LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

認証は取った時点が終わりではありません。EUのサイバーセキュリティ認証制度EUCCは、証明書を持ち続けるあいだ、脆弱性を受け取り、分析し、伝える義務を課します*1。

根拠は委員会実施規則(EU) 2024/482です*1。2024年1月31日に採択され、サイバーセキュリティ法（規則(EU) 2019/881）の第49条第7項に基づいて、コモンクライテリアに基づく欧州のサイバーセキュリティ認証制度を定めました*1。適用は2025年2月27日からです*1。

本記事は、EU域内へICT製品を出す企業の開発部門と、その組込み開発や脆弱性対応を受託する立場に向けて、制度の骨格と取得後に続く義務を整理します。個別の製品への当てはめは、公式資料と認証機関への確認を経て進めてください。

どういう制度で、いつから始まるのか

まず枠組みです。この制度は、既存の国際的な評価基準の上に立っています*1。

評価に用いる標準は二つ、コモンクライテリアと共通評価方法論です*1。EUCCは、コモンクライテリアの脆弱性評価のファミリ（AVA_VAN）の構成要素1から5を使います*1。この五つが、ICT製品の脆弱性を分析するための主要な決定要因と依存関係を与えるという整理です*1。

適用の日付は2025年2月27日です*1。第IV章と附属書Vだけは、規則の発効日から適用されました*1。発効そのものは、官報での公示から20日後という通常の形です*1。

移行の扱いも置かれました。従来の各国の認証制度で進んでいた案件については、認証の手続が規則の発効から24か月以内に完了することを条件として扱えるとされています*1。各国制度で発行された証明書は見直しの対象になりえ、見直された証明書に代わる新しい証明書は、この規則に従って発行されます*1。

そして、逃げ道がない点が一つあります。サイバーセキュリティ法第53条の意味における自己適合宣言は認められません*1。第三者による評価が前提の制度だということです。情報セキュリティマネジメントの認証と同じく、外部の機関が関与する形になります。

保証レベルは二つ、AVA_VANは五つ

どこまでの水準を取るかは、はっきり分かれています*1。

認証機関が発行できるのは、保証レベル「相当（substantial）」または「高（high）」の証明書です*1。対応は次のとおりです。

選ぶ側にも作業があります。EUCCの証明書を申請する者は、ICT製品の意図された用途に関する文書と、その用途に伴うリスクの水準の分析を提出し、選んだ保証レベルが妥当かどうかを適合性評価機関が評価できるようにすることとされました*1。高いレベルを選べばよいという話ではなく、用途とリスクから説明する必要があるという組み立てです。

評価する側の要件も厳しく置かれています。「高」の水準で評価を行う適合性評価機関は、認定に加えて技術的な能力を担保する認可を得ることとされました*1。試験所（ITSEF）の技術的な能力は、ISO/IEC 17025による認定と、ISO/IEC 23532-1による補完で評価されます*1。要員の力量の管理にはISO/IEC 19896-1と19896-3が参照されます*1。

加えて、「高」の水準で証明書を発行する認証機関と、関係する試験所は、相互の評価（ピアアセスメント）を受けることとされました*1。認証機関が調和の取れた形で働き、同じ品質の証明書を出しているかを確かめるための仕組みです*1。

技術分野という区分も置かれています。似た機能や特性を持つ製品の集まりを指す参照の枠組みで、「スマートカードおよび類似の機器」と「セキュリティボックスを備えたハードウェア機器」が挙げられました*1。前者の分野で認可を受ける試験所は、コモンクライテリアの支援文書「スマートカードおよび類似の機器のセキュリティ評価に関するITSEFの最低要件」に定める技術的な能力を示すこととされています*1。後者では、ハードウェア機器に対する評価活動を行うための最低限の技術要件を示すことが求められます*1。

認可の前提として試験所に求められるのは、既知の脆弱性が存在しないことを判定できること、当該技術について最新の水準のセキュリティ機能が正しく一貫して実装されていることを判定できること、そして対象の製品が熟練した攻撃者に耐えることを判定できることです*1。「高」を狙うということは、この水準の試験に耐える製品を作るということでもあります。

申請の時点で、脆弱性の手順を出す

提出物のなかに、開発体制そのものを問うものがあります*1。

申請者は、認証機関と試験所に対して次の情報を提供します。サイバーセキュリティ法第55条にいう補足のサイバーセキュリティ情報を載せた自社サイトへのリンク、そして申請者の脆弱性の管理と開示の手順についての説明です*1。

つまり、製品を評価してもらう前に、脆弱性を扱う仕組みが動いていることを示す必要があります。脆弱性対応の体制が場当たり的だと、この段階で書けるものがありません。

申請者が引き受ける約束も列挙されました*1。完全で正確な情報を提供し、求められれば追加の情報も出すこと。証明書が発行される前に、その製品を認証済みとして宣伝しないこと。証明書に定められた範囲についてのみ認証済みとして宣伝すること。そして証明書が停止、取消、あるいは失効した場合には、認証済みという宣伝を直ちにやめることです*1。

