はじめに

EUサイバーレジリエンス法（Cyber Resilience Act, Regulation (EU) 2024/2847）(CRA)は、EU市場で提供されるハードウェア及びソフトウェア等の「デジタル要素を備えた製品」について、設計・開発から上市後の脆弱性対応まで、製品ライフサイクル全体にわたるサイバーセキュリティ要件を横断的に定めるEU規則です。CRAは、製品に残存する脆弱性を低減し、利用者が製品のセキュリティ水準やサポート期間を踏まえて選択・利用できるようにすることを目的としています。
CRAは、製造業者に対し、セキュア・バイ・デザイン、セキュア・バイ・デフォルト、リスクアセスメント、第三者コンポーネントの管理、脆弱性の取扱い、セキュリティ更新、技術文書、適合性評価、EU適合宣言及びCEマーキング等を求める一方、2026年9月11日からは「現在悪用されている脆弱性」及び「重大なインシデント」の報告義務が先行適用されます。特に報告義務は、2027年12月11日の全面適用前にEU市場に上市された製品にも及ぶため、製品台帳、脆弱性対応プロセス及び社内エスカレーションの整備を先行させる必要があります。
本稿では、2025年11月13日公開の前記事（以下の別稿）以降の制度・実務上のアップデートを踏まえ、2026年7月27日付欧州委員会ガイダンス、実施規則（EU）2025/2392及びCRAの適用スケジュールを確認したうえで、製造業者の主要義務、報告義務、製品分類、適合性評価及び日本企業の実務対応を整理します。CRAの概要については別稿「EUサイバーレジリエンス法（Cyber Resilience Act, Regulation (EU) 2024/2847）（CRA）の全体像と日本企業がとるべき対応」もご参照ください。なお、本稿は2026年8月10日時点の公表情報に基づきます。

前記事公開後の主なアップデート

前記事（2025年11月公表）以降、CRAの実施に向けた以下の主要な資料・規則が公表されています。

公表時期	資料・規則	概要
2025年12月	実施規則（EU）2025/2392	附属書III・IVの重要製品・クリティカル製品カテゴリーの技術的説明を規定
2026年4月	委任規則（EU）2026/339	RED委任規則（EU）2022/30のサイバーセキュリティ関連必須要件を2027年12月11日から廃止し、CRAとの重複を解消
2026年4月	委任規則（EU）2026/881	調整役CSIRTが通知を他のCSIRTに共有することを例外的に遅延できる条件を規定（製造業者の報告期限には影響せず）
2026年6月11日	第IV章（適合性評価機関の届出等）適用開始	通知機関・適合性評価の制度基盤が稼働
2026年7月27日	欧州委員会ガイダンス（Commission guidance）	67の実務例・フローチャートを含む包括的ガイダンス。対象製品の判断、遠隔データ処理、OSS、実質的改変、サポート期間、報告義務等を解説（法的拘束力なし）
2026年7月	ENISA SRP関連資料（ファクトシート、Assigned Representative登録ガイダンス等）	SRPの構造、Assigned Representative登録手順、FAQ等を公表（User Guidance：2026年7月31日更新、FAQ：8月3日更新）

CRAの適用スケジュール

CRAは段階的に適用されます。日本企業は、特に2026年9月11日の報告義務の先行適用に留意が必要となります。
第71条第2項により、CRAは原則として2027年12月11日から適用されます。ただし、第14条の報告義務は2026年9月11日から、適合性評価機関の届出等に関する第IV章（第35条から第51条）は2026年6月11日から適用されます。また、第69条の経過措置により、2027年12月11日より前にEU市場に上市された製品については、同日以後に「実質的改変」が行われない限り、原則として全面適用の対象とはなりませんが、第14条の報告義務は既上市品にも及ぶことに留意が必要です。

