LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUサイバーレジリエンス法（CRA）の話を「2027年12月11日まで時間がある」と整理していた場合、その手前に別の日付があります*2。

CRAは2024年12月10日に発効し、主要な義務は2027年12月11日から適用されます*2。ただし報告義務だけは2026年9月11日から適用されます*2。対象は積極的に悪用されている脆弱性と、製品の安全に影響する重大なインシデントです*1。

EU市場に出るソフトウェアや機器の開発・保守を受託する立場に向けて、誰が、いつまでに、どこへ報告するのかを一次情報から整理します。当てはめは事情によりますので、法務の確認を経て進めてください。

2026年9月11日から何が義務になるのか

まず対象と日付です*1。

欧州委員会は、2026年9月11日から、製造者はデジタル要素を持つ製品の安全に影響する、積極的に悪用されている脆弱性および重大なインシデントを報告することが求められるとしています*1。

ここで押さえたいのは、対象が二種類あることです*1。ひとつは積極的に悪用されている脆弱性、もうひとつは製品の安全に影響を与える重大なインシデントです*1。両者は最終報告の起点が異なるため、社内の運用でも分けて扱う必要があります*1。

CRA全体の日付も並べておきます*2。CRAは2024年12月10日に発効し、主要な義務は2027年12月11日から適用され、報告義務は2026年9月11日から適用されます*2。

ガイダンスも出ています*2。2026年7月27日に、欧州委員会があらゆる規模の製造者、開発者、事業者がCRAの義務を果たせるよう支援する実務的なガイダンスを公表しました*2。報告義務についての説明は、そのガイダンスの9.1節と、CRAの実施に関するよくある質問の5節に含まれるとされています*1。

24時間・72時間・14日——期限の並び

期限は三段構えです*1。

欧州委員会の説明では、製造者は認識してから24時間以内に初期警告を提出し、72時間以内に完全な通知を提出する必要があるとされています*1。

最終報告はここから分かれます*1。積極的に悪用されている脆弱性については、是正措置が利用可能になってから遅くとも14日以内、重大なインシデントについては1か月以内に最終報告を提出する必要があるとされています*1。

この並びで実務上つまずきやすいのは、起点が同じではない点です*1。初期警告と完全な通知は認識を起点にしますが、脆弱性の最終報告は是正措置が利用可能になった時点を起点にします*1。パッチの提供が遅れれば最終報告の期限も後ろへ動く一方、最初の24時間は動きません*1。

「認識した」をいつと見るかも、社内で決めておく論点になります*1。外部の研究者からの連絡、監視の検知、顧客からの申告——入口が複数あるため、24時間の計測開始をどこに置くかを運用ルールとして書いておかないと、事後の説明が難しくなります。

同様の多段階報告は、他の枠組みでも採られています。NIS2指令の対応を進めた組織であれば、24時間・72時間・1か月という並びに見覚えがあるはずです*2。欧州委員会は、CRAがこの分野の他の法令、特にNIS2指令を補完すると説明しています*2。

報告先——単一報告プラットフォームとCSIRT

提出先の設計は、一度だけ出す形です*1。

欧州委員会は、製造者はCRA単一報告プラットフォーム（SRP）を通じて一度だけ報告すると説明しています*1。通知の宛先は、主たる拠点を置く国のCSIRT（コンピュータセキュリティインシデント対応チーム）であり、特に例外的な事情が当てはまらない限り、その情報は同時にENISAにも提供されるとされています*1。

そこから先の共有も規定されています*1。最初に通知を受け取ったCSIRTは、当該デジタル要素を持つ製品が提供されている領域の他のすべてのCSIRTと、遅滞なくその通知を共有するとされています*1。

例外もあります*1。例外的な事情において、サイバーセキュリティに関する正当な理由に基づき、CSIRTは他のCSIRTへの配信を遅らせることを決定できるとされ、2025年12月11日に、そうしたサイバーセキュリティ上の理由を適用する条件をさらに特定する委任法が欧州委員会により採択されたと説明されています*1。

プラットフォーム自体の整備状況も公表されています*1。CRA第16条に基づき、ENISAがSRPの構築を担うとされ、ENISAは公募入札を実施し、SRPの開発を支援する請負業者からサービスを調達したと説明されています*1。SRPは2026年9月11日（CRAの報告要件の適用開始日）までに稼働するとされ、機能面とセキュリティ面の試験が進行中とされています*1。

参照先も示されています*1。ENISAがCRAのSRPに関するよくある質問を維持しているとされ、あわせて欧州委員会のガイダンスとよくある質問が挙げられています*1。関係する協力機関としてはENISAとCSIRTネットワークが示されています*1。

この設計を実務の言葉に置き換えると、提出先を製品ごとに調べ直す必要はないということになります*1。製造者が向き合うのは主たる拠点の国のCSIRTひとつで、そこから先の各国への広がりは受け取った側の仕事として整理されています*1。逆に言えば、主たる拠点をどこと見るかの判断だけは、事前に固めておく必要があります*1。ここが決まっていないと、24時間の時計が動き出してから宛先を探すことになります。