文書の保存期間も定められています。関連するすべての文書は、証明書の失効後5年間、認証機関、試験所、そして申請者が保持することとされました*1。

評価の方法にも選択肢があります。認証は製品のセキュリティターゲットに対して行われ、申請者が定めるか、認証済みのプロテクションプロファイルを組み込む形かのいずれかです*1。プロテクションプロファイルは、それが対象とする分類の製品を認証する目的だけのために認証されます*1。

取得後に続く——脆弱性の管理と開示

この制度のいちばんの特徴が、第VI章に置かれています*1。

適用の範囲は明確です。この章は、EUCCの証明書が発行されたICT製品に適用されます*1。取ったら終わりではないことが、条文の構造として示されています。

求められることを順に挙げます。

第一に、手順を確立して維持することです。証明書の保有者は、必要な脆弱性の管理の手順をすべて確立し維持することとされ、必要に応じてEN ISO/IEC 30111に定める手順で補完します*1。

第二に、受け取る窓口を公開することです。製品に関する脆弱性の情報を外部から受け取るための適切な方法を維持し、公開することとされました*1。外部には、利用者、認証機関、そしてセキュリティ研究者が含まれます*1。

第三に、記録して影響を分析することです。認証済みの製品に影響しうる潜在的な脆弱性を検知し、または情報を受け取った場合、それを記録し、脆弱性の影響分析を行います*1。分析は評価対象と証明書に記載された保証の記述を参照し、その脆弱性の悪用のしやすさと重大さに見合う時間の枠内で行うこととされています*1。該当する場合には攻撃可能性の計算を行い、証明書のAVA_VANの水準を考慮に入れます*1。

第四に、依存する側へ伝えることです。潜在的な脆弱性が合成製品に影響する場合、依存するEUCC証明書の保有者へ、その潜在的な脆弱性について知らせることとされました*1。自社の部品が他社の認証の前提になっている場合、連絡の相手が増えます。

そして、影響分析の結果、その脆弱性が製品と証明書との適合に影響する見込みがあるときは、脆弱性影響分析報告書を作成します*1。認証機関からの合理的な求めがあれば、潜在的な脆弱性に関するすべての関連情報を伝えることも義務です*1。

SBOMの作成と管理で整えた部品の一覧は、この影響分析の起点になります。どの部品が、どの証明書の範囲に入っているのかを引ければ、分析の時間が縮みます。

不適合と一時停止——30日、42日、1年

守れなかった場合の手順も、期間つきで定められています*1。

認証済みの製品やプロテクションプロファイルが規則の要件に適合しない場合、認証機関は保有者へ不適合を伝え、是正の措置を求めます*1。保有者は、認証機関が定める期間内に是正の措置を提案しなければならず、その期間は30日を超えません*1。

緊急の場合、あるいは保有者が認証機関に十分に協力しない場合、認証機関は遅滞なく証明書を停止できます*1。適切な是正の措置が期間内に提案されなければ、停止または取消です*1。

停止そのものにも上限があります。認証機関が行う停止の期間は、事情に見合ったものであって42日を超えません*1。停止の期間は決定の翌日から始まり、停止は証明書の有効性そのものには影響しません*1。正当な理由がある場合、国のサイバーセキュリティ認証当局が期間の延長を認められますが、停止の合計の期間は1年を超えられません*1。

制度の外側への波及も定められました。他のEU法令が、この規則に基づく証明書によって適合の推定を認めている場合、国の当局は、その法令を所管する市場監視当局へ停止の事実を知らせます*1。不適合が見つかった場合も同様に通知されます*1。

この連結が意味するのは、EUCCの証明書が止まると、それを根拠にしていた別の制度の適合も揺らぐということです。サイバーレジリエンス法のような製品規制と組み合わせて使う場合、影響の範囲を先に把握しておく必要があります。

なお、認証済み製品に影響する脆弱性の事案は、この不適合の条文ではなく第VI章で扱われます*1。脆弱性は不適合とは別の道筋で処理されるという切り分けです。

有効期間5年と、見直しの引き金

証明書の寿命についても条文があります*1。

EUCC証明書の有効期間は5年を超えません*1。ただし例外があり、国のサイバーセキュリティ認証当局の事前の承認があれば、5年を超えることもできます*1。承認した当局は、欧州サイバーセキュリティ認証グループへ遅滞なく通知します*1。

期間の途中でも、見直しが入ります。保有者の請求、またはその他の正当な理由により、認証機関は証明書の見直しを決定できます*1。見直しの範囲は認証機関が定め、必要なら試験所へ再評価を求めます*1。結果として、証明書を確認するか、取り消すか、取り消したうえで同一の範囲の新しい証明書を発行するかが決まります*1。

保有者の側から見直しを求められる場面も、三つ挙げられています。証明書が9か月以内に失効する場合。製品そのもの、またはセキュリティ機能に影響しうる別の要因に変更があった場合。そして、現在のサイバー攻撃に対する製品の耐性についての保証を再確認するために、脆弱性評価をやり直したい場合です*1。