時期	適用される規定	日本企業への影響
2024年12月10日	CRA発効（EU官報掲載後20日）	対象製品の範囲特定、経済事業者としての役割確認を開始
2026年6月11日	第IV章（適合性評価機関の届出等）	通知機関の制度基盤が稼働。重要製品・クリティカル製品の評価ルート確認
2026年9月11日	第14条（報告義務）適用開始	既販品を含む全対象製品について、24時間・72時間・最終報告の体制整備が必要
2027年12月11日	全面適用（第13条等の主要義務）	セキュア・バイ・デザイン、SBOM、技術文書、適合性評価、CEマーキング等の義務が、原則として新規上市製品及び実質的改変後の製品に適用
2027年12月11日〜	RED委任規則（EU）2022/30廃止	無線機器のサイバーセキュリティ要件がCRAに一本化
2028年9月11日まで	SRP有効性評価・ENISA技術報告	欧州委員会によるSRP有効性評価報告及びENISAによる技術報告（以後24か月ごと）

2026年7月27日付欧州委員会ガイダンスの概要

欧州委員会は2026年7月27日、「Commission guidance on the application of the Cyber Resilience Act (CRA)（C(2026) 5252 Annex）」を公表しました。本ガイダンスは法的拘束力を有しませんが（non-binding）、ステークホルダーから最も多く寄せられた質問に対する実務的回答として、以下の主要論点を解説しています。

(1) ガイダンスの対象論点

• 対象製品の判断: 特定製品がCRAの適用対象になるか否かの判断枠組み
• 遠隔データ処理ソリューション: クラウド機能等が製品の一部とみなされる場合の要件
• フリー・オープンソースソフトウェア（FOSS）: 「商業活動の過程外」の判断基準
• 実質的改変（substantial modification）: 既販品にCRA上の義務が新たに発生する場合
• サポート期間: 原則5年以上、製品の合理的利用期間に応じた設定
• 報告義務とリスクアセスメント: 第14条の報告トリガー、期限管理の実務

(2) 中小企業への配慮
ガイダンスは、零細企業（microenterprise）又は小規模企業（small enterprise）にも配慮した構成を採用し、67の実務例、ユースケース、フローチャート及び図表を含みます。第64条第10項には、零細企業又は小規模企業について24時間早期警告期限違反に対する行政制裁金の適用除外が設けられており、ガイダンスも中小企業の実務負担に配慮した構成となっています。

(3) 日本企業への示唆
ガイダンスは法的拘束力を有しないものの、欧州委員会が示す実務上の重要な参照資料であり、日本企業がCRA対応を設計する際に参照すべき資料と考えられます。特に、自社製品が対象に該当するかの判断フレームワーク、遠隔データ処理を含む製品範囲の画定、FOSSコンポーネントの取扱い、及びサポート期間の設定は、ガイダンスに沿った検討が望まれます。

製造業者に課される主要義務

CRAの製造業者義務は、単に上市時点の製品仕様を確認するものではなく、設計・開発、部品調達、製造、販売後の脆弱性処理及び利用者への情報提供を一連のプロセスとして管理することを求めるものです。第13条及び附属書Iが実体的なサイバーセキュリティ要件を定め、第31条・附属書VIIが技術文書を、第32条が適合性評価を定めています。以下では、製品分類と適用時期、制裁リスクとの関係を含めて整理します。

(1) セキュア・バイ・デザイン、セキュア・バイ・デフォルト及びリスクアセスメント
本項では、CRA第13条及び附属書I Part Iに基づく3つの中核概念を整理します。これらは独立した義務ではなく、リスクアセスメントを基盤として、セキュア・バイ・デザイン及びセキュア・バイ・デフォルトの要件が実装される構造をとっています。

①リスクアセスメント（第13条第2項・第3項）
製造業者は、製品に関連するサイバーセキュリティリスクの評価を実施し、その結果を計画、設計、開発、製造、納入及び保守の各段階に反映しなければなりません（第13条第2項）。評価は、意図された目的、合理的に予見可能な使用、運用環境、保護対象及び想定される利用期間を踏まえて行い、附属書I Part I (2)に定める各要件の製品への適用性と実装方法を示す必要があります（第13条第3項）。特定の要件を適用しない場合は、その正当な理由をリスクアセスメント及び技術文書に明確に記載し、評価はサポート期間中に適宜更新しなければなりません（第13条第3項・第4項）。

