもしくはネットワークへの直接または間接の論理的もしくは物理的なデータ接続が含まれる場合です。その上で、第2条により特定の製品カテゴリが適用範囲から除外されることがあります。
適用対象製品
本規則は、市場で提供され、その意図された目的または合理的に予見可能な使用に、デバイスもしくはネットワークへの直接または間接の論理的もしくは物理的なデータ接続が含まれるデジタル要素を備えた製品に適用される。
規則 (EU) 2024/2847、第2条第1項
この文言にある条件はすべて累積的に満たす必要があります。製品名、販売上の表示、業種、アーキテクチャ図だけで結論が決まるわけではありません。製品がCRAの定義語を満たし、EU市場に供給され、その意図された目的または合理的に予見可能な使用に該当する接続が含まれている必要があります。
- 製品:ソフトウェア、ハードウェア、単独で市場投入されるコンポーネント、または製品の一部を構成するリモートデータ処理ソリューション。
- 市場供給:商業活動として、流通または使用を目的にEU市場へ供給される。
- 接続:製品の意図された目的または合理的に予見可能な使用に、論理的、物理的、直接的、または間接的なデータ接続が含まれる。
- 除外:第2条または委任法令により、他の条件を満たす製品がCRAの適用対象外になることがある。
デジタル要素を備えた製品
「デジタル要素を備えた製品」とは、ソフトウェアまたはハードウェア製品およびそのリモートデータ処理ソリューションをいい、単独で市場投入されるソフトウェアまたはハードウェアコンポーネントを含む。
規則 (EU) 2024/2847、第3条第1号
この定義は、完成品と単独で市場投入されるコンポーネントの両方を対象とします。ソフトウェアはハードウェアに組み込まれたものに限られず、ハードウェアも完成済みの消費者向けデバイスに限られません。コンポーネントも、単独で市場投入される場合はデジタル要素を備えた製品となり得ます。
ソフトウェア製品
モバイルアプリ、デスクトッププログラム、ファームウェア、ドライバー、オペレーティングシステム、SDK、ダウンロード可能なツールは製品となり得ます。
ハードウェア製品
ルーター、センサー、産業用コントローラー、スマート家電、マザーボード、集積回路、その他の電子システムは製品となり得ます。
単独のコンポーネント
統合を目的としたソフトウェアまたはハードウェアも、単独で市場投入される場合は、それ自体が製品となり得ます。
リモートデータ処理
「リモートデータ処理」とは、遠隔で行われるデータ処理であって、そのソフトウェアがメーカー自身またはメーカーの責任の下で設計・開発されており、当該処理がなければデジタル要素を備えた製品がその機能の1つを実行できなくなるものをいう。
規則 (EU) 2024/2847、第3条第2号
リモートデータ処理ソリューションは、製品から利用できるあらゆるクラウドサービスを指すわけではありません。そのソフトウェアはメーカー自身またはメーカーの責任の下で設計・開発されていなければならず、当該処理がないと製品が機能の1つを実行できなくなる必要があります。
製品に含まれる
製品機能を実行するクラウドサービスは、CRA上の製品境界に含まれることがあります。
製品の範囲外
適用対象製品が接続できるというだけで、単独のSaaSや無関係なウェブサイトが製品に含まれるわけではありません。
データ接続の種類
「論理接続」とは、ソフトウェアインターフェースを通じて実装されるデータ接続の仮想的な表現をいう。
規則 (EU) 2024/2847、第3条第8号
「物理接続」とは、電気的、光学的、機械的インターフェース、電線または電波を含む物理的手段によって実装される、電子情報システムまたはコンポーネント間の接続をいう。
規則 (EU) 2024/2847、第3条第9号
「間接接続」とは、デバイスまたはネットワークに直接接続するのではなく、そのデバイスまたはネットワークに直接接続可能な、より大きなシステムの一部として接続することをいう。
規則 (EU) 2024/2847、第3条第10号
CRAの接続概念は、インターネットアクセスより広いものです。製品は、ソフトウェアインターフェース、ホストシステム、ハードウェアポート、バス、ケーブル、光リンク、無線リンクを介して接続できます。また、デバイスまたはネットワークに接続可能なより大きなシステム内で動作する場合は、間接的に接続されることもあります。
接続に関する用語を明確にする例を以下に示します。
- 直接の論理接続:ブラウザーのHTTPSセッション、IMAPまたはSMTPを使用する電子メールクライアント、API、パイプ、ファイル、ネットワークソケット、その他のソフトウェアインターフェース。
- 間接的な論理接続:ネットワークに接続されたオペレーティングシステム上で動作するオフライン計算機やテキストエディター。
- 物理接続:USB、Ethernet、光ファイバー、フィールドバス、電気インターフェース、光学インターフェース、機械インターフェース、Wi-Fi、Bluetooth、NFC、その他の無線リンク。
