Regulation (EU) 2024/2847 ／ 第II章 — 経済事業者の義務及びフリー・オープンソースソフトウェアに関する規定
第14条 製造業者の報告義務
Article 14 — Reporting obligations of manufacturers
1. 製造業者は、デジタル要素を持つ製品に含まれる積極的に悪用されている脆弱性を認識した場合、本条第7項に従って調整役として指定されたCSIRT及びENISAに同時に通知しなければならない。製造業者は、第16条に従って設置される単一報告プラットフォームを通じて、当該積極的に悪用されている脆弱性を通知しなければならない。
1. A manufacturer shall notify any actively exploited vulnerability contained in the product with digital elements that it becomes aware of simultaneously to the CSIRT designated as coordinator, in accordance with paragraph 7 of this Article, and to ENISA. The manufacturer shall notify that actively exploited vulnerability via the single reporting platform established pursuant to Article 16.
2. 第1項に規定する通知の適用上、製造業者は、次のものを提出しなければならない。
2. For the purposes of the notification referred to in paragraph 1, the manufacturer shall submit:
(a)積極的に悪用されている脆弱性の早期警告通知。製造業者がそれを認識してから不当な遅延なく、いかなる場合にも24時間以内に提出するものとし、該当する場合には、製造業者が自らのデジタル要素を持つ製品が提供されていることを認識している加盟国を示すもの
(a)an early warning notification of an actively exploited vulnerability, without undue delay and in any event within 24 hours of the manufacturer becoming aware of it, indicating, where applicable, the Member States on the territory of which the manufacturer is aware that their product with digital elements has been made available;
(b)関連情報がすでに提供されている場合を除き、脆弱性通知。製造業者が積極的に悪用されている脆弱性を認識してから不当な遅延なく、いかなる場合にも72時間以内に提出するものとし、入手可能な範囲で、対象となるデジタル要素を持つ製品、当該エクスプロイト及び脆弱性の一般的な性質、講じた是正措置又は緩和措置、並びに利用者が講じることができる是正措置又は緩和措置に関する一般的な情報を提供し、該当する場合には、製造業者が通知した情報の機密性をどの程度と考えるかも示すもの
(b)unless the relevant information has already been provided, a vulnerability notification, without undue delay and in any event within 72 hours of the manufacturer becoming aware of the actively exploited vulnerability, which shall provide general information, as available, about the product with digital elements concerned, the general nature of the exploit and of the vulnerability concerned as well as any corrective or mitigating measures taken, and corrective or mitigating measures that users can take, and which shall also indicate, where applicable, how sensitive the manufacturer considers the notified information to be;
(c)関連情報がすでに提供されている場合を除き、最終報告。是正措置又は緩和措置が利用可能になってから14日以内に提出するものとし、少なくとも次の事項を含むもの
(c)unless the relevant information has already been provided, a final report, no later than 14 days after a corrective or mitigating measure is available, including at least the following:
(i)深刻度及び影響を含む、脆弱性の説明
(i)a description of the vulnerability, including its severity and impact;
(ii)入手可能な場合、当該脆弱性を悪用した、又は悪用している悪意のある行為者に関する情報
(ii)where available, information concerning any malicious actor that has exploited or that is exploiting the vulnerability;
(iii)当該脆弱性を是正するために提供されたセキュリティアップデート又はその他の是正措置の詳細
(iii)details about the security update or other corrective measures that have been made available to remedy the vulnerability.
3. 製造業者は、デジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントを認識した場合、本条第7項に従って調整役として指定されたCSIRT及びENISAに同時に通知しなければならない。製造業者は、第16条に従って設置される単一報告プラットフォームを通じて、当該インシデントを通知しなければならない。
3. A manufacturer shall notify any severe incident having an impact on the security of the product with digital elements that it becomes aware of simultaneously to the CSIRT designated as coordinator, in accordance with paragraph 7 of this Article, and to ENISA. The manufacturer shall notify that incident via the single reporting platform established pursuant to Article 16.