② セキュア・バイ・デザイン（第13条第1項、附属書I Part I (1)及び(2)の大部分）
製造業者は、製品を附属書I Part Iの必須サイバーセキュリティ要件に従って設計・開発・製造しなければなりません（第13条第1項）。附属書I Part I (2)は、上記リスクアセスメントの結果に基づき適用される設計上の要件として、既知の悪用可能な脆弱性を含まないこと（(a)号）、認証・アクセス管理による不正アクセスからの保護（(d)号）、暗号化等によるデータの機密性・完全性の保護（(e)号・(f)号）、可用性の確保（(h)号）、攻撃面の抑制（(j)号）、ログ・監視機能の提供（(l)号）及びデータの安全な消去（(m)号）等を定めています。

③ セキュア・バイ・デフォルト（附属書I Part I (2)(b)）
上記のデザイン要件とは区別される概念として、附属書I Part I (2)(b)は、製品を安全なデフォルト設定（secure by default configuration）で市場に提供することを求めています。これは、利用者が追加的な設定変更を行わなくとも出荷時点で最も安全な構成が有効であることを意味し、製品を初期状態にリセットする機能の確保も含みます。ただし、特注品（tailor-made product）について製造業者と事業者間で別途合意がある場合は例外とされます。

④ 適用時期及び制裁リスク
第13条第1項から第4項、附属書I及び附属書VIIに基づく主要義務は、原則として2027年12月11日から適用されます。附属書I又は第13条の不遵守は、第64条第2項の対象となり、最大1,500万ユーロ又は前会計年度の全世界年間総売上高の2.5％のいずれか高い額の行政制裁金につながり得ます。

(2) 第三者コンポーネント及びSBOM
① コンポーネント及びSBOMの意義
「コンポーネント」とは、製品に組み込まれるソフトウェアライブラリ、モジュール、ハードウェア部品等の構成要素を指します。製造業者が自ら開発したものに限らず、第三者から調達したオープンソースソフトウェア（以下「FOSS」）や商用ソフトウェア部品も含まれます。「SBOM（Software Bill of Materials：ソフトウェア部品表）」とは、製品に含まれるソフトウェアコンポーネントの名称、バージョン、供給元、依存関係等を一覧化した構造的な台帳であり、脆弱性が発見された際にどの製品が影響を受けるかを迅速に特定するための基盤となるものです。

② 第三者コンポーネントのデューディリジェンス（第13条第5項・第6項）
製造業者は、第三者から調達したコンポーネント（商業活動外で提供されたFOSSを含む。）を統合する際、当該コンポーネントが製品のセキュリティを損なわないようデューディリジェンスを行わなければなりません（第13条第5項）。また、組み込んだコンポーネントに脆弱性を把握した場合は、当該コンポーネントの製造者又は保守者に通知したうえで、製品側で是正・緩和措置を講じる必要があります（第13条第6項）。

③ SBOMの作成・管理義務（附属書I Part II (1)）
附属書I Part IIは、製品に含まれるコンポーネントと脆弱性を特定・文書化し、少なくともトップレベル依存関係（製品が直接利用する主要なソフトウェア部品）をカバーする、一般に使用される機械可読形式（SPDX、CycloneDX等）のSBOMを作成することを求めています。SBOMを一般に公開する義務まではありませんが、附属書VIIの技術文書として管理し、市場監視当局からの要求に応じて提出できる状態にしておく必要があります。

④ 適用時期及び制裁リスク
第13条第5項・第6項、附属書I Part II及び附属書VIIに基づく管理義務は、原則として2027年12月11日から適用されます。これらは附属書I及び第13条の義務として第64条第2項の高額制裁（最大1,500万ユーロ又は全世界年間総売上高の2.5％）の対象となり得るほか、技術文書の不備は第31条違反として第64条第3項の制裁リスク（最大1,000万ユーロ又は同2％）も生じます。

(3) サポート期間及びセキュリティ更新
① サポート期間の意義と設定
製造業者は、製品が合理的に使用される期間を踏まえてサポート期間を設定し、その期間中、脆弱性に適切に対処するとともに、必要なセキュリティ更新を提供しなければならないとされています。サポート期間は原則として5年以上とされていますが、製品の想定利用期間が5年未満である場合はその期間に併せて設定することも可能です。一方、産業用制御システム、ネットワーク機器、OS等、利用期間が長い製品については、5年を超えるサポート期間を設定することが合理的と考えられる場合があります。

