サイバーレジリエンス法（CRA）

概要

サイバーレジリエンス法（Cyber Resilience Act, CRA）は、「デジタル要素を持つ製品（products with digital elements）」に対して、サイバーセキュリティをCEマーキングの要件として求めるEU規則です。対象は、IoT機器、産業用制御機器、ルーター、スマート家電、組込みソフトウェア、単体で販売されるソフトウェアなど、データ接続を伴うほぼすべての製品です（第2条）。

主な適用日

製造業者の主な義務

• 必須サイバーセキュリティ要件：附属書IのPart I（製品の特性：既知の脆弱性がない状態での出荷、セキュアなデフォルト設定、アクセス制御、データの機密性・完全性の保護、攻撃対象領域の最小化など）と、Part II（脆弱性対応プロセス：SBOMの作成、セキュリティアップデートの無償提供、脆弱性開示ポリシーなど）を満たします。
• リスク評価と技術文書：サイバーセキュリティリスクの評価を行い、附属書VIIに沿って技術文書を作成します（第13条、第31条）。
• サポート期間：製品の想定使用期間を反映したサポート期間を定め、原則として5年以上とします（第13条）。
• 報告義務：積極的に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントを、ENISAの単一報告プラットフォーム経由で、24時間以内の早期警告、72時間以内の通知、最終報告の段階で報告します（第14条、第16条）。
• 利用者への情報提供：附属書IIに定める情報（連絡先、サポート期間の終了日など）を提供します。

製品の分類と適合性評価

適用除外

医療機器（MDR/IVDR）、自動車型式認可（2019/2144）、航空（2018/1139）など、分野別の法令が適用される製品は対象外です（第2条）。商業活動の外で開発・提供されるオープンソースソフトウェアも対象外ですが、商業目的でオープンソースを支援する「オープンソースソフトウェア・スチュワード」には軽い義務があります（第24条）。

他の法令との関係

• 機械規則：機械規則附属書IIIの「破損に対する保護」（1.1.9）や制御システムの安全性（1.2.1）の要件と重なるため、両方を見据えて設計とリスク評価を行うと効率的です。
• AI規則：CRAの要件を満たす高リスクAIシステムは、AI規則第15条のサイバーセキュリティ要件への適合が推定されます（第12条）。
• 無線機器指令：委任規則2022/30によるRED第3条(3)(d)(e)(f)のサイバー要件とCRAの関係にも注意が必要です。