製品法としてのEUサイバーレジリエンス法

分野横断的な製品法

CRAは、企業全般を対象とするサイバーセキュリティ法ではありません。製品に関する法律です。デジタル要素を備えた製品をEU市場で入手可能にできるか、どの事業者が各義務を負うか、製品と製造業者のプロセスがサイバーセキュリティ要件を満たすかを定めています。

デジタル要素を備えた製品を市場で入手可能にするための規則であり、その目的は当該製品のサイバーセキュリティを確保することにある。

規則（EU）2024/2847、第1条(a)

法令の正式名称では、これらを分野横断的なサイバーセキュリティ要件と呼んでいます。分野横断的とは、CRAが特定の一業種だけを対象に定められたものではないという意味です。製品が対象範囲に入り、除外規定や特別な重複適用ルールによって除外されない限り、幅広い種類の製品に適用される可能性があります。

この法律が制定された背景

前文では主に二つの問題が挙げられています。第一に、多くのデジタル要素を備えた製品が、セキュリティの弱さ、既知の脆弱性、不明確なセキュリティ更新を抱えたままユーザーに提供されていました。第二に、ユーザーが製品を安全に選び、使用するための情報が十分でないことが少なくありませんでした。

EUは、域内市場における規制の分断を減らすため、製品のサイバーセキュリティ要件に関する統一的な枠組みを目指しました。そのためCRAは、製品、市場運用、組織のセキュリティに適用される他のEU法令と並んで、サイバーセキュリティを製品の市場投入に結び付けています。

CEマーキングの枠組み

CRAは既存のCEマーキングの枠組みを用います。新しいサイバーセキュリティロゴを作るものではありません。他のEU製品法令に基づきすでにCEマーキングが付される製品については、CRAによりサイバーセキュリティが同じ製品適合性評価文書一式に加わります。

CEマーキングには、規則（EC）No 765/2008第30条に定める一般原則を適用します。

規則（EU）2024/2847、第29条

ブルーガイドはCEマーキングの意味を説明しています。製造業者が、該当するマーキングを求めるEU法令に製品が適合すると宣言するものです。品質マークでも原産国表示でもなく、すべての製品を公的機関が試験したことを示すものでもありません。

製品文書におけるサイバーセキュリティ

CRAは既存の製品適合性評価制度にサイバーセキュリティ要件を追加します。製造業者は既存の法的手続きを活用できますが、関連する技術情報を追加する必要があります。

• 附属書I第I部は、製品そのものに関するサイバーセキュリティ要件を定めています。
• 附属書I第II部は、製造業者の脆弱性対応プロセスに関する要件を定めています。
• 技術文書には、製品とプロセスが該当する要件をどのように満たすかを示す必要があります。
• 適合性評価では、製品と製造業者のプロセスがそれらの要件を満たすかを確認します。
• EU適合宣言とCEマーキングにより、CRAの適合性評価結果が通常のEU製品適合性評価制度に結び付きます。

他の製品法令との関係

CRAは既存の製品法令に取って代わるものではありません。接続機械、無線製品、玩具、産業用コントローラー、医療機器の付属品は、すでに別のEU制度の規制対象となっている場合があります。CRAも適用される場合、製造業者は他の該当法令と併せて対応する必要があります。

CRAには、重複適用を直接扱う規定もあります。次の製品群には、それぞれ除外規定または適用制限があります。

• 医療機器および体外診断用医療機器。
• 自動車の型式認証制度に基づく製品。
• 民間航空制度に基づき認証された製品。
• 船舶用機器。
• 同一の交換用部品。
• 国家安全保障または防衛のみを目的として開発または変更された製品。
• 機密情報を処理するために特別に設計された製品。

他の法令との重複は異なる形で扱われます。製品と規制対象となるリスクに応じて、CRAは次のような法令を補完します。

• 機械規則。
• 一般製品安全規則。
• 無線機器指令。
• GDPR。
• データ法。
• AI法。
• NIS2。