4. 第3項に規定する通知の適用上、製造業者は、次のものを提出しなければならない。
4. For the purposes of the notification referred to in paragraph 3, the manufacturer shall submit:
(a)デジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントの早期警告通知。製造業者がそれを認識してから不当な遅延なく、いかなる場合にも24時間以内に提出するものとし、少なくとも当該インシデントが違法又は悪意のある行為によって引き起こされた疑いがあるかどうかを含み、該当する場合には、製造業者が自らのデジタル要素を持つ製品が提供されていることを認識している加盟国も示すもの
(a)an early warning notification of a severe incident having an impact on the security of the product with digital elements, without undue delay and in any event within 24 hours of the manufacturer becoming aware of it, including at least whether the incident is suspected of being caused by unlawful or malicious acts, which shall also indicate, where applicable, the Member States on the territory of which the manufacturer is aware that their product with digital elements has been made available;
(b)関連情報がすでに提供されている場合を除き、インシデント通知。製造業者がインシデントを認識してから不当な遅延なく、いかなる場合にも72時間以内に提出するものとし、入手可能な場合には、インシデントの性質、インシデントの初期評価、講じた是正措置又は緩和措置、並びに利用者が講じることができる是正措置又は緩和措置に関する一般的な情報を提供し、該当する場合には、製造業者が通知した情報の機密性をどの程度と考えるかも示すもの
(b)unless the relevant information has already been provided, an incident notification, without undue delay and in any event within 72 hours of the manufacturer becoming aware of the incident, which shall provide general information, where available, about the nature of the incident, an initial assessment of the incident, as well as any corrective or mitigating measures taken, and corrective or mitigating measures that users can take, and which shall also indicate, where applicable, how sensitive the manufacturer considers the notified information to be;
(c)関連情報がすでに提供されている場合を除き、最終報告。(b)に基づくインシデント通知の提出後1か月以内に提出するものとし、少なくとも次の事項を含むもの
(c)unless the relevant information has already been provided, a final report, within one month after the submission of the incident notification under point (b), including at least the following:
(i)深刻度及び影響を含む、インシデントの詳細な説明
(i)a detailed description of the incident, including its severity and impact;
(ii)インシデントを引き起こした可能性が高い脅威の種類又は根本原因
(ii)the type of threat or root cause that is likely to have triggered the incident;
(iii)適用済み及び実施中の緩和措置
(iii)applied and ongoing mitigation measures.
5. 第3項の適用上、デジタル要素を持つ製品のセキュリティに影響を与えるインシデントは、次の場合に重大であるとみなされる。
5. For the purposes of paragraph 3, an incident having an impact on the security of the product with digital elements shall be considered to be severe where:
(a)機微な又は重要なデータ若しくは機能の可用性、真正性、完全性又は機密性を保護するデジタル要素を持つ製品の能力に悪影響を及ぼし、又は及ぼしうる場合、又は
(a)it negatively affects or is capable of negatively affecting the ability of a product with digital elements to protect the availability, authenticity, integrity or confidentiality of sensitive or important data or functions; or
(b)デジタル要素を持つ製品又は当該製品の利用者のネットワーク及び情報システムへの悪意のあるコードの導入又は実行をもたらした、又はもたらしうる場合
(b)it has led or is capable of leading to the introduction or execution of malicious code in a product with digital elements or in the network and information systems of a user of the product with digital elements.
6. 必要な場合、通知を最初に受領した調整役として指定されたCSIRTは、製造業者に対し、積極的に悪用されている脆弱性又はデジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントに関する関連する状況の更新について中間報告を提供するよう求めることができる。
6. Where necessary, the CSIRT designated as coordinator initially receiving the notification may request manufacturers to provide an intermediate report on relevant status updates about the actively exploited vulnerability or severe incident having an impact on the security of the product with digital elements.
7. 本条第1項及び第3項に規定する通知は、第16条(1)に規定する電子通知エンドポイントの一つを用いて、第16条に規定する単一報告プラットフォームを通じて提出されなければならない。通知は、製造業者が連合域内に主たる事業所を有する加盟国の調整役として指定されたCSIRTの電子通知エンドポイントを用いて提出され、同時にENISAがアクセスできるものでなければならない。
7. The notifications referred to in paragraphs 1 and 3 of this Article shall be submitted via the single reporting platform referred to in Article 16 using one of the electronic notification end-points referred to in Article 16(1). The notification shall be submitted using the electronic notification end-point of the CSIRT designated as coordinator of the Member State where the manufacturers have their main establishment in the Union and shall be simultaneously accessible to ENISA.
本規則の適用上、製造業者は、そのデジタル要素を持つ製品のサイバーセキュリティに関する決定が主として行われる加盟国に、連合域内の主たる事業所を有するものとみなされる。当該加盟国を特定することができない場合、主たる事業所は、当該製造業者が連合域内で従業員数が最も多い事業所を有する加盟国にあるものとみなされる。
For the purposes of this Regulation, a manufacturer shall be considered to have its main establishment in the Union in the Member State where the decisions related to the cybersecurity of its products with digital elements are predominantly taken. If such a Member State cannot be determined, the main establishment shall be considered to be in the Member State where the manufacturer concerned has the establishment with the highest number of employees in the Union.
