LASSIC Media らしくメディア
RED委任規則とCRAの違い｜2027年12月に一本化
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 2025年8月1日から適用済み：無線機器の三つの必須要件がすでに効いています*1。
- 2027年12月11日にCRAへ移る：同日をもって委任規則が廃止されます*1。
- 作り直しではなく対応づけ：CRA附属書Iが同じ要素を含むと説明されています*1。
※ 本記事は2026年8月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
EUに無線機器を出している開発現場では、2025年8月に一段、規制が増えました*1。無線機器指令（RED）のサイバーセキュリティに関する必須要件が、対象機器に適用され始めた時期です*1。
そして2027年12月にもう一度変わります*1。欧州委員会は2026年2月16日、この委任規則を2027年12月11日をもって廃止する委任規則を採択しました*1。サイバーレジリエンス法（CRA）の全面適用に合わせ、規制の重複を避けるためとされています*1。
組込みや通信機能を持つ製品の開発を受託する立場と、そうした製品を企画する立場に向けて、二つの枠組みの関係と橋渡し期間の実務を整理します。個別の適用は事情によりますので、法務と認証機関の確認を経て進めてください。
目次
2025年8月1日に効き始めた三つの必須要件
まず、何が始まったのかです*1。
REDは、無線周波数を通信または無線測位の目的で使用できる電気・電子機器について、EU市場に出すための条件を定める枠組みです*1。第3条が必須要件を並べており、第3条(1)(a)が健康と安全、第3条(1)(b)が電磁両立性、第3条(2)が無線スペクトラムの効果的かつ効率的な利用に関する要件です*1。
そのうえで第3条(3)は追加の必須要件を定めており、これは欧州委員会が同項に基づいて採択する委任行為で指定されたカテゴリーまたはクラスの無線機器に適用される建て付けです*1。第3条(4)は共通充電器との互換性に関する要件です*1。
サイバーセキュリティに関わるのは、第3条(3)第1副項の(d)(e)(f)です*1。
| 項目 | 内容 |
|---|---|
| (d) | ネットワークへの害からの保護に関わるもの |
| (e) | 利用者および加入者の個人データとプライバシーの保護に関わるもの |
| (f) | 不正からの保護に関わるもの |
欧州委員会の説明では、これら三つはサイバーセキュリティのリスクに対する保護を支える要素に関わるものと位置づけられています*1。
この三つを実際に適用させたのが委任規則（EU）2022/30です*1。2021年10月29日に採択され、RED第3条(3)の(d)(e)(f)の必須要件の適用に関してREDを補完するものとされています*2。
適用の時期が要点です*1。同委任規則は、一定のカテゴリーまたはクラスの無線機器について、これらの必須要件を2025年8月1日から適用させました*1。理由として、当該カテゴリーまたはクラスの無線機器が、サイバーセキュリティのリスクの要素に対する保護を確保していないという懸念が挙げられています*1。
つまりすでに効いている規制です*1。2025年8月1日以降にEU市場へ出す対象機器は、この三つの必須要件への適合を示す必要があります*1。日本のJC-STARや英国のPSTIのようなラベルや個別法とは別に、CEマーキングの枠組みの中で問われる点が特徴です*1。
2027年12月11日にCRAへ引き継がれる
ここからが2026年に決まった話です*1。
サイバーレジリエンス法（CRA）——正式には規則（EU）2024/2847——が2024年10月23日に採択され、市場アクセスに関わる製品セキュリティの分野に水平的なルールを設けました*1。CRAは2027年12月11日から全面適用されます*1。
重なりが生じます*1。欧州委員会の説明では、CRAの附属書Iが定める必須のサイバーセキュリティ要件は、RED第3条(3)の(d)(e)(f)が定める必須要件の全要素を含むとされています*1。
そこで廃止です*1。欧州委員会は2026年2月16日、委任規則（EU）2022/30を2027年12月11日をもって廃止する委任規則を採択しました*1。文書はC(2026) 778 finalとして理事会へ送付されています*1。
理由は明快に書かれています*1。サイバーセキュリティの分野における規制の重複を避けるため、REDのサイバーセキュリティに関する委任規則の対象となる無線機器について、CRAの関連するすべての規定の適用開始日をもって当該委任規則を廃止する必要があるとされています*1。