配信を遅らせる例外の存在も、社内の説明では触れておく価値があります*1。提出したのに他国のCSIRTへ届いていないという状況が、規定上ありうるからです*1。委任法で条件が特定されているとはいえ、製造者の側で共有の有無を制御できるわけではない点を前提に、顧客への告知計画は自社で組み立てておく形になります。

全面適用までに動く周辺の手続き

報告義務の前後で、適合性評価の側も動いています*2。

2026年6月11日に適合性評価機関の通知に関する規定の適用が始まり、加盟国は通知当局を指定することとされています*2。2026年12月11日には加盟国全体で十分な数の適合性評価機関を通知することが節目として挙げられています*2。

規格の整備も進みます*2。2026年第3四半期に最初の標準化成果物（横断的な規格と製品固有の規格）、2027年10月30日にさらなる標準化成果物が予定されています*2。2026年第4四半期には、コモンクライテリアに関する欧州サイバーセキュリティ認証制度（EUCC）のCRAへの適合の推定を特定する委任法が挙げられています*2。

この工程が、製品側の準備に効いてきます*2。欧州委員会は、サイバーセキュリティにとって特に重要な一部の製品は、EU市場で販売される前に、通知機関による第三者評価を受ける必要がある場合があると説明しています*2。製品はCRAの要件に適合していることを示すためCEマーキングを付し、各国の市場監視当局が規則の執行を確保するとされています*2。

義務の中身も改めて確認しておきます*2。CRAは製造者に対し、こうした製品の計画、設計、開発および保守を対象とする、義務的なサイバーセキュリティ要件を導入するとされ、これらの義務はバリューチェーンのあらゆる段階で満たされなければならないとされています*2。また製造者に対し、製品のライフサイクルを通じて脆弱性に対応することを求めるとされています*2。

CRAの対象と義務の全体像を押さえたうえで、報告の運用を別立てで用意する形が現実的です。無線機器については、無線機器指令のサイバー要件がCRAへ引き継がれる関係もあわせて確認しておくと、どの枠組みで何を示すのかが整理しやすくなります。

受託開発で先に決めておくこと

着手の順序を挙げます。

第一に、報告の主体が誰かの確認です。CRAの報告義務は製造者に課されています*1。受託して開発・保守を担う立場では、製造者に当たるのは発注元か自社かを契約で確かめておく必要があります。ここが曖昧だと、24時間の起点で誰も動きません。

第二に、認識から24時間の動線です。初期警告は認識から24時間以内です*1。夜間と休日を含めて、誰がSRPへ提出するのかを決めておきます。SRPは2026年9月11日までに稼働するとされていますので、アカウントと権限の準備も早めに済ませたい部分です*1。

第三に、脆弱性とインシデントの分類です。対象は積極的に悪用されている脆弱性と重大なインシデントの二種類で、最終報告の期限も14日と1か月に分かれます*1。受け付けた事象をどちらに寄せるかの判断者を決めておくと、期限の取り違えが減ります。

第四に、拠点とCSIRTの対応づけです。通知の宛先は主たる拠点を置く国のCSIRTです*1。EU域内に拠点を持つ場合と持たない場合で、どのCSIRTが窓口になるかの整理が必要になります。製品が提供されている国のCSIRTへは、受け取ったCSIRTから遅滞なく共有されるとされています*1。

第五に、ガイダンスの参照です。報告義務についての追加の明確化は、2026年7月27日のガイダンスの9.1節と、よくある質問の5節にあるとされています*1。加えてENISAがSRPに関するよくある質問を維持しています*1。運用手順書を書くときは、この三つを参照元として明示しておくと、後の見直しが楽になります。

もうひとつ、社内の説明で混乱しやすいのが「CRAは2027年12月11日から」という一行です*2。主要な義務の適用開始はその日で正しいのですが、報告義務は2026年9月11日からです*2。工程表にこの二つを併記しておくと、報告の準備だけが後ろへ倒れる事故を防げます。

報告の体制を作る作業は、既存の脆弱性対応と重なる部分が多くあります。受付、切り分け、パッチ提供、告知——この流れがすでにある組織であれば、追加するのは期限の計測と提出先です*1。ゼロから作るよりは軽い作業として見積もれます。

CRAの背景も一行だけ添えておきます*2。欧州委員会は、CRAが2020年のEUサイバーセキュリティ戦略とEU安全保障連合戦略に基づくものであり、この分野の他の法令、特にNIS2指令を補完すると説明しています*2。既存のNIS2対応と並べて設計すると、重複が見えやすくなります。

報告義務の適用と手続の詳細は、欧州委員会のサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：CRAの報告義務で押さえる3つの視点