② セキュリティ更新と実務上の対応
製造業者は、技術的に可能な限り、セキュリティ更新を機能更新から分離し、利用者が安全に適用できる形で提供しなければなりません。また、製造業者は、サポート期間中に利用者へ提供したセキュリティ更新を、発行後少なくとも10年間又は残存するサポート期間のいずれか長い期間、利用可能な状態に維持する必要があります。さらに、製造業者は、購入時にサポート終了時期を少なくとも月及び年まで明示し、利用者が容易に確認できる方法で表示する必要があります。表示には、製品、包装又はデジタル手段を用いることが考えられます。

③ 適用時期及び制裁リスク
第13条第8項・第9項、附属書I Part II、附属書II及び附属書VIIに基づくサポート・更新義務は、原則として2027年12月11日から適用されます。サポート期間を合理的根拠なく短く設定した場合や必要な更新を提供しない場合は、第13条及び附属書I違反として第64条第2項の対象となり得ます。

(4) 製品分類及び適合性評価
① 製品分類の意義
CRA上の製品分類は、製品名ではなく、製品全体の「中核機能（core functionality）」を基準に、附属書III又は附属書IVのカテゴリーに該当するかを判断します。重要製品（important products）は附属書IIIに掲げられ、Class IとClass IIに分かれます。Class Iは、整合規格等を全面的に適用する場合には内部管理に基づく評価が可能である一方、Class IIは、第三者が関与するより厳格な評価が原則です。

② 適合性評価ルート
クリティカル製品（critical products）は附属書IVに掲げられる製品であり、欧州サイバーセキュリティ認証が求められる場合があるほか、認証スキームがない場合には第32条に基づく第三者評価の対象となります。

③ 実務上の対応
これに対し、附属書III又は附属書IVのカテゴリーに該当しない一般の製品であっても附属書Iの基本要件及び第13条の製造業者義務から免除されるわけではなく、分類による差異は、主として適合性評価手続に現れます。
実施規則（EU）2025/2392は、附属書IIIのClass I/Class II及び附属書IVのカテゴリーについて技術的説明を定めています。同規則は2025年11月28日に採択され、2025年12月1日にEU官報に掲載され、同年12月21日に発効しました。完成品に組み込まれたコンポーネントが重要製品又はクリティカル製品に該当し得るとしても、それのみをもって完成品の分類が変更されるものではなく、完成品の中核機能を基準に判断します。製造業者は、ルーター、インターネット接続用モデム、管理機能を有するスイッチ、OS、ファイアウォール、セキュリティ機能を有するマイクロプロセッサ等について、製品の中核機能に応じて分類を検討する必要があります。

④ 適用時期及び制裁リスク
第7条・第8条、第32条、附属書III・IV及び実施規則（EU）2025/2392が分類・評価ルートの根拠となります。製造業者は、分類判断の結果を2027年12月11日の全面適用に向けた設計・文書化に速やかに反映させる必要があります。技術文書・適合性評価については、第31条第1項から第4項、第32条第1項から第3項等の第64条第3項に列挙された手続義務の違反が、最大1,000万ユーロ又は前会計年度の全世界年間総売上高の2％のいずれか高い額の対象となり得ます。なお、評価の前提となる附属書I又は第13条の不遵守は、第64条第2項の対象となり得ます。

(5) 技術文書・EU適合宣言・CEマーキング
① 技術文書の意義・作成・管理
製造業者は、上市前に、第31条及び附属書VIIに従った技術文書を作成し、製品の一般的説明、意図された目的、製品・ソフトウェアのバージョン、設計・開発・製造、脆弱性対応プロセス、リスクアセスメント、適用した規格・仕様、試験及び適合性評価の証拠を整理します。製造業者は、技術文書を製品の更新や脆弱性情報に応じて適宜更新するとともに、市場監視当局の求めに応じて提示可能な状態にしておく必要があります。

② 適合性評価・EU適合宣言・CEマーキング
製造業者は、第32条に基づく適合性評価を自社で実施し、又は必要な場合に通知機関等に実施させ、適合が確認された後にEU適合宣言を作成し、CEマーキングを付します。製造業者は、EU適合宣言及び技術文書を、上市後少なくとも10年間又はサポート期間のいずれか長い期間、当局が利用できる状態にしておく必要があります。