手続の記録も残っています*1。無線機器に関する専門家グループ（E03587）が2025年6月12日および13日の会合で意見を求められ、草案はBetter Regulationポータルで意見募集にかけられたと記されています*1。
| 時期 | サイバーセキュリティ要件の根拠 |
|---|---|
| 2025年8月1日〜2027年12月10日 | REDの第3条(3)第1副項(d)(e)(f)（委任規則（EU）2022/30が適用させたもの） |
| 2027年12月11日以降 | サイバーレジリエンス法（規則（EU）2024/2847）。同日をもって委任規則（EU）2022/30は廃止される |
読み替えると、約2年4か月の橋渡し期間があるということです*1。この間に設計と文書を作り、その後はCRAの枠組みで同じことを説明する流れになります*1。
三区分を実装に落とすときの論点
ここからは条文の説明ではなく、受託開発の現場で実際に詰めることになる論点の整理です。三つの区分に沿って並べます。
(d)ネットワークへの害に関わる区分では、機器がネットワークへ与える影響が問われます。踏み台にされない設計、初期状態での不要なポートの閉鎖、想定外のトラフィックを出さない実装、遠隔から機能を止められる手段——このあたりが検討の入口になります。出荷後に問題が見つかったときの更新の届け方も、この区分と切り離せません。
(e)個人データとプライバシーの区分では、機器が扱うデータの範囲がまず論点です。何を取得し、どこに保存し、いつ消すのか。端末内に残す情報の暗号化、クラウドへ送るときの経路の保護、初期化したときにデータが残らないこと——この三点は、仕様書に書き切れていないことが多い箇所です。設定画面で利用者が選べる範囲をどこまで用意するかも、設計時に決めておく必要があります。
(f)不正からの保護の区分では、金銭や価値の移動に関わる機能が焦点になります。認証の強度、なりすましの防止、取引の記録、異常な操作の検知——決済や課金に関わる機能を持つ機器では、この区分の作業量が大きくなりがちです。
| 区分 | 確認する項目の例 |
|---|---|
| (d) ネットワークへの害 | 初期状態のポートとサービス、認証情報の初期値、更新の配信と検証、異常時に機能を制限する手段 |
| (e) 個人データとプライバシー | 取得するデータの範囲と保存先、端末内の暗号化、通信経路の保護、初期化時の消去、利用者が選べる設定 |
| (f) 不正からの保護 | 認証の強度、なりすましの防止、操作と取引の記録、異常な操作の検知と通知 |
三区分に分けて並べる利点は、担当の割り当てが決まることです。(d)はネットワークとファームウェア、(e)はアプリとクラウド、(f)は決済や業務ロジック——実務では担当が分かれます。ひとまとめに「セキュリティ対応」と書いた計画は、たいてい誰かの手元で止まります。
なお、どの項目がどこまで求められるかは製品のカテゴリーや使い方によって変わります*1。ここに挙げたのは検討の出発点で、最終的な範囲は試験と認証の枠組みの中で確認することになります。
橋渡し期間に何を作るか
実務の要点は「二度作らないこと」です*1。
根拠が変わっても、求められる中身が入れ替わるわけではありません*1。欧州委員会は、CRA附属書IがRED第3条(3)(d)(e)(f)の全要素を含むと説明しています*1。したがって、REDのために整えた設計と記録は、CRAの要件への対応づけとして使えると考えるのが自然な読み方です*1。
逆に、次の点は別に確認が必要です*1。CRAは水平的なルールとして、無線機器に限らずデジタル要素を持つ製品を対象にします*1。CRAの対象と義務の側で、無線機器としての義務にはなかった項目（脆弱性の取扱いや報告など）が加わるかを見ておくことになります。
着手の順序を整理します。
第一に、対象機器の切り分けです。委任規則（EU）2022/30が適用させたのは、一定のカテゴリーまたはクラスの無線機器です*1。自社製品がそこに入るかどうかで、2025年8月1日以降の扱いが変わります*1。
第二に、三つの要件への当てはめです。(d)ネットワークへの害、(e)個人データとプライバシー、(f)不正——この三区分で、実装済みの対策と未対応の項目を並べます*1。認証や試験の計画は、この一覧がないと立てられません。
第三に、証跡の作り方です。設計文書、リスク評価、試験の記録——後からたどれる形で残します。CRAへ移った後も、同じ資料が説明の土台になります*1。
第四に、期限の二重管理です。2025年8月1日はすでに過ぎており、2027年12月11日は先にあります*1。いま出荷している製品と、2027年12月以降も売り続ける製品を分けて管理すると、判断が混ざりません。