EUサイバーレジリエンス法（CRA）は2024年12月10日に発効し、主要な義務は2027年12月11日から適用されますが、報告義務は2026年9月11日から適用されます。押さえたい視点は三つです。第一に、対象と期限。2026年9月11日から、製造者はデジタル要素を持つ製品の安全に影響する、積極的に悪用されている脆弱性および重大なインシデントを報告することが求められます。認識してから24時間以内に初期警告、72時間以内に完全な通知を提出し、最終報告は積極的に悪用されている脆弱性については是正措置が利用可能になってから遅くとも14日以内、重大なインシデントについては1か月以内です。第二に、提出先。製造者はCRA単一報告プラットフォーム（SRP）を通じて一度だけ報告し、宛先は主たる拠点を置く国のCSIRTで、特に例外的な事情が当てはまらない限り情報は同時にENISAにも提供されます。最初に受け取ったCSIRTは、製品が提供されている領域の他のすべてのCSIRTと遅滞なく共有します。例外的な事情においてはCSIRTが配信を遅らせることができ、その条件を特定する委任法が2025年12月11日に採択されました。SRPはCRA第16条に基づきENISAが構築し、2026年9月11日までに稼働するとされ、機能面とセキュリティ面の試験が進行中とされています。第三に、周辺の工程。2026年6月11日に適合性評価機関の通知に関する規定が適用され、2026年7月27日に最初のガイダンスが公表され、2026年12月11日までに加盟国全体で十分な数の適合性評価機関が通知され、2027年12月11日にCRAが全面適用されます。報告義務についての追加の明確化は、ガイダンスの9.1節とよくある質問の5節に含まれるとされています。

よくある質問

出典

1. *1　参考：European Commission「Cyber Resilience Act – Reporting obligations」（https://digital-strategy.ec.europa.eu/en/policies/cra-reporting）。2026年9月11日から製造者がデジタル要素を持つ製品の安全に影響する積極的に悪用されている脆弱性および重大なインシデントを報告することが求められること、認識してから24時間以内の初期警告と72時間以内の完全な通知、積極的に悪用されている脆弱性について是正措置が利用可能になってから遅くとも14日以内・重大なインシデントについて1か月以内の最終報告、製造者がCRA単一報告プラットフォーム（SRP）を通じて一度だけ報告すること、通知の宛先が主たる拠点を置く国のCSIRTであり特に例外的な事情が当てはまらない限り情報が同時にENISAにも提供されること、最初に通知を受け取ったCSIRTが製品が提供されている領域の他のすべてのCSIRTと遅滞なく共有すること、例外的な事情においてサイバーセキュリティに関する正当な理由に基づきCSIRTが配信を遅らせることを決定できることと2025年12月11日にその条件を特定する委任法が採択されたこと、CRA第16条に基づきENISAがSRPの構築を担い公募入札を実施して請負業者からサービスを調達したこと、SRPが2026年9月11日までに稼働するとされ機能面とセキュリティ面の試験が進行中であること、ENISAがSRPに関するよくある質問を維持していること、報告義務についての追加の明確化が欧州委員会のCRAガイダンスの9.1節およびCRAの実施に関するよくある質問の5節に含まれること、関係する協力機関としてENISAとCSIRTネットワークが示されていることの一次情報として。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：European Commission「Cyber Resilience Act」および「Cyber Resilience Act – Implementation」（https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act）。CRAが2024年12月10日に発効し主要な義務が2027年12月11日から適用され報告義務が2026年9月11日から適用されること、2026年7月27日に欧州委員会があらゆる規模の製造者・開発者・事業者の義務履行を支援する実務的なガイダンスを公表したこと、CRAが製造者に対し製品の計画・設計・開発・保守を対象とする義務的なサイバーセキュリティ要件を導入しこれらの義務がバリューチェーンのあらゆる段階で満たされなければならないこと、製造者に製品のライフサイクルを通じて脆弱性への対応を求めること、サイバーセキュリティにとって特に重要な一部の製品がEU市場で販売される前に通知機関による第三者評価を受ける必要がある場合があること、製品がCEマーキングを付し各国の市場監視当局が執行を確保すること、CRAが2020年のEUサイバーセキュリティ戦略とEU安全保障連合戦略に基づきNIS2指令を補完すること、ならびに実施の工程（2025年11月28日の重要製品・重大製品の技術的記述に関する実施法、2025年12月11日の単一報告プラットフォームを通じた配信をCSIRTが留保する場合に関する委任法の採択、2026年6月11日の適合性評価機関の通知に関する規定の適用開始と加盟国による通知当局の指定、2026年7月27日の最初のガイダンス、2026年第3四半期の最初の標準化成果物、2026年9月11日の報告義務の適用開始、2026年第4四半期のEUCCの適合の推定に関する委任法、2026年12月11日までの十分な数の適合性評価機関の通知、2027年10月30日のさらなる標準化成果物、2027年12月11日の全面適用）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet