デジタル製品に課せられた新たな法的義務と日本企業に求められる対応とは│どう向き合う？「EUサイバーレジリエンス法」

1. 「サイバーレジリエンス法（CRA）」制定の背景

IoT化に伴い、ネットワークに接続する製品が急速に拡大する一方、製品における脆弱性対応などの不備が社会的コストとなっていました。EUはこれを是正すべく、製品側に横断的な必須のサイバーセキュリティ要件を課す規則（Regulation）としてCRAを制定し、設計段階からのセキュリティ対策や文書化、CEマーキング、市場監視までを一体で求めようとしています。サイバーセキュリティに関連するEUの従来の法規則「NIS/NIS2（*1）」は、事業者側の体制義務が中心で、製品そのものの要件は限定的でした。CRAはその不足を補い、製品の安全性を製造業者の法的責任として明確化しています。

*1 NIS/NIS2：NISとは、Network and Information Systems Directiveの略称で、EU域内における重要インフラの運営組織やデジタル事業者に対し、高度なサイバーセキュリティ対策を義務づけた法規則のこと。NISは2016年に発効され、改訂版のNIS2は2023年に発効された

2. CRAの施行スケジュールと対象製品

CRAの主な施行スケジュールは以下のとおりです。

・2024年12月：CRAの発効
・2026年6月：適合性評価機関の通知規定（*2）を先行して施行
・2026年9月：製品における脆弱性・インシデント報告義務を先行して施行
・2027年12月：CRAの全面施行

また、対象製品は「PDE（Products with Digital Elements：デジタル要素を持つ製品）」であり、ネットワークに直接・間接で接続される「ハードウェア」「ソフトウェア」「組み込みファームウェア」などが広く含まれます。ただし、すでに個別規則がある医療機器・自動車・航空・防衛等は除外されます。一方、純粋なSaaSは原則対象外ですが、製品の機能に不可欠なリモート処理はPDEの一部として扱われるため、ケースごとの検討が必要です。

*2 適合性評価機関の通知規定：「適合性評価機関」とは、CRAの適用対象製品（PDE）におけるサイバーセキュリティ要件への適合性評価を実施する機関を指す。CRAには、EU加盟各国が、自国における適合性評価機関を、欧州委員会、ならびに他の加盟国に通知することが義務づけられている

3. CRAが企業に求める主な義務

CRAはPDEの製造業者に様々な対応を義務づけています。以下、その主要な義務について概要をまとめておきます。

3-1. セキュリティ・バイ・デザインの遂行

EU市場で販売されるPDEについては、セキュリティ・バイ・デザインの遂行が求められます。言い換えれば、設計段階からセキュリティ対策を組み込み、開発を進めて、悪用可能な既知の脆弱性がない状態で製品を出荷することが義務づけられます。

セキュリティ・バイ・デザインの遂行に当たっては、自社のPDEが満たすべきサイバーセキュリティの必須要件とリスクの分析・評価を実施し、技術文書に記録します。そのうえで、リスク評価の結果に基づきながら、サイバーセキュリティの必須要件に適合するよう製品の設計・開発を行うことが必要とされます。

CRAが定めるサイバーセキュリティの必須要件には「デフォルトでの安全設定（デフォルトパスワードによる製品使用の阻止、など）」「データの暗号化」「アクセス制御」「最小権限・データ最小原則（*3）への対応」、脆弱性対策としての「SBOM（ソフトウェア部品表）の作成」「セキュリティ更新の提供」「脆弱性の開示」などが含まれます。

*3 最小権限・データ最小原則：この原則は英語で「Principle of Least Privilege：PoLP」と呼ばれる。システムの利用者やソフトウェアに対して、業務遂行に必要な「最低限の権限」のみを付与し、それ以外を制限する基本原則を指している

3-2. 脆弱性の管理

PDEについては、そのサポート期間中（原則最低5年）、「セキュリティアップデートの無償提供」が義務づけられます。また、悪用可能な脆弱性を発見した際には、発見から24時間以内にENISA（The European Union Agency for Cybersecurity：EUサイバーセキュリティ機関）などに報告し、72時間以内に詳細を通知、14日以内に最終報告を行うことが必要とされます。

3-3. 適合性評価の実施

EU市場で販売されるPDEには、CRAへの適合性評価を実施し「CEマーキング」を行うことが求められます。

PDEは、サイバーリスクの高低に応じて「一般製品」「重要製品（クラスⅠ/クラスⅡ）」「高重要製品（クラスⅢ）」に分類されます。製造業者は、そのクラスに応じて所定の適合性評価を実施しなければなりません。クラスごとの評価の手続きは下表1に示すとおりです。

*a 調和規格：欧州委員会の要請を受けて欧州標準化機関が作成し、その参照情報が欧州連合官報に掲載された欧州規格
*b EUCC：2025年2月に発効された「EUサイバーセキュリティ法」に定められた欧州サイバーセキュリティ認証フレームワーク、あるいは、同法に基づく認証制度を指す
表1：CRAの適合性評価の手続き
出典：「European Parliament and Council of the EU, Regulation (EU) 2024/2847 on Cyber Resilience Act, Official Journal of the European Union」（2024年12月10日公表）の内容を基に作成

上記の一般製品には「スマート家電」や「家庭用プリンター」などが含まれ、重要製品（クラスⅠ・Ⅱ）には「パスワード管理ソフト」や「VPN製品」「ファイアウォール」「侵入検知システム」「ハイパーバイザー」などが含まれます。さらに、高重要製品には「ハードウェアセキュリティモジュール（HSM）」「スマートメーターゲートウェイ」「スマートカードセキュア部品」などが該当しています。

3-4. 技術文書の作成と管理

リスク評価、設計・開発・製造プロセス、適用規格・試験報告、SBOM、サポート期間の根拠などを整備・保管。CEマーキングの前提資料となります。

3-5. CEマーキングの実施

「EU適合宣言書（DoC）」を作成し、CEマークを表示します（ソフトウェアはWeb掲出も可）。

3-6. 違反時の罰則

CRA違反に対しては、制裁金として最大1,500万ユーロ（約27億4,500万円）、あるいは全世界売上高の2.5％が課されます。

4. CRAの日本企業への影響

CRAは、EU市場に製品を流通させる事業者であれば、所在地を問わず適用されます。ゆえに、以下のいずれかに該当する日本企業は、CRAへの対応が必要になります。

・EU市場に向けて製品（PDE）を直接輸出・販売している製造業者
・EU市場向けのPDEを製造している製造業者に対して、部品やソフトウェアコンポーネントを販売しているサプライヤー
・EU市場で事業を展開する販売代理店や輸入業者を介して、PDEを間接的に販売している製造業者

ここで注意が必要なのは、サプライチェーンへの影響です。EU市場で販売されるPDEの製造業者は、サプライヤーにもSBOMの提供や脆弱性開示プロセスへの参加、セキュアな製品設計・開発を行っていることの証明などを求める必要が出てきます。言い換えれば、EU市場向けのPDEのサプライチェーンに組み込まれている日本企業は、EU市場で直接製品を販売していなくとも、取引先からCRAへの対応を求められるケースがあるということです。

5. CRAと日本の「JC-STAR」を比較する

日本国内でもCRAに類似した制度として「JC-STAR（セキュリティ要件適合評価及びラベリング制度）」が2025年3月から運用されています。経済産業省と独立行政法人 情報処理推進機構（IPA）が運営主体となり、IoT製品のセキュリティレベルをラベルで可視化することを目的としています。

JC-STARの適合基準は「レベル1（★1）」から「レベル4（★4）」の4段階で、★1・★2は自己評価、★3・★4は第三者機関による評価に基づいて認証が付与されます（図1）。

図1：「JC-STAR」制度の全体像
出典：独立行政法人 情報処理推進機構（IPA）「セキュリティラベリング制度（JC-STAR）についての詳細情報」の記述内容を基に作成（2025年3月28日最終更新）

★1ラベルは2025年3月から申請受付が開始され、★2以上は2026年度から順次開始されています。★1ラベルを取得するにも、「適切なアクセス制御」「デフォルトパスワードの禁止」「脆弱性対策」「データの暗号化」など多岐にわたる要件を満たす必要があります。

JC-STARとCRAはともに、インターネットに接続される機器やソフトウェアのサイバーセキュリティの向上を目指しています。ただし、両者の性格・位置づけには違いがあります。以下の表2は、その違いを簡単にまとめたものです。

表2：CRAとJC-STARとの比較表
出典：公的機関の情報を基に作成（原稿末に示した参考資料を参照）

上の表からもわかるとおり、CRAとJC-STARの最大の違いは、強制力の有無にあります。CRAは、EU規則として法的拘束力を持ち、違反には巨額の制裁金が課されます。それに対してJC-STARは（2026年3月時点では）任意制度であり、ラベルの取得は各企業のビジネス上の判断に委ねられます。加えてCRAでは、製品における脆弱性の発見時に24時間以内の報告義務を課していますが、JC-STARの★1ラベルでは、脆弱性開示ポリシーの公開を求めるにとどまっています。