第五に、他の枠組みとの並べ方です。日本のJC-STARや英国のPSTIといった制度は、根拠も手続も別です*1。各国のIoTセキュリティ制度と、EUのCE枠組みを一つの表にまとめておくと、製品ごとの必要作業が見えます。
もうひとつ、見積りで差が出るのが試験と認証の段取りです。要件への適合を示す作業は、設計が終わってから始めると手戻りが大きくなります。試験機関とのやり取りに必要な資料——構成図、通信の仕様、暗号の使い方、更新の手順——は、開発の途中で作れる資料です。工程の後半にまとめて作る前提で計画を立てると、出荷日から逆算したときに間に合わなくなります。
製品ラインでの持ち回りも考えどころです。同じ通信モジュールを複数の製品で使っている場合、共通部分の設計と証跡をひとまとめにしておくと、製品ごとの作業が軽くなります。逆に、製品ごとに個別対応を積み上げると、2027年12月の移行時に同じ作業を何度も繰り返すことになります。
受託で進める場合の要点を三つ挙げます。
役割を先に分けることです。ハードウェアの設計、ファームウェア、クラウド側——サイバーセキュリティの要件は境界をまたいで問われます*1。どこまでを受託範囲とするかを、要件の三区分に沿って書き分けます。
更新の仕組みを見込むことです。製品を出した後の更新は、要件の充足を保つ手段になります。更新の配信と検証の仕組みを、初期の見積りに含めておくほうが後の改修が軽くなります。
移行を前提に文書を作ることです。2027年12月11日でREDのサイバー要件の根拠が消えることは、すでに決まった予定です*1。「REDのため」ではなく「両方に使えるため」という前提で文書の構成を決めておくと、移行時の作業が減ります。
委任規則の廃止に関する文書と、REDの枠組みに関する説明は、いずれもEUの公式サイトで公開されています*1*2。適用の判定と試験の範囲は製品によって変わりますので、認証機関の確認を挟みながら進めてください。
まとめ：無線機器のサイバー要件で押さえる3つの視点
EU無線機器指令（2014/53/EU）のサイバーセキュリティに関する必須要件は、委任規則（EU）2022/30により2025年8月1日から一定のカテゴリーまたはクラスの無線機器に適用されました。押さえたい視点は三つです。第一に、要件の内容。REDの第3条(3)第1副項の(d)(e)(f)は、ネットワークへの害からの保護、利用者および加入者の個人データとプライバシーの保護、不正からの保護に関わるものであり、欧州委員会はこれらがサイバーセキュリティのリスクに対する保護を支える要素に関わるものと説明しています。第3条(3)の要件は、委任行為で指定されたカテゴリーまたはクラスの無線機器に適用される建て付けです。第二に、CRAへの移行。サイバーレジリエンス法（規則（EU）2024/2847）は2024年10月23日に採択され、2027年12月11日から全面適用されます。同法の附属書Iが定める必須のサイバーセキュリティ要件は、RED第3条(3)の(d)(e)(f)が定める必須要件の全要素を含むとされています。そのため欧州委員会は2026年2月16日、委任規則（EU）2022/30を2027年12月11日をもって廃止する委任規則（C(2026) 778 final）を採択しました。理由はサイバーセキュリティの分野における規制の重複を避けることです。第三に、橋渡し期間の実務。2025年8月1日から2027年12月10日まではREDの枠組みで適合を示し、以後はCRAの枠組みへ移ります。要件の中身が入れ替わるわけではないため、設計と証跡は作り直しではなく対応づけとして整理し、対象機器の切り分け、三区分での当てはめ、証跡の作り方、期限の二重管理、他国制度との並べ方という順で進めるのが現実的です。
よくある質問
無線機器のサイバーセキュリティ要件はいつから適用されていますか。
委任規則（EU）2022/30が、RED第3条(3)第1副項の(d)(e)(f)の必須要件を、一定のカテゴリーまたはクラスの無線機器について2025年8月1日から適用させました。欧州委員会の説明では、当該カテゴリーまたはクラスの無線機器がサイバーセキュリティのリスクの要素に対する保護を確保していないという懸念が理由として挙げられています。
三つの必須要件とは何ですか。
RED第3条(3)第1副項の(d)はネットワークへの害からの保護、(e)は利用者および加入者の個人データとプライバシーの保護、(f)は不正からの保護に関わるものです。欧州委員会は、これらがサイバーセキュリティのリスクに対する保護を支える要素に関わるものと位置づけています。
なぜ2027年12月11日に廃止されるのですか。