- 該当する接続がない場合:基本的な計算機、食器洗い機のコントローラー、単純なおもちゃなど、意図された目的と合理的に予見可能な使用に、別のデバイスまたはネットワークへの接続が含まれない場合のファームウェア。
市場供給
「市場での提供」とは、対価の有無を問わず、商業活動の過程で、EU市場における流通または使用を目的としてデジタル要素を備えた製品を供給することをいう。
規則 (EU) 2024/2847、第3条第22号
価格は決定要因ではありません。無償供給でも商業活動の一環であれば商業的な供給となり得ます。EU市場で初めて提供されることが市場投入であり、その後の流通または使用を目的とする供給も市場での提供に当たります。
メーカー自身の使用のみを目的に製造された製品は、EU市場に供給された製品とは異なります。欧州委員会のFAQは、メーカーが自社利用のために作成した開発ツールや設定ツールを例に挙げています。これらは独立した製品として市場投入されない限り、適用範囲に入りません。
意図された目的と合理的に予見可能な使用
「意図された目的」とは、使用説明書、宣伝・販売資料および説明、技術文書でメーカーが提供する情報に記載された、具体的な使用状況および条件を含む、メーカーがデジタル要素を備えた製品に意図した使用をいう。
規則 (EU) 2024/2847、第3条第23号
「合理的に予見可能な使用」とは、使用説明書、宣伝・販売資料および説明、技術文書でメーカーが提供する意図された使用とは必ずしも一致しないものの、合理的に予見可能な人間の行動、技術的な操作または相互作用から生じる可能性がある使用をいう。
規則 (EU) 2024/2847、第3条第24号
意図された目的は、メーカー自身の製品情報から判断します。合理的に予見可能な使用を考慮することで、通常の人間の行動や技術的な相互作用から接続使用が想定されるのに、狭く定められた使用目的だけで適用範囲を判断することを防ぎます。
接続が使用目的に含まれる必要がある
ポート、API、ホスト依存関係、無線インターフェース、ファイルの処理手順が関係するのは、それらが製品の意図された動作または合理的に予想される動作の一部である場合です。
製品境界の例
同じ製品ファミリーに適用対象と対象外のケースが混在することがあります。法的な結論は、広い商業カテゴリではなく、定義された用語に基づきます。
プリンターソフトウェア
プリンターの動作に必要なドライバーは、デジタル要素を備えた製品の一部となることがあります。
FPGAツール
FPGAの設計とプログラミングに使用するツールは、市場で供給される場合、ソフトウェア製品となり得ます。
サポート用ウェブサイト
製品機能を支援し、リモートデータ処理の定義を満たす場合、ウェブサイトも関連することがあります。
接続されていない家電
意図された使用または合理的に予見可能な使用に直接・間接のデータ接続が含まれない場合、組み込みファームウェアがあるだけでは十分ではありません。
適用範囲外
第2条には、製品に対する直接的な除外、後の除外または制限に関する委任ルート、機密性の高いセキュリティ情報に関する別個の規則があります。広い業界カテゴリに属するというだけで製品が除外されるわけではありません。除外を定めるEU法令、委任法令、または条件に製品が該当する必要があります。
規則 (EU) 2017/745または規則 (EU) 2017/746が適用されるデジタル要素を備えた製品には、CRAは適用されません。
規則 (EU) 2019/2144の対象となる製品は適用範囲外です。
第2条第5項により、他のEU規則が関連するサイバーセキュリティリスクに対処し、同等以上の保護水準を提供する場合、欧州委員会はその規則の対象製品を制限または除外できます。
欧州委員会委任規則 (EU) 2025/1535はこのルートを用い、二輪車、三輪車および四輪クアドリサイクルに関する規則 (EU) 第168/2013号の対象となるデジタル要素を備えた製品を除外しています。ただし、ペダルで駆動するよう設計された車両カテゴリーL1eは除きます。
規則 (EU) 2018/1139に基づき認証された製品は除外されます。欧州委員会のFAQでは、未認証製品および未認証コンポーネントを区別しており、第2条第1項の条件を満たす場合はCRA適用範囲の分析が必要となることがあります。
指令2014/90/EUの対象となる機器は除外されます。船舶用機器を対象とするコンポーネントでも、同指令の対象外であり、デジタル要素を備えた製品として市場で提供される場合は適用範囲に入ることがあります。
デジタル要素を備えた製品内の同一コンポーネントを置き換える交換部品は、交換対象と同じ仕様で製造されている場合、除外されます。
国家安全保障または防衛のみを目的に開発もしくは変更された製品、および機密情報を処理するために特別に設計された製品には、CRAは適用されません。デュアルユース製品は、防衛用途もあるというだけで除外されるわけではありません。
第2条第8項は製品を除外する規定ではありません。CRA上の義務によって、加盟国の不可欠な国家安全保障上、公共の安全上、または防衛上の利益に反する情報開示が求められることはないと定めています。