nexsight cyber intelligence / signal online wire desk · issue 560
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

規制・コンプライアンス / COMPLIANCE / EU

EUサイバーレジリエンス法の報告義務が9月11日に発効 — 製造者に24時間以内の通知を義務付け

欧州委員会は、EUサイバーレジリエンス法（CRA）の報告義務が2026年9月11日から適用されると案内している。対象となるのはEU市場で販売されるデジタル要素を含むハードウェア・ソフトウェアの製造者で、積極的に悪用されている脆弱性や重大インシデントをENISAへ早期通知することが求められる。同法は2024年12月に発効し、製品の企画から保守までのサイバーセキュリティ要件を段階的に義務化している。

規制・コンプライアンス NEXSIGHT CYBER WIRE 編集部 5–6 min read

欧州委員会は、EUサイバーレジリエンス法（Cyber Resilience Act, CRA）の報告義務が2026年9月11日から適用されると案内している。デジタル要素を含むハードウェア・ソフトウェア（products with digital elements）をEU市場で販売する製造者に、積極的に悪用されている脆弱性や重大なインシデントのENISA（EUサイバーセキュリティ機関）への通知が新たに義務付けられる。

同法は2024年12月10日に発効したEUの横断的な製品サイバーセキュリティ規則で、主要な製品要件の適用は2027年12月11日からと段階的に進む。報告義務はそれに先行して発効する最初の大きなマイルストーンとなる。

9月11日から何が始まるか

欧州委員会の政策ページ「Cyber Resilience Act」によると、報告義務（reporting obligations）は2026年9月11日から適用される。委員会は同ページで「As of 11 September 2026, manufacturers are required to report actively exploited vulnerabilities and severe incidents」と記載し、製造者に対し積極的な悪用が確認された脆弱性と重大インシデントの報告を求めていると説明している。

報告先はENISAの単一報告プラットフォームで、法令（Regulation (EU) 2024/2847）第14条は**「不当な遅延なく、遅くとも24時間以内」の早期通知（early notification）、続く72時間以内の詳細報告と最終報告**の段階的な枠組みを定めている。欧州委員会は2026年7月27日に、製造者や開発者、マイクロ企業・中小企業を含むあらゆる規模の事業者が義務を満たすための実務ガイダンスを公表し、通知の手順や情報の範囲を補足している。

委員会は、CRAが製品の企画、設計、開発、保守の全段階でサイバーセキュリティ要件を義務化し、ライフサイクルを通じた脆弱性への対応を求めることも強調している。一部の重要製品では、EU市場での販売前に第三者機関（notified body）による適合性評価が必要となり、適合製品にはCEマーキングの付与が求められる。執行は各国の市場監視当局が担う。

法令の位置付けとスケジュール

CRA（Regulation (EU) 2024/2847）は、2020年のEUサイバーセキュリティ戦略とEU Security Union戦略を踏まえ、EU域内で安全なハードウェア・ソフトウェアが開発・流通するための条件を整えることを目的とする。既存のNIS2指令を補完し、製品側のセキュリティを底上げする役割を担うと委員会は位置付けている。

主なスケジュールは次のとおりだ。

  • 2024年12月10日: CRA発効
  • 2026年7月27日: 委員会が実装に関する実務ガイダンスを公表
  • 2026年9月11日: 報告義務の適用開始（積極的悪用の脆弱性・重大インシデントのENISAへの通知）
  • 2027年12月11日: 主要な製品サイバーセキュリティ要件の適用開始

委員会は、報告義務の詳細やFAQ、法的テキスト、適合性評価や標準化、中小企業・オープンソースへの配慮を含む実装支援文書一式を同政策ページから案内している。

日本企業への影響 — EUで販売する製品が対象

CRAの義務はEU市場で製品を「提供（made available）」する製造者に適用される。EU域外で開発された製品であっても、EUで販売・流通する場合は製造者が報告や製品要件の責任を負う。日本のメーカーやソフトウェアベンダー、SaaSを含むコンポーネント提供者も、EU向けに製品を提供していれば対象となり得る。

欧州委員会が示す実装ガイダンスは、脆弱性管理プロセス、SBOM（ソフトウェア部品表）を含むサプライチェーンの透明性、セキュリティ更新の提供体制、通知プロセスの整備を求めている。特に報告義務については、**「積極的に悪用されている脆弱性を認識してから24時間以内の早期通知」**を起点とするため、平時からの検知・トリアージ体制とENISAへの報告経路の確保が不可欠になる。

日本企業が取るべき実務対応として、委員会の案内に基づけば次の整理が求められる。

  • 対象製品の棚卸し: EUで販売するハードウェア、ソフトウェア、コンポーネントのうち「デジタル要素を含む製品」に該当するものを特定する。
  • 脆弱性対応と情報管理の整備: ライフサイクルを通じた脆弱性の受付・評価・修正、顧客へのセキュリティ更新の提供、SBOM等の文書管理を整える。
  • 通知体制の確保: 積極的悪用の脆弱性や重大インシデントを検知した際に、ENISAへ24時間以内に早期通知できる連絡体制と証跡管理を整備する。委員会のガイダンスとFAQに基づき、通知に含める情報と後続の詳細・最終報告の流れを確認する。

欧州委員会は、CRAを「消費者がサイバーセキュリティを考慮して製品を選び、安全に設定できるようにするための規則」と説明している。報告義務の開始は、製品のセキュリティを市場全体で可視化する最初のステップと位置付けられており、EUで事業を展開する日本企業にとっても製品セキュリティと規制対応を一体で捉える体制が求められる局面に入ったとしている。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。