EUサイバーレジリエンス法に基づく脆弱性の報告
Sytance · 更新日
第14条の報告義務は、メーカーが次のいずれかの事象を認知した時点で発生します。製品に含まれる、現に悪用されている脆弱性、または製品セキュリティに影響を及ぼす重大なインシデントです。この義務は2026年9月11日から適用され、CRAが全面適用される前に市場投入された適用対象製品にも及びます。
報告が必要となる場合
発動条件は、製品カテゴリ、CVSSスコア、または脆弱性が存在するという事実ではありません。第14条では、デジタル要素を備えた製品に報告対象となる事象が発生したことをメーカーが認知したかどうかが問題となります。
現に悪用されている脆弱性
脆弱性が製品に含まれており、悪意ある悪用を示す信頼できる証拠が必要です。
製品セキュリティに関する重大なインシデント
実際に発生した、または発生する可能性のある機微なデータもしくは重要なデータ・機能への影響、または悪意あるコードの導入もしくは実行を含む、第14条第5項の重大インシデント条件を満たす必要があります。
その他の脆弱性、サイバー脅威、ニアミス、影響度の低いインシデントも、脆弱性対応や任意報告の上では重要となることがあります。しかし、これらが自動的に第14条の義務的報告対象になるわけではありません。
現に悪用されている脆弱性
「現に悪用されている脆弱性」とは、システム所有者の許可なく、悪意ある行為者がシステム内で悪用したことを示す信頼できる証拠がある脆弱性をいう。
規則 (EU) 2024/2847、第3条第42号
この定義には3つの要素があります。脆弱性が存在すること、悪用の信頼できる証拠があること、その悪用が悪意を伴い無許可であることです。理論上の悪用経路やスキャナーの検出結果だけでは十分ではありません。
ゼロデイ脆弱性も報告対象となり得ますが、悪意ある行為者が実際に悪用したことを示す信頼できる証拠をメーカーが得ている場合に限ります。善意のバグ報奨金報告や、過去の悪意ある悪用を示す証拠のないラボでの発見は、第14条の義務的報告の発動条件には該当しません。ただし、任意報告が可能な場合はあります。
信頼できる認知は、次のような複数の経路から得られる場合があります。
- 顧客やパートナーが侵害を報告し、製品の脆弱性が悪用された証拠を提示する。
- 政府機関、セキュリティ研究者、または脅威インテリジェンス報告が、製品内の悪用を特定する。
- メーカー自身のテレメトリー、監視、調査により悪用の証拠が見つかる。
さらに、脆弱性はデジタル要素を備えた製品に含まれている必要があります。統合コンポーネントに脆弱性があっても、メーカーの製品内では悪用できない場合、別の環境でそのコンポーネントが影響を受けているというだけで、当該製品内で現に悪用されている脆弱性になるわけではありません。
製品セキュリティに影響を及ぼす重大なインシデント
重大なインシデントも製品を中心に判断します。一般的な企業ITインシデントだけでは十分ではありません。インシデントがデジタル要素を備えた製品のセキュリティに影響している必要があります。
第14条では、次のいずれかに該当する場合、インシデントは重大とされます。
- 機微なデータもしくは重要なデータ・機能の可用性、真正性、完全性、または機密性を製品が保護する能力に悪影響を及ぼした、または及ぼす可能性がある。
- 製品またはユーザーのネットワーク・情報システムに悪意あるコードが導入もしくは実行された、またはそのおそれがある。
侵害されたリリース経路
ビルド、更新、またはリリースの経路が侵害され、悪意あるコードが製品やユーザーに到達し得る場合、重大なインシデントとなることがあります。
24時間、72時間、最終報告
第14条は段階的な報告を定めています。最初の報告は早期警告であり、完全な技術資料である必要はありません。その後、メーカーが事象の調査と緩和を進める中で入手した情報を段階的に追加します。
- 早期警告：メーカーが認知してから不当な遅滞なく、かつ24時間以内。
- 主たる通知：認知から不当な遅滞なく、かつ72時間以内。ただし、該当情報をすでに提出した場合を除く。
- 現に悪用されている脆弱性に関する最終報告：是正措置または緩和措置が利用可能になってから遅くとも14日以内。
- 重大なインシデントに関する最終報告：インシデントの72時間以内の通知から1か月以内。
24時間および72時間の期限は、報告対象事象を認知した時点から起算します。これらは待機期間ではなく、通知は不当な遅滞なく行わなければなりません。最終報告の期限は起算点が異なり、脆弱性の場合は是正措置または緩和措置が利用可能になった時点、重大なインシデントの場合はインシデント通知の提出時点です。
単一報告プラットフォーム
第14条第1項および第3項ならびに第15条第1項および第2項に定める通知を行い、メーカーの報告義務を簡素化するため、ENISAが単一報告プラットフォームを設置する。当該単一報告プラットフォームの日常業務はENISAが管理・維持する。当該プラットフォームのアーキテクチャは、加盟国およびENISAが独自の電子通知エンドポイントを設けられるようにする。
規則 (EU) 2024/2847、第16条第1項
第14条の通知は単一報告プラットフォームを通じて提出します。ENISAは2026年9月11日に初期運用機能を開始し、同プラットフォームは義務的な報告に利用可能です。
一度の提出と管理された共有
メーカーはプラットフォームを通じて調整CSIRTとENISAに報告します。受領したCSIRTは、配布を遅らせる正当な例外がない限り、他の関連CSIRTにも通知を共有します。
報告に向けた準備
期限内に報告を提出するため、メーカーはSRPの報告経路、調整CSIRT、製品供給先の加盟国に関する情報、アクセス可能な社内製品データを用意する必要があります。報告準備のページでは、これらの準備について説明しています。
トリガーのルールを確認したうえで、 第14条報告の準備 を参照してください。
境界事例
パッチがないことは第14条の判断基準ではありません。悪意ある行為者が脆弱性を悪用したことを示す信頼できる証拠をメーカーが得た時点で、ゼロデイは義務的報告の対象となります。
現に悪用されている脆弱性が完成品に含まれている場合、完成品メーカーが報告します。コンポーネントが単独の製品として市場投入されていた場合、コンポーネントのメーカーにも報告義務が生じることがあります。
第14条の報告義務は、CRAの適用範囲内の製品に2026年9月11日から適用されます。これには2027年12月11日より前にすでに市場投入された製品も含まれます。報告義務の適用開始後にメーカーが認知した場合に、その義務が適用されます。
第14条は、影響を受けたユーザーに、また適切な場合はすべてのユーザーに対し、脆弱性またはインシデントおよび実行可能な緩和策をメーカーが通知することも求めています。第15条は、第14条の義務的報告の発動条件外における任意報告の別ルートです。