三つ目が独特です。製品が変わっていなくても、脅威の環境が変わったことの影響を評価する必要があるときは、再評価の請求を認証機関へ提出することとされました*1。再評価は前回と同じ試験所が、なお有効な結果をすべて再利用して行います*1。評価の焦点は、変化した脅威の環境によって影響を受けうる保証の活動、とくにAVA_VANのファミリと、開発環境の維持について十分な証拠を改めて集める保証ライフサイクル（ALC）のファミリです*1。

再評価の報告書と更新された証明書は、国の当局とENISAへ提供され、ENISAのサイバーセキュリティ認証のウェブサイトで公表されます*1。製品を変えていなくても、世の中の攻撃が変われば評価をやり直すという考え方が、条文として置かれている点は押さえておきたいところです。

受託・システム側で押さえる要点

認証を取る側でも、その開発を受託する側でも、いま確かめられることを挙げます。

第一に、脆弱性の受付窓口が公開されているかです。利用者、認証機関、そしてセキュリティ研究者から情報を受け取る方法を維持し公開することとされています*1。問い合わせフォームがあるだけで、報告の宛先が示されていない状態は、この要件を満たしません。

第二に、影響分析を時間の枠内で回せるかです。悪用のしやすさと重大さに見合う時間で行うこととされました*1。判断の材料として、評価対象の範囲と保証の記述をすぐ参照できる状態にしておきます。

第三に、依存関係を引けるようにすることです。合成製品では、依存するEUCC証明書の保有者へ連絡します*1。自社の部品がどの製品に組み込まれ、どの証明書の前提になっているかを、台帳として持てるかが問われます。

第四に、5年の保存に耐える記録を持つことです。認証の過程で提供した情報の記録と、認証済み製品の見本を、証明書の取消の後5年以上、保護された形で保管することとされています*1。組込みファームウェアの開発では、ビルドの再現性まで含めて考える論点になります。

第五に、宣伝の文言を管理することです。証明書の発行前に認証済みと称さないこと、範囲を超えて称さないこと、停止や取消のときは直ちにやめること*1。製品ページや資料の更新を、証明書の状態と連動させる仕組みが要ります。

受託で進める場合の注意点も挙げておきます。

30日という時計を見込むことです。不適合が伝えられてから是正の措置を提案するまでは30日以内です*1。委託先へ確認して回ってから、では間に合いません。

脅威の変化を追う担当を決めることです。製品が変わらなくても再評価が必要になる場面があります*1。誰がその判断をするのかが決まっていないと、気づいたときには証明書の残り期間が短くなっています。

他の制度との接続を確かめることです。EUCCの証明書は、他のEU法令で適合の推定に使われる場合があります*1。サイバーレジリエンス法の報告義務やIoT機器のセキュリティ適合と、どこがつながっているかを整理しておきます。

体制としては、製品開発と脆弱性対応の両方を追える要員が入れるかが分かれ目になります。認証を取るための一時的な体制ではなく、証明書が生きているあいだ動き続ける仕組みとして設計できるか。この制度が問うているのは、そこだと読めます。

まとめ：EUCCで押さえる3つの視点

EUCCは、委員会実施規則(EU) 2024/482によって定められた、コモンクライテリアに基づく欧州のサイバーセキュリティ認証制度です。2024年1月31日に採択され、適用は2025年2月27日からです。押さえたい視点は三つあります。第一に、水準の選び方です。保証レベルは「相当」と「高」の二つで、それぞれAVA_VANの1または2、3または4または5に対応します。申請者は、製品の意図された用途に関する文書と、その用途に伴うリスクの水準の分析を提出し、選んだ保証レベルが妥当であることを示します。自己適合宣言は認められていません。第二に、申請の提出物です。補足のサイバーセキュリティ情報を載せた自社サイトへのリンクと、脆弱性の管理と開示の手順の説明が求められます。認証済みと称する宣伝の範囲や、停止・取消のときに直ちにやめることも、申請者が引き受ける約束に含まれます。第三に、取得後に続く義務です。脆弱性の情報を利用者や研究者から受け取る方法を維持して公開し、記録して影響分析を行い、合成製品では依存する証明書の保有者へ連絡します。不適合が伝えられた場合の是正案の提出は30日以内、停止は1回あたり42日以内で合計1年を超えられません。証明書の有効期間は5年以内です。

よくある質問

出典

1. *1　参考：欧州連合官報「Commission Implementing Regulation (EU) 2024/482 of 31 January 2024 laying down rules for the application of Regulation (EU) 2019/881 … (EUCC)」（2024年2月7日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32024R0482）。採択日と根拠となるサイバーセキュリティ法第49条第7項、第50条の発効と2025年2月27日からの適用および第IV章・附属書Vの扱い、24か月の移行、第3条の評価標準、第4条の保証レベルとAVA_VANの対応、第6条の自己適合宣言の不許可、第8条の申請時の提出物と5年の保持、第9条第2項の申請者の約束、第12条の5年の有効期間と事前承認による延長、第13条および附属書IVの見直しと再評価、第28条・第29条の30日、第30条の42日と合計1年および市場監視当局への通知、第VI章の脆弱性管理と開示、第41条の5年の保存、認証機関と試験所の認定・認可およびピアアセスメントの一次情報として（2026年8月確認）

Tweet