③ 実務上の対応
日本企業は、実務上、製品分類ごとに適合性評価ルートを確定し、技術文書の更新責任者、保存場所、試験結果及び評価証跡、EU適合宣言の作成・保管手順並びにCEマーキングの表示方法を、製品単位で一貫して管理できる体制を整える必要があります。

④ 適用時期及び制裁リスク
第13条第12項・第13項、第28条、第30条、第31条、第32条及び附属書V・VII・VIIIに基づく義務は、原則として2027年12月11日から適用されます。技術文書・適合性評価については、第31条第1項から第4項、第32条第1項から第3項等の第64条第3項に列挙された手続義務の違反が、最大1,000万ユーロ又は前会計年度の全世界年間総売上高の2％のいずれか高い額の対象となり得ます。

(6) 利用者向け情報、サポート終了時期の表示及び連絡窓口
① 利用者向け情報及びサポート終了時期の表示
製造業者は、附属書IIに沿って、製品の意図された目的、適切な設置・運用方法、セキュリティ更新の適用方法、既知の脆弱性への対処、サポート期間及びその終了時期、製品の安全な廃棄・データ消去等を、利用者が理解できる形で提供します。製造業者は、購入時にサポート終了時期を少なくとも月及び年で明示し、情報をオンラインで提供する場合は、利用者が長期間アクセスできる状態を維持する必要があります。

② 脆弱性受付窓口及び連絡先情報
さらに、製造業者は、脆弱性の報告を受け付ける連絡窓口を設け、その連絡先を利用者及び外部研究者が容易に確認できる状態を確保するとともに、製造業者名、住所、電子メールアドレス等の経済事業者情報とユーザ情報を、製品・包装・付属文書又はデジタル手段で一貫して表示する必要があります。

③ 実務上の対応
日本企業は、実務上、製品・包装・付属文書・ウェブサイト等の表示を製品単位で一元管理し、サポート終了時期の月・年による表示、脆弱性受付窓口、更新手順、既知の脆弱性への対処及び安全な廃棄・データ消去の説明が相互に整合していることを確認する必要があります。

④ 適用時期及び制裁リスク
第13条、附属書I Part II、附属書II及び附属書VIIに基づく情報提供・連絡窓口に関する義務は、原則として2027年12月11日から適用されます。これらの不遵守は、第13条違反として第64条第2項の対象となり得ます。

(7) 報告義務との連携
① 報告義務との連携の必要性
以上の義務は、2026年9月11日から先行適用される第14条の報告義務と切り離して設計することはできません。製造業者が、SBOM、製品・バージョン台帳、サポート期間、脆弱性受付窓口、利用者通知手順及びセキュリティ更新の発行記録を整備していなければ、「現在悪用されている脆弱性」又は「重大なインシデント」を認識した時点から24時間以内の早期警告、72時間以内の本通知、その後の最終報告を正確に行うことは困難です。

② 適用関係と実務上の対応
2026年9月11日に先行適用されるのは第14条の報告義務であり、セキュア・バイ・デザイン、SBOM、技術文書、適合性評価、CEマーキング等の第13条、第31条及び第32条の主要義務が同日から全面的に適用されるわけではありません。第69条の経過措置との関係でも、既上市品については報告義務が及ぶ一方、製造業者は、主要義務が全面適用されるかどうかを判断するため、実質的改変の有無を別途確認する必要があります。

③ 適用時期及び制裁リスク
第14条は2026年9月11日から適用され、報告義務違反は第64条第2項の最高水準の行政制裁金の対象となり得ます。もっとも、零細企業又は小規模企業については、24時間以内の早期警告期限違反に関する制裁の適用に限定的な例外があり、一般的な免責を意味するものではありません。

2026年9月11日からの報告義務

報告義務は、CRA上の各種義務のうち最も早く適用が開始され、既販品にも及ぶため、日本企業にとって最も緊急性の高い対応事項です。

(1) 報告対象
製造業者は、以下の2類型を認識した場合に報告義務を負います（第14条第1項・第3項）。

• 現在悪用されている脆弱性（actively exploited vulnerability）: 悪意ある者がシステム所有者の許可なく当該脆弱性を悪用したとの信頼できる証拠があるもの
• 重大なインシデント（severe incident）: 製品が有する、機微又は重要なデータ若しくは機能の可用性、真正性、完全性若しくは機密性を保護する能力に重大な悪影響を及ぼし、又は及ぼすおそれがあるもの、又は、製品若しくは当該製品の利用者が使用するネットワーク・情報システムへの悪意あるコードの導入若しくは実行をもたらし、又はもたらすおそれがあるもの