サイバーレジリエンス法（規則（EU）2024/2847）が2027年12月11日から全面適用され、その附属書Iが定める必須のサイバーセキュリティ要件がRED第3条(3)の(d)(e)(f)の全要素を含むためです。欧州委員会は、サイバーセキュリティの分野における規制の重複を避けるため、CRAの関連するすべての規定の適用開始日をもって委任規則（EU）2022/30を廃止する必要があるとしています。廃止の委任規則は2026年2月16日に採択され、C(2026) 778 finalとして理事会へ送付されています。
いま対応した内容は無駄になりますか。
欧州委員会は、CRAの附属書IがRED第3条(3)の(d)(e)(f)の全要素を含むと説明しています。したがって、REDのために整えた設計と証跡は、CRAの要件への対応づけとして活かす前提で整理するのが現実的です。ただしCRAは無線機器に限らずデジタル要素を持つ製品を対象とする水平的なルールであるため、無線機器としての義務にはなかった項目が加わるかは別に確認が必要です。
日本のJC-STARや英国のPSTIとの関係はどうなりますか。
根拠となる法令と手続が異なる別の制度です。EUの要件はCEマーキングの枠組みの中で問われるものであり、他国のラベル制度や個別法への対応とは分けて管理する必要があります。製品ごとに、どの制度で何を示すのかを一覧にしておくと必要な作業が見えます。
無線機器のサイバー要件対応はLASSICへ
元請（プライムベンダー）として、対象機器の切り分けから三区分での当てはめ、設計と試験の証跡づくり、更新の仕組み、CRAへの対応づけまでご提案します。まずはお気軽にご相談ください。
出典
- *1 参考：Council of the European Union / European Commission「COMMISSION DELEGATED REGULATION (EU) …/… of 16.2.2026 repealing Delegated Regulation (EU) 2022/30（C(2026) 778 final、理事会文書 ST 6429/26）」（https://data.consilium.europa.eu/doc/document/ST-6429-2026-INIT/en/pdf）。委任規則（EU）2022/30を2027年12月11日をもって廃止する趣旨、REDが無線周波数を通信または無線測位に用いる電気・電子機器の市場アクセス条件を定める枠組みであること、第3条(1)(a)の健康と安全・第3条(1)(b)の電磁両立性・第3条(2)の無線スペクトラムの利用・第3条(3)の追加要件が委任行為で指定されたカテゴリーまたはクラスに適用される建て付け・第3条(4)の共通充電器、第3条(3)第1副項(d)(e)(f)がネットワークへの害の防止と個人データおよびプライバシーの保護と不正からの保護に関わりサイバーセキュリティのリスクに対する保護を支える要素に関わるものとされること、当該委任規則がこれらの必須要件を2025年8月1日から一定のカテゴリーまたはクラスの無線機器に適用させたことおよびその理由、サイバーレジリエンス法（規則（EU）2024/2847）が2024年10月23日に採択され2027年12月11日から全面適用されその附属書Iが(d)(e)(f)の全要素を含むこと、規制の重複を避けるためCRAの関連規定の適用開始日をもって廃止する必要があるとされていること、無線機器に関する専門家グループ（E03587）が2025年6月12日および13日の会合で諮問され草案がBetter Regulationポータルで意見募集にかけられたことの一次情報として。確認日は2026年8月27日。（2026年8月確認）
- *2 参考：European Commission「Radio Equipment Directive (RED)（Single Market and Economy）」（https://single-market-economy.ec.europa.eu/sectors/electrical-and-electronic-engineering-industries-eei/radio-equipment-directive-red_en）。委任規則（EU）2022/30が2021年10月29日に採択され、指令2014/53/EU第3条(3)の(d)(e)(f)に規定する必須要件の適用に関して同指令を補完するものであること、RED本体が2016年6月13日から適用され1年の移行期間が2017年6月12日に終了したこと、REDに基づく委任行為および実施行為の一覧、ならびにRED第45条に基づくTCAM（電気通信適合性評価および市場監視委員会）に関する記載の一次情報として。確認日は2026年8月27日。（2026年8月確認）
