Regulation (EU) 2024/2847 ／ 第I章 — 総則
第3条 定義
Article 3 — Definitions
本規則の適用上、次の定義を適用する。
For the purposes of this Regulation, the following definitions apply:
(1)‘product with digital elements’ means a software or hardware product and its remote data processing solutions, including software or hardware components being placed on the market separately;
(2)「遠隔データ処理」とは、製造業者により、又は製造業者の責任の下で、そのためのソフトウェアが設計及び開発された遠隔でのデータ処理であって、それがなければデジタル要素を持つ製品がその機能の一つを果たすことができなくなるものをいう。
(2)‘remote data processing’ means data processing at a distance for which the software is designed and developed by the manufacturer, or under the responsibility of the manufacturer, and the absence of which would prevent the product with digital elements from performing one of its functions;
(3)「サイバーセキュリティ」とは、規則(EU) 2019/881第2条第(1)号に定義するサイバーセキュリティをいう。
(3)‘cybersecurity’ means cybersecurity as defined in Article 2, point (1), of Regulation (EU) 2019/881;
(4)「ソフトウェア」とは、電子情報システムのうち、コンピュータコードからなる部分をいう。
(4)‘software’ means the part of an electronic information system which consists of computer code;
(5)「ハードウェア」とは、物理的な電子情報システム、又はデジタルデータを処理、保存若しくは伝送することができるその部分をいう。
(5)‘hardware’ means a physical electronic information system, or parts thereof capable of processing, storing or transmitting digital data;
(6)「構成部品」とは、電子情報システムへの組込みを意図したソフトウェア又はハードウェアをいう。
(6)‘component’ means software or hardware intended for integration into an electronic information system;
(7)「電子情報システム」とは、電気機器又は電子機器を含め、デジタルデータを処理、保存又は伝送することができるシステムをいう。
(7)‘electronic information system’ means a system, including electrical or electronic equipment, capable of processing, storing or transmitting digital data;
(8)「論理的接続」とは、ソフトウェアインタフェースを通じて実装されるデータ接続の仮想的表現をいう。
(8)‘logical connection’ means a virtual representation of a data connection implemented through a software interface;
(9)「物理的接続」とは、電気的、光学的若しくは機械的インタフェース、有線又は電波によるものを含め、物理的手段を用いて実装される電子情報システム間又は構成部品間の接続をいう。
(9)‘physical connection’ means a connection between electronic information systems or components implemented using physical means, including through electrical, optical or mechanical