もっとも、JC-STARの制度自体には強制力はないものの、日本政府による調達基準に★1ラベル以上の取得が取り込まれ、自治体の間でもJC-STARラベルの有無を調達基準に組み込む動きが広がっています。この流れの中で、民間企業においても、IoT製品の選定時にJC-STARラベルの有無を確認するようになるはずです。したがって、日本市場でIoT製品のビジネスを展開するうえでは、JC-STAR制度への対応が実質的に必須となる可能性が高いといえます。

また、米国ではJC-STARと同様の「U.S. Cyber Trust Mark」、英国ではCRAに近い「PSTI 法（Product Security and Telecommunication Infrastructure Act）」、シンガポールでも同様の制度がすでに始まっています。そのため、経産省では製造業者の負担軽減を図るため、各国担当機関と相互承認の実現に向けた交渉を進めており、英日間ではJC-STARとPSTI法の相互承認に関する覚書が2025年11月に交わされています。

さらに経産省では、JC-STARの適合基準を国内外のサイバーセキュリティ要件全体をカバーできるよう設計しています。そのため、JC-STARのラベル取得に必要なセキュリティ・バイ・デザインの整備、脆弱性開示ポリシーの策定、セキュリティ対策の文書化などは、CRAが求める技術文書の作成・適合性評価の土台として活用できます。EU市場向けに製品を販売する際には、JC-STARラベルの取得を第一ステップ、CRA固有の要件への対応を第二ステップと位置づけるのが有効かもしれません。

6. 日本企業がとるべき実務対応

EU市場向けに製品を販売している日本の製造業者は、法的強制力のあるCRAへの対応を優先して進める必要があります。以下に実務上の対応を改めてまとめます。

① 適用判定とギャップ分析
自社製品がPDEに該当するか、「2026年9月（報告）・2027年12月（全面）」から逆算して既存プロセスとの差分を特定。

② PSIRT体制の整備
脆弱性・インシデント受付、評価、是正、24時間/72時間/14日報告、ENISA/CSIRT連携を含む標準フローを整備。SRP利用に向けた準備も必要です。

③ SBOM運用の確立
CI/CDにSCAツールを組み込み、部品・ライブラリの在庫（BOM）と脆弱性を継続管理。サプライヤー契約にもSBOM提供を織り込みます。

④ セキュリティ・バイ・デザインの徹底
安全既定値、アクセス制御、暗号化、最小権限などを標準プロセス化。結果は技術文書に反映し、更新を継続。

⑤ 適合性評価とCE計画
製品分類（リスク）に応じ、自己評価/第三者評価/認証の要否を判断。第三者関与が必要な場合はリードタイムを確保。

⑥ 国内ビジネスではJC-STARを活用
短期は★1取得を目安に、将来の★2＋や相互承認に備えて拡張。調達要件化の動きへの対応にも有効です。

以上、CRAの概要と、日本企業がどう対応すべきかについて見てきました。CRAへの対応は容易ではありませんが、デジタル製品のサイバーセキュリティ強化は世界的な潮流であり、製造業者にとって避けて通れない道筋です。製品のセキュリティ強度が上がることで、サイバー攻撃の脅威が産業・社会のスマート化の足かせになるリスクも大きく引き下げられます。CRAへの対応はその未来づくりへの貢献でもあります。

※本稿は一般的な情報提供を目的としており、個別の法的・規制上の助言を提供するものではありません。

【参考文献】

・「European Parliament and Council of the EU, Regulation (EU) 2024/2847 on Cyber Resilience Act, Official Journal of the European Union」（2024年12月10日公表）

・ENISA（EUサイバーセキュリティ機関）「ENISA Threat Landscape 2024」

・経済産業省商務情報政策局サイバーセキュリティ課「IoT製品に対するセキュリティ適合性評価制度構築方針」（2024年8月23日公表）

・独立行政法人情報処理推進機構（IPA）「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」制度概要ページ

・IPA「セキュリティラベリング制度（JC-STAR）についての詳細情報」

・IPA「IoT製品に対するセキュリティラベリング制度（JC-STAR）の運用を開始しました」プレスリリース（2025年3月25日公表）

・経済産業省商務情報政策局サイバーセキュリティ課「IoT製品に対するセキュリティ適合性評価制度（JC-STAR制度）の紹介」（JNSA資料/2024年11月15日公表）