(2) 既販品への適用
第69条第3項により、報告義務は2027年12月11日より前にEU市場に上市された製品にも適用されます。したがって、製造業者は、2026年9月11日時点で販売中の製品だけでなく、サポートが終了した旧型番、過去バージョン及び組込みソフトウェアについても、CRAの適用範囲内である限り報告対象に含める必要があります。なお、第14条第1項に基づく積極的に悪用されている脆弱性の報告義務については、製造者が当該脆弱性を知り得た場合には、サポート終了後の製品についても適用される点に注意が必要です。その意味で、サポート終了品も含めて、対象製品の棚卸しを行う必要があります。

(3) 報告期限

報告段階	現在悪用されている脆弱性	重大なインシデント	主な準備事項
早期警告	認識後24時間以内	認識後24時間以内	認識時点の記録、対象製品・販売国の特定、悪意ある行為の疑い等
72時間通知（脆弱性通知／インシデント通知）	認識後72時間以内	認識後72時間以内	製品情報、概要、初期評価、是正・緩和措置、情報の機微性
最終報告	是正又は緩和措置が利用可能となってから14日以内	インシデント通知提出後1か月以内	原因分析、影響範囲、攻撃者情報、更新・緩和措置の経過
利用者への通知	影響を受ける利用者への通知	影響を受ける利用者への通知	リスク軽減策の案内、必要に応じた機械可読形式による通知

現在悪用されている脆弱性に関する最終報告の提出期限は「早期警告の提出から14日後」ではなく、「是正措置又は緩和措置が利用可能となってから14日以内」です。他方、重大なインシデントの最終報告は「インシデント通知提出後1か月以内」であり、両者では期限の起算点が異なります。

(4) 24時間以内の早期警告の意義
24時間以内の早期警告は、原因の究明や修正の完了を求めるものではありません。製造業者が認識時点で把握している範囲の情報（対象製品、販売国、悪意ある行為の疑い等）を報告するための初動手続です。完全な技術調査の終了を待って法務部門や経営層へエスカレーションする従来型の運用は、CRAの報告期限と整合しません。

(5) 「認識」時点の特定
報告期限は、製造業者が脆弱性の悪用又は重大なインシデントを「認識」した時点から起算されます。製造業者は、SOC、PSIRT、品質保証、カスタマーサポート等のいずれの部門が、外部研究者を含む関係者から情報を受領した場合に会社の「認識」とみなすかを事前に定め、受領時刻を記録する仕組みを整備する必要があります。

ENISA Single Reporting Platform（SRP）

SRPは、ENISAが設置・運用する単一の報告プラットフォームであり、製造業者がCRA第14条の報告義務を履行するための電子的な報告窓口です（第16条）。

(1) SRPの基本構造

• 製造業者は、SRPを通じて一度報告すれば足り、複数の加盟国当局に個別に通知する必要はありません。
• 通知は、製造業者の主たる拠点が所在する加盟国の調整役CSIRTに宛てられます。
• 例外的な事情がない限り、通知内容はENISAにも同時に共有されます。
• ENISAは、SRPを2026年9月11日までに運用開始する予定であり、それに先立ってテスト期間を設ける予定です。

(2) EU域内に主たる拠点がない日本企業の報告先
日本の製造業者は、以下の優先順位で報告先CSIRTの加盟国を特定します（第14条第7項）。

優先順位	判断基準	実務上のポイント
第1順位	認定代理人の所在国	当該製造業者の製品を最も多く担当する認定代理人が所在する加盟国
第2順位	輸入業者の所在国	当該製造業者の製品を最も多く上市する輸入業者が所在する加盟国
第3順位	流通業者の所在国	当該製造業者の製品を最も多く提供する流通業者が所在する加盟国
第4順位	利用者の所在地	当該製造業者の製品の利用者が最も多く所在する加盟国

