欧州連合（EU）のサイバーレジリエンス法（CRA）は、EU 域内で販売されるソフトウェアおよびハードウェア製品に対し、必須のサイバーセキュリティ要件を導入しています。これらの要件は、設計段階からのセキュリティの確保、脆弱性対応、および製品ライフサイクル全体にわたる継続的な保守義務を含みます。
2026 年9 月11 日、EU CRA は試行段階に入り、欧州市場に上市されるデジタル要素を備えた製品（PDE）の製造業者、輸入業者、販売業者に対し、当該PDE に関連する悪用された脆弱性および重大なセキュリティ・インシデントについて、ENISA および指定された各国のCSIRT に通知することを義務付けました。
EU CRA の脆弱性報告義務への対応はお済みでしょうか。以下にチェックリストをまとめましたので、対応の準備にお役立てください。
対象製品
EU CRA では製品分類システムが定義されており、すべてのソフトウェアは製品の主たる機能に基づいてデフォルトのカテゴリか、またはより厳格なカテゴリのいずれかに分類されます。医療機器やEU 2019/2144（一般安全ならびに車両乗員および交通弱者の保護に関する型式認可要件）など、EU CRA
とは別のサイバーセキュリティ義務が課されている製品は適用対象から除外されます。EU CRA の要件を満たさない場合、ペナルティとして（すべての不適合製品の）全世界売上高に対する一定割合の罰金、またはEU 市場からの不適合製品の排除、あるいはその両方が課されます。
EU CRA の適用対象となるのは、以下の条件を満たした製品です。
- ソフトウェア、ファームウェアを含む製品、あるいはコネクテッド製品（ネットワーク接続機能を有する製品）が機能するために必要なスタンドアロン・ソフトウェア
- EU 内で商用として流通している製品（商業活動を伴わない無償のオープンソース・ソフトウェアは原則として除外）
- 他の業界規制の対象となっていない製品
- 既に欧州市場に出回っている製品も適用対象。EU CRAの要件は新しく販売される製品だけに限定されない。
報告義務と期限
報告のタイムラインは下記が含まれます。
- 24時間：製造業者は、PDE（デジタル要素を備えた製品）のSaaSまたはクラウド・コンポーネントに影響を与える、実際に悪用されている脆弱性またはインシデントについて、ENISA が提供する単一の報告プラットフォーム（SRP）を通じて、製造業者が事象を認識してから24 時間以内に早期警告を提出すること
- 72時間：製造業者は、PDE内で悪用された脆弱性を認識してから72 時間以内に、脆弱性の説明、その影響、講じられている対策、および顧客が講じることができる対策や、統合されたサードパーティ製コンポーネント内の脆弱性、およびPDE の運用を支えるSaaS またはクラウド・コンポーネントに影響を与えるアクティブな悪用によるインシデントを含む、より詳細な通知を行うこと
- 14日：製造業者は、対策が利用可能になってから14日以内に、インシデントの重大度、脆弱性の影響、得られた教訓、およびプロセス改善を網羅した最終報告書を提出しなければなりません。また、インシデント通知の提出から1 か月以内に、PDE のSaaS またはクラウド・コンポーネントに影響を与えるインシデントについては、完全な根本原因分析を提出すること
報告が正しく行えることを2026 年9 月までに検証しておくこと。
SBOM の要件
ソフトウェア部品表（SBOM）は、
- 欧州市場に投入されたすべてのPDE（製品のアップデートを含む）の直接的な依存関係を網羅すること
- 市場監視当局による将来の監査に備えて保管しておくこと
市場監視当局以外の第三者とSBOM を共有する義務はありません。
継続的な脆弱性監視
PDE の製造業者、流通業者、および輸入業者は、欧州脆弱性データベース（EUVD）または欧州委員会が定義するその他のデータソースを通じて伝達される、ソフトウェア・サプライチェーン・リスクの潜在的な変化を特定できる継続的な脆弱性監視プロセスを導入しなければなりません。
- 監視ツールは、悪用される可能性のある脆弱性を優先的に検出すべきだが、オープンソース・ライブラリと統合されたサードパーティ製コンポーネントも含める必要がある
- 製造業者は、PDE のサポート期間中、欧州市場に出荷されたすべての製品を監視しなければならない。また、サードパーティ製コンポーネントを組み込んだ製品については、当該コンポーネントに存在する悪用可能な脆弱性について、規制当局および顧客に通知しなければならない
報告基盤
製造業者は、実際に悪用された脆弱性についてSRP を通じて報告し、ENISA が定める関連情報を提供しなければなりません。また、社内ポリシーおよび手順書には、製品サポート期間を含む製品ライフサイクル全体にわたる脆弱性およびインシデントの報告について規定し、詳細を記述する必要があります。
サイバーセキュリティに関するすべての意思決定は、ツールの選定、脆弱性のトリアージと対処、影響を受ける製品の範囲、および外部とのコミュニケーションを含め、文書化しなければなりません。