製造業者が連合域内に主たる事業所を有しない場合、製造業者は、次の順序に従い、製造業者が入手可能な情報に基づいて決定される加盟国の調整役として指定されたCSIRTの電子通知エンドポイントを用いて、第1項及び第3項に規定する通知を提出しなければならない。
Where a manufacturer has no main establishment in the Union, it shall submit the notifications referred to in paragraphs 1 and 3 using the electronic notification end-point of the CSIRT designated as coordinator in the Member State determined pursuant to the following order and based on the information available to the manufacturer:
(a)当該製造業者のデジタル要素を持つ製品のうち最も多くの製品について製造業者に代わって行動する認定代理人が設立されている加盟国
(a)the Member State in which the authorised representative acting on behalf of the manufacturer for the highest number of products with digital elements of that manufacturer is established;
(b)the Member State in which the importer placing on the market the highest number of products with digital elements of that manufacturer is established;
(c)当該製造業者のデジタル要素を持つ製品を最も多く市場で提供する販売業者が設立されている加盟国
(c)the Member State in which the distributor making available on the market the highest number of products with digital elements of that manufacturer is established;
(d)当該製造業者のデジタル要素を持つ製品の利用者が最も多く所在する加盟国
(d)the Member State in which the highest number of users of products with digital elements of that manufacturer are located.
第3段落(d)に関し、製造業者は、その後に生じる積極的に悪用されている脆弱性又はデジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントに関する通知を、最初に報告した調整役として指定されたCSIRTと同じCSIRTに提出することができる。
In relation to the third subparagraph, point (d), a manufacturer may submit notifications related to any subsequent actively exploited vulnerability or severe incident having an impact on the security of the product with digital elements to the same CSIRT designated as coordinator to which it first reported.
8. 積極的に悪用されている脆弱性又はデジタル要素を持つ製品のセキュリティに影響を与える重大なインシデントを認識した後、製造業者は、影響を受けるデジタル要素を持つ製品の利用者に、及び適切な場合にはすべての利用者に、当該脆弱性又はインシデントについて、並びに必要な場合には当該脆弱性又はインシデントの影響を緩和するために利用者が講じることができるリスク緩和措置及び是正措置について、適切な場合には自動処理が容易な構造化された機械可読形式で通知しなければならない。製造業者がデジタル要素を持つ製品の利用者に適時に通知しない場合、通知を受けた調整役として指定されたCSIRTは、当該脆弱性又はインシデントの影響を防止又は緩和するために比例的かつ必要であると考える場合には、当該情報を利用者に提供することができる。
8. After becoming aware of an actively exploited vulnerability or a severe incident having an impact on the security of the product with digital elements, the manufacturer shall inform the impacted users of the product with digital elements, and where appropriate all users, of that vulnerability or incident and, where necessary, of any risk mitigation and corrective measures that the users can deploy to mitigate the impact of that vulnerability or incident, where appropriate in a structured, machine-readable format that is easily automatically processable. Where the manufacturer fails to inform the users of the product with digital elements in a timely manner, the notified CSIRTs designated as coordinators may provide such information to the users when considered to be proportionate and necessary for preventing or mitigating the impact of that vulnerability or incident.
9. 欧州委員会は、2025年12月11日までに、本規則第16条(2)に規定する通知の伝達の遅延に関するサイバーセキュリティ関連の根拠を適用するための条件を特定することにより本規則を補足するため、本規則第61条に従って委任法令を採択しなければならない。欧州委員会は、委任法令案の作成に当たり、指令(EU) 2022/2555第15条に従って設置されたCSIRTネットワーク及びENISAと協力しなければならない。
9. By 11 December 2025, the Commission shall adopt delegated acts in accordance with Article 61 of this Regulation to supplement this Regulation by specifying the terms and conditions for applying the cybersecurity-related grounds in relation to delaying the dissemination of notifications as referred to in Article 16(2) of this Regulation. The Commission shall cooperate with the CSIRTs network established pursuant to Article 15 of Directive (EU) 2022/2555 and ENISA in preparing the draft delegated acts.
10. 欧州委員会は、実施法令により、本条並びに第15条及び第16条に規定する通知の形式及び手続を更に特定することができる。当該実施法令は、第62条(2)に規定する審査手続に従って採択される。欧州委員会は、当該実施法令案の作成に当たり、CSIRTネットワーク及びENISAと協力しなければならない。
10. The Commission may, by means of implementing acts, specify further the format and procedures of the notifications referred to in this Article as well as in Articles 15 and 16. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2). The Commission shall cooperate with the CSIRTs network and ENISA in preparing those draft implementing acts.