(3) Assigned Representative（提出担当者）の登録とEU Login
ENISAは、SRP上のAssigned Representative（AR：提出担当者）向けに「AR User registration」及び「AR Notification submission and update」のガイダンスを公表しています（2026年7月31日更新）。提出担当者は、EU Loginアカウントを事前に作成でき、Primary AR及びSecondary/Backup ARを登録する運用が想定されています。日本企業は、提出担当者の選定及び権限範囲、休日・夜間におけるアカウントの利用及び二要素認証を含む運用設計を早期に行う必要があります。
なお、SRP上のARは、CRA第18条の認定代理人（authorised representative）とは異なる役割です。EU Loginは事前に作成できますが、ENISAは、SRPへの登録及びCSIRTによる提出権限の確認について、具体的な通知が必要となった時点で開始するよう案内しています。

輸入業者・流通業者との役割分担

CRAは製造業者のみならず、輸入業者及び流通業者にも義務を課します。これらの義務は原則として2027年12月11日から適用されます。

経済事業者	主な義務	製造業者とみなされる場合
製造業者（第13条・第14条）	セキュア・バイ・デザイン、セキュア・バイ・デフォルト、リスクアセスメント、SBOM、技術文書、適合性評価、CEマーキング、報告義務、ユーザ情報、サポート期間	（原始的義務主体）
認定代理人（第18条）	製造業者からの委任に基づく代理行為。ただし、第13条の主要義務の一部は委任の対象外	（製造業者とはみなされない）
輸入業者（第19条）	適合性評価の実施状況並びに技術文書、CEマーキング及び利用者向け情報の整備状況の確認、自社の連絡先表示、文書保存、当局協力	自社の名称・商標で上市した場合、又は実質的改変を加えた場合（第21条）
流通業者（第20条）	CEマーキング、製品識別情報、連絡先及び利用者向け情報の整備状況の確認	自社の名称・商標で上市した場合、又は実質的改変を加えた場合（第21条）
OSSスチュワード（第24条）	セキュリティポリシーの文書化、脆弱性処理への協力、関与の範囲に応じてCRA第14条の一部が適用される	（製造業者とは異なる義務体系）

RED委任規則の廃止とCRAへの移行

委任規則（EU）2026/339は、無線機器指令（RED）の委任規則（EU）2022/30に基づくサイバーセキュリティ関連必須要件を、CRAの全面適用日である2027年12月11日から廃止します。その目的は、REDとCRAの重複を避け、法的確実性を確保することにあります。
無線機器を扱う日本企業は、RED対応プロジェクトをCRA対応と連携させつつ、CRA固有の義務（製品ライフサイクル管理、脆弱性報告、SBOM、技術文書、ユーザ情報、サポート期間等）を別途整理する必要があります。

違反のリスク

CRA第64条に基づく行政制裁金の上限は以下のとおりです。

違反類型	上限額
附属書Iの必須サイバーセキュリティ要件、製造業者の義務（第13条）又は報告義務（第14条）への違反	1,500万ユーロ又は前会計年度の全世界年間総売上高の2.5%のいずれか高い額
認定代理人・輸入業者・流通業者等の義務（第18条〜第23条）及び技術文書・適合性評価等の一定の手続義務への違反	1,000万ユーロ又は全世界年間総売上高の2%のいずれか高い額
不正確・不完全・誤導的情報の提出	500万ユーロ又は全世界年間総売上高の1%のいずれか高い額

なお、零細企業又は小規模企業については、24時間以内の早期警告期限違反に対する一部の行政制裁金が適用されない例外規定があります（第64条第10項）。
もっとも、リスクは罰金に限られません。販売停止、市場からの撤去、リコール、製造物責任、契約上の補償、取引停止及びレピュテーション低下が生じ得ます。

