CRAのユーザー向け情報と取扱説明
Sytance · 更新日
CRAのユーザー向け情報は、製品に付属し、ユーザーが製品の安全な設置、運用、更新、脆弱性報告、廃止を行うために役立つ資料です。製造業者の社内文書だけでなく、ユーザー、インテグレーター、所有者、運用者に向けて作成します。
ユーザー向け情報
製造業者は、附属書IIに定める情報と取扱説明を、紙または電子形式でデジタル要素を備えた製品に付属させなければならない。情報と取扱説明は、ユーザーと市場監視当局が容易に理解できる言語で提供するものとし、明確で分かりやすく、読みやすいものでなければならない。製品の安全な設置、運用、使用を可能にする必要がある。製造業者は、附属書IIの情報と取扱説明を、市場投入後少なくとも10年間、またはサポート期間のいずれか長い方の期間、ユーザーと市場監視当局が利用できる状態にしなければならない。オンラインで提供する場合も、市場投入後少なくとも10年間、またはサポート期間のいずれか長い方の期間、アクセスしやすく、使いやすい状態でオンライン提供を続けなければならない。
規則（EU）2024/2847、第13条(18)
情報は紙または電子形式で提供できます。ユーザーと市場監視当局が容易に理解できる言語でなければなりません。オンライン提供の場合は、必要な期間、アクセス可能で使いやすい状態を維持する必要があります。
ユーザー向け資料
安全な使用方法、サポート、更新、連絡先、ユーザーが必要とするリスク情報を説明します。
証拠ファイルの一部
附属書VIIは、附属書IIのユーザー向け情報を技術文書に含めるよう求めています。
附属書IIの記載事項
附属書IIは最低限の記載事項を示します。製品の識別情報、サポート情報、安全な使用の説明、脆弱性の連絡先をまとめています。
附属書IIは、製造業者の名称、連絡先、利用可能な場合はウェブサイト、製品を一意に識別するための十分な情報を求めています。
脆弱性情報の報告先と受領方法、および調整された脆弱性開示ポリシーの確認方法をユーザーに伝える必要があります。
意図された目的、セキュリティ環境、必須機能、セキュリティ特性、重大なサイバーセキュリティリスクにつながる可能性がある既知または予見可能な状況を説明します。
附属書IIは、技術的なセキュリティサポートの種類とサポート期間の終了日を求めています。セキュリティ関連更新のインストール方法も説明します。
安全な初期導入、製品の使用期間全体にわたる安全な使用、安全な廃止、データ削除、自動更新の設定、他の製品への組込みを想定する場合の統合情報を附属書IIは求めています。
安全に使用するための説明
CRAが求めるのは一般的なセキュリティ助言ではありません。説明は、製品、意図された目的、合理的に予見可能な使用方法、設置または運用を担うユーザーに合わせる必要があります。
附属書II第8項は、次の事項に関する説明または説明へのリンクを求めています。
- 初期導入時と製品の使用期間全体を通じて必要な対策。
- 製品の変更がデータセキュリティに及ぼす影響。
- セキュリティ関連更新のインストール方法。
- 安全な廃止とユーザーデータの安全な削除。
- 初期設定で有効になっている場合に、自動セキュリティ更新を無効にする方法。
- 他の製造業者またはインテグレーターに必要な統合情報。
明確な説明で設計上の問題を補うことはできない
ユーザー向け情報では、前提条件や残存リスクを説明できます。製品セキュリティ要件への未対応を正当化するためには使えません。
購入時に示すサポート終了日
第13条(19)は、購入時にサポート期間の終了日が明確であることを求めています。日付には少なくとも年月を含めます。技術的に実行可能な場合、製品がサポート終了日を迎えた際にもユーザーへ通知しなければなりません。
購入時
ユーザーが購入時にサポート終了日を確認できるようにします。
使用中
ユーザーには、製品の実際の更新方法に合った説明が必要です。
技術文書との境界
ユーザー向け情報と技術文書では対象読者が異なります。ユーザー向け情報は安全な使用のためのものです。技術文書はCRAへの適合性を示す証拠ファイルです。
附属書VIIは、附属書IIのユーザー向け情報を技術文書に含めるよう求める一方、設計情報、アーキテクチャ、脆弱性対応プロセスの情報、サイバーセキュリティリスク評価、サポート期間の決定根拠、使用した規格、試験報告書などの社内証拠も求めています。