CRAの整合規格と適合性の推定
Sytance · 更新日
整合規格への適合によってCRA上の適合性の推定が生じるのは、当該規格の対象とする要件について、その規格の参照先が官報に公示されている場合に限られます。規格案、作業項目、M/606の計画記録、協議文書はエンジニアリング作業に役立つことがありますが、それだけで法的な適合性の推定が生じることはありません。
適合性の推定
デジタル要素を備えた製品およびメーカーが実施するプロセスが、参照先が欧州連合官報に公示された整合規格またはその一部に適合する場合、当該規格またはその一部が対象とする附属書Iの必須サイバーセキュリティ要件に適合すると推定される。
規則 (EU) 2024/2847、第27条第1項
最後の文言が重要です。規格が規則全体を自動的に対象とするわけではありません。公示された参照先で指定された附属書Iの要件を、その規格の適用範囲内の製品およびプロセスについてのみ対象とします。
整合規格
任意の技術的ルートです。参照先が官報に公示された後に限り、適合性の推定を与えます。
共通仕様
第27条第2項の条件が満たされ、仕様が該当要件を対象とする場合に、欧州委員会が用いる代替ルートです。
認証スキーム
欧州サイバーセキュリティ認証は、そのスキームが対象とする要件について適合性を裏付けることができます。
M/606作業計画
M/606は、欧州委員会がCEN、CENELEC、ETSIに出した要請です。欧州委員会の標準化ページでは、要請された41件の規格を、水平規格と垂直・製品固有規格に分けて説明しています。CEN、CENELEC、ETSIは2025年4月3日に要請を受諾しました。
M/606の項目1および15は、最初の水平原則規格と水平脆弱性対応規格を対象としています。
M/606の項目16～41は、ブラウザー、VPN製品、オペレーティングシステム、ルーター、ファイアウォール、半導体、スマートホーム製品、ウェアラブル製品、セキュアエレメントなど、重要製品およびクリティカル製品のカテゴリを対象としています。
M/606の項目2～14は、安全なデフォルト設定、更新、アクセス制御、機密性、完全性、可用性、攻撃対象領域の縮小、監視、データ削除など、製品セキュリティ特性に関する追加の水平規格を対象としています。
水平規格
水平規格は、製品カテゴリを問わず有用となるよう設計されています。共通の用語、リスク管理、製品セキュリティ、脆弱性対応の枠組みを定め、製品固有規格がその上に構築されます。
共通の用語は水平規格と製品固有規格を支えます。それ自体を製品セキュリティの管理策を定める規格として扱うべきではありません。
現行の規格案は、サイバーレジリエンスの原則、リスクベースの製品サイバーセキュリティ、ライフサイクル活動を説明しています。詳しくは別ページの prEN 40000-1-2 サイバーレジリエンスの原則で解説しています。
M/606は、附属書I第I部の製品特性に関する汎用的なセキュリティ要件および管理策を求めています。計画上の役割については、 prEN 40000-1-4 公開資料で解説しています。
現行の規格案は、附属書I第II部の脆弱性対応を説明しています。詳しくは別ページの prEN 40000-1-3 脆弱性対応で解説しています。
現在公開されている1-2および1-3の文書は規格案です。計画には有用ですが、確定したEN規格や引用済み整合規格として扱えるのは、その位置付けが実際に確定した後です。
製品規格の参照先
製品固有規格の進捗は、 カテゴリ別製品規格に記載しています。このページでは附属書IIIおよびIVのカテゴリに対応する候補規格を列挙し、確認した情報源の状況を示しています。
規格による要件への対応の説明
製品は、引用前の規格をエンジニアリング上の証拠として利用できますが、これは法的な適合性の推定とは異なります。技術文書では、引用済み規格、共通仕様、認証スキーム、その他の技術的解決策によってどの要件を満たすかを示す必要があります。
水平規格案については、個別のページで解説しています。 prEN 40000-1-2 サイバーレジリエンスの原則 および prEN 40000-1-3 脆弱性対応。