日本企業が優先して進めるべき実務対応

製造業者は、2026年9月11日の報告義務への対応と、2027年12月11日の全面適用に向けた対応を分けて準備する必要があります。

(1) 2026年9月11日までの最優先事項

対応項目	具体的アクション	留意点
対象製品の棚卸し	既販品を含め、EU市場で利用可能な製品、型番、ソフトウェアのバージョン、サポート状況、販売国を一覧化	サポート終了製品、旧型番、過去バージョン、OEM供給品、組込みソフトウェアも対象
報告トリガーの定義	「現在悪用されている脆弱性」「重大なインシデント」「認識」の判断基準を文書化	24時間以内の報告期限の起算点の記録方法、どの部門が認知した時点を会社の「認識」とするか
報告先CSIRT・SRP	第14条第7項に基づくCSIRT加盟国の特定、EU Loginの事前取得、Assigned Representative登録手順の確認	提出担当者、休日・夜間の提出体制、認証手段の確認
社内エスカレーション	PSIRT/SOC、法務、品質保証、広報、経営層への連絡順序と当番体制	24時間は、原因究明の期限ではなく、初動報告の期限。技術調査の完了を待たずに対応
第三者コンポーネント管理	SBOM整備、搭載ライブラリの脆弱性監視、影響を受ける製品の迅速な特定	SBOM、構成管理及び販売データの連携は、報告期限内に判断するための重要な要素
契約改訂	輸入業者・流通業者・主要顧客との情報共有期限、報告作業分担、利用者への通知、必要な言語への翻訳及びリコールに関する責任	「各当事者が適用法令を遵守する」との定めだけでは不十分。製品別の責任分担表を作成
シミュレーション（机上演習）	脆弱性の悪用情報を金曜夜間に受領した場合等を想定し、24時間以内の判断・報告プロセスを検証	判断根拠及びエスカレーション記録等を証跡として保存する方法も確認

(2) 2027年12月11日に向けた中期対応

• セキュア・バイ・デザイン、セキュア・バイ・デフォルトの製品開発プロセスへの組み込み
• リスクアセスメント手法の整備（製品の意図された目的、合理的に予見可能な使用、運用環境を踏まえたサイバーセキュリティリスク評価）
• サポート期間の設定（原則5年以上、製品寿命との整合）
• 実施規則（EU）2025/2392に照らした製品分類の見直し
• 技術文書・EU適合宣言・CEマーキングの準備
• 適合性評価ルートの確認（自己評価、第三者評価又は欧州サイバーセキュリティ認証）
• ユーザ情報・サポート終了時期の表示の整備
• RED対応プロジェクトとの統合（無線機器の場合）

委任規則（EU）2026/881の実務上の位置付け

委任規則（EU）2026/881は、CRA第14条第9項・第16条第2項に関連し、調整役CSIRTが通知情報を他のCSIRTと共有する時期を例外的に遅らせることができる場合のサイバーセキュリティ上の理由及び条件を定めます。
同規則に関する実務上の重要なポイントは以下のとおりです。

• 同規則は、製造業者に課される24時間・72時間の報告期限を延長するものではありません。
• 共有遅延の対象は通知後のCSIRT間の情報共有であり、製造業者の報告義務とは別の仕組みです。
• 調整役CSIRTは、例外的事情と正当な理由がある場合に限り、厳格に必要な期間だけ共有を遅らせることができます。

おわりに

CRAは、EU市場でデジタル要素を備えた製品を提供する日本企業にとって、GDPR以来の大規模な横断的規制対応を求めるものです。2026年9月11日の報告義務の先行適用までの期間は限られているため、日本企業は、既販品を含む製品の棚卸し、報告先CSIRTの特定、SRP提出体制の整備、24時間以内に初動対応を行う体制の構築を最優先で進める必要があります。
2026年7月27日付欧州委員会ガイダンスは法的拘束力を有しませんが、67の実務例を含む包括的な参照資料です。日本企業は、このガイダンスを対象製品の判断、サポート期間の設定、報告義務の運用等に関する実務設計に活用することが望まれます。
また、日本企業は、2027年12月11日の全面適用に向けて、セキュア・バイ・デザイン、セキュア・バイ・デフォルト、SBOM、技術文書、適合性評価及びCEマーキングを製品開発工程に組み込むなど、体系的に対応する必要があります。加えて、CRA対応を単なる法規制対応プロジェクトとして捉えるのではなく、製品セキュリティの品質向上及びサプライチェーン全体の信頼性強化の機会として取り組むことが重要となります。

 

問い合わせ先： info_attorney@tmi.gr.jp

東京オフィス：越元瑞樹

ブリュッセルオフィス：中山 祥