Cyber Resilience Actのセキュリティニュース – ナウレッジ株式会社

EU CRA の適用範囲や「大幅な変更」の考え方、欧州委員会が 67 の事例付きガイダンスを公表済み

Sun, 18 Oct 2026 15:00:00 GMT

概要

EU サイバーレジリエンス法（CRA・Regulation (EU) 2024/2847）について、欧州委員会は 2026 年 7 月 27 日に実施を支援する初のガイダンス（C(2026) 5252）を公表しています。リモートデータ処理やフリー・オープンソースソフトウェアが適用範囲に入るか、何が「大幅な変更（substantial modification）」にあたるか、サポート期間の考え方、報告義務とリスク評価の満たし方を、67 の実例で説明しています。ガイダンスに法的拘束力はなく、零細企業・中小企業に特に配慮したと説明しています。欧州委員会は CRA 第 26 条に沿って、必要に応じて追加のガイダンスを検討するとしています。

日本企業への影響と対応のポイント

EU 市場にデジタル要素を持つ製品（ハードウェア・ソフトウェア）を出す製造者・輸入者・販売者と、その部品やソフトウェアを供給する企業が対象です
製品が CRA の対象か、既存製品の更新が「大幅な変更」にあたるか、サポート期間をどう定めるかを、ガイダンスの事例に照らして確認しておくことを推奨します。報告義務は 2026 年 9 月 11 日から適用済みで、主要な義務は 2027 年 12 月 11 日から適用されます

出典

Commission publishes new guidance to support timely Cyber Resilience Act implementation（2026-07-27・European Commission）
Cyber Resilience Act - Implementation（2026-07-27 更新・European Commission）

出典: European Commission

EU CRA の整合規格、欧州委員会が策定期限を 2 か月延ばす標準化要請の改正草案を公示（未採択）

Sat, 17 Oct 2026 15:00:00 GMT

概要

CRA（サイバーレジリエンス法）の整合規格に関する動きです。欧州委員会の域内市場・産業総局（DG GROW）は 2026 年 7 月 7 日、Regulation (EU) 2024/2847（CRA）の整合規格の策定を CEN・CENELEC・ETSI に求めた標準化要請 M/606（実施決定 C(2025)618）を改正する実施決定の草案を、欧州標準化規則（Regulation (EU) No 1025/2012）第 12 条に基づく通知として公示し、8 月 3 日まで意見を募りました。草案は附属書 I の「標準化機関による採択期限」のうち、リスクに基づく設計・開発・製造の水平規格（項目 1）と脆弱性対応の水平規格（項目 15）を 2026 年 8 月 30 日から 10 月 30 日に、重要製品・クリティカル製品向けの製品別規格（項目 16〜41）を 2026 年 10 月 30 日から 12 月 31 日に延ばす内容で、理由は「手続き上・技術上の複雑さ」と説明しています。残りの水平規格（項目 2〜14）の期限 2027 年 10 月 30 日は変わりません。

草案には「欧州委員会として採択・承認したものではない」と明記されており、欧州委員会の CRA 標準化ページ（7 月 31 日更新）も実施決定 C(2025)618 だけを掲載しています。延びるのは標準化機関が規格を採択する期限であって、規格の発行日や、CRA 第 27 条の適合推定が使えるようになる EU 官報への引用の時期は示されていません。CEN-CENELEC が 10 月 2 日に示した資料では、水平規格のうち EN 40000-1-1（用語）と EN 40000-1-2（原則・製品リスク管理）が正式投票の段階にあり、EN 40000-1-3（脆弱性対応）は正式投票の期間を 4 週間に短縮して官報引用を目指すと説明しています。CRA の主要な義務の適用日 2027 年 12 月 11 日と、9 月 11 日から適用済みの報告義務（既報）は変わっていません。

日本企業への影響と対応のポイント

関係する企業: EU 市場にソフトウェアやネットワーク接続機器などデジタル要素を持つ製品を出す製造者と、その EU 向け製品に部品・ソフトウェアを供給するサプライヤー。整合規格による適合推定を前提に 2027 年 12 月の本格適用への準備を計画している企業に関係します
整合規格の官報引用の時期は未定のままなので、該当する企業は整合規格の完成を待たずに CRA 附属書 I の必須要件に沿った自己評価と脆弱性対応体制の整備を進め、CEN-CENELEC の策定状況（正式投票・官報引用）と欧州委員会による改正決定の採択を定期的に確認することを推奨します。EU 向け製品を持たない企業は様子見で問題ありません

出典

Notification system – European standards（DG GROW の通知一覧。2026-07-07「Draft standardisation request amending Commission Implementing Decision C(2025)618」）（2026-07-07・European Commission）
草案の本文 PDF「1st CRA SReq amd」（2026-07-07・European Commission）
Cyber Resilience Act – Standardisation（2026-07-31 更新・European Commission）
The Cyber Resilience Act: Preparing for new requirements and emerging standards（CEN-CENELEC の講演資料。Dansk Standard のイベントで公開）（2026-10-02・CEN-CENELEC）

出典: European Commission（DG GROW）

EU サイバーレジリエンス法（CRA）の報告義務が 9 月 11 日から適用、ENISA が単一報告プラットフォームを稼働

Mon, 05 Oct 2026 15:00:00 GMT

概要

欧州委員会の案内によると、サイバーレジリエンス法（Regulation (EU) 2024/2847・CRA）のうち製造者の報告義務は 2026 年 9 月 11 日から適用されています。製造者は、デジタル要素を持つ製品で実際に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントについて、認知から 24 時間以内に早期警告、72 時間以内に通知を行い、脆弱性については是正措置の提供から 14 日以内に、インシデントについては通知から 1 か月以内に最終報告を行います。届出は主たる拠点のある加盟国の CSIRT に対して行い、ENISA にも同時に共有されます。

ENISA は同日、届出の窓口となる「CRA 単一報告プラットフォーム（Single Reporting Platform・SRP）」の初期運用能力（initial operating capability）を稼働させたと発表しました。1 回の届出で関係するすべての当局に情報が届く仕組みで、FAQ・利用マニュアル・チュートリアル動画・ヘルプデスクが用意され、機能は今後数か月かけて拡充される予定です。オープンソースソフトウェアのスチュワードに対する報告義務と、設計・開発・脆弱性対応などの CRA の主要な義務は、2027 年 12 月 11 日から適用されます。

日本企業への影響と対応のポイント

関係する企業: EU 市場にソフトウェアやネットワーク接続機器など「デジタル要素を持つ製品」を出している製造者（日本企業が EU 向けに販売する場合を含む）。EU 製の製品を仕入れて国内で使うだけの企業には、直接の義務はありません
該当する場合は、脆弱性やインシデントを認知から 24 時間以内に届け出られる社内の連絡体制と、SRP の利用手順（アカウント・担当者）を確認することを推奨します。該当しない場合でも、EU 向け製品を扱う取引先から情報提供を求められる可能性があるため、問い合わせの窓口を決めておくと対応がしやすくなります

出典

The CRA Single Reporting Platform is launched（2026-09-11・ENISA）
Cyber Resilience Act – Reporting obligations（2026-09-11 更新・European Commission）
Cyber Resilience Act（European Commission）

出典: ENISA（EU サイバーセキュリティ機関）