CRA技術文書のチェックリスト

文書化義務

技術文書には、デジタル要素を備えた製品およびメーカーが実施するプロセスが附属書Iに定める必須サイバーセキュリティ要件に適合することを確保するためにメーカーが用いた手段に関する、すべての関連データまたは詳細を記載するものとする。技術文書には、少なくとも附属書VIIに定める項目を含めるものとする。

規則 (EU) 2024/2847、第31条第1項

第31条は、製品とメーカーのプロセスが附属書Iにどのように適合するかをファイルで説明するよう求めています。そのため、文書には製品設計だけでなく、リリース後に脆弱性へ対処するための仕組みも含まれます。

作成時期と更新

技術文書は、デジタル要素を備えた製品を市場投入する前に作成し、必要に応じて、少なくともサポート期間中、継続的に更新するものとする。

規則 (EU) 2024/2847、第31条第2項

技術文書は市場投入前に用意しなければなりません。その後、サポート期間中に重要な変更があれば、最新の状態に保つ必要があります。

• 製品設計、アーキテクチャ、ソフトウェアバージョン、更新方法の変更に伴い、更新が必要になることがあります。
• サイバーセキュリティリスク評価の変更に伴い、更新が必要になることがあります。
• 新たな脆弱性情報に伴い、更新が必要になることがあります。
• 再設計または再評価された製品の文書には、変更されたバージョンを特定する情報を含める必要があります。

附属書VIIの内容

附属書VIIは最低限の記載項目を定めています。表のテンプレートではなく、証拠のカテゴリとして読むのが適切です。具体的な詳細は製品によって異なります。

製品リリース向け附属書VIIチェックリスト

以下の索引は附属書VIIの8項目に沿ったものです。情報の整理方法の例であり、所定のフォルダー構成や8つの個別ファイルの書き出しを義務付けるものではありません。参照する各記録では、対象となる製品とバージョンを特定してください。

1. 製品の説明：目的、適合性に影響するソフトウェアバージョン、関連するハードウェア画像および表示、附属書IIのユーザー情報。
2. 設計およびプロセス：アーキテクチャとコンポーネント間の関係、脆弱性対応、SBOM、開示ポリシー、報告窓口、安全な更新、製造、監視、プロセスの検証。
3. サイバーセキュリティリスク評価：製品リスクと、附属書I第I部の要件の適用性に関する判断根拠。
4. サポート期間：その期間を決定するために用いた情報。
5. 規格と技術的解決策：適用した規定、その位置付けと利用範囲、および対象とならない要件に用いた解決策。
6. 検証報告書：適用される必須要件に照らした製品および脆弱性対応プロセスの試験。
7. EU適合宣言：評価対象製品に対応する宣言。
8. 当局の要請に応じたSBOM：市場監視当局が理由を示して要請し、附属書Iへの適合確認に必要とする場合の該当SBOM。

架空のコントローラーリリース1.2であれば、索引から当該リリースの説明、アーキテクチャ改訂、リスク評価、SBOM、更新試験、ユーザー向け手順書を参照できます。新しいリスク評価と古いファームウェア試験報告書を組み合わせる場合は、試験済みの管理策が引き続き適用されるかどうかを説明する必要があります。

該当する附属書VIIの情報と評価対象製品のバージョンに照らして、完全性を確認してください。文書索引を用いると、各結論の根拠となる分析と結果（不足している情報も含む）を確認しやすくなります。

証拠へのリンク

リスク評価は採用したセキュリティ対策を説明し、コンポーネント記録はその対策が保護するソフトウェアを特定し、脆弱性対応記録は新たな問題が見つかった際の対応を示します。以下のページでは各記録の内容と使い方を説明します。

リスク評価

第13条第4項は、技術文書にサイバーセキュリティリスク評価を含めるよう求めています。リスク評価では、メーカーが製品特性に関する要件は該当しないと判断した理由を含め、附属書Iが製品にどのように適用されるかを説明します。

欧州委員会のFAQによれば、製品がEU域内で製造されたかEU域外で製造されたかを問わず、市場投入時にファイルを利用可能にしておく必要があります。また、その後の再設計や再評価を技術文書に反映する必要があるとしています。

適合性評価と当局による利用

技術文書は主に適合性評価と市場監視に用いられます。欧州委員会のFAQによれば、通常、顧客や一般向けに公開する必要はありません。

FAQで示されている主な公開例外は、第32条第5項の自己評価ルートを利用する一部の重要な無償・オープンソースソフトウェア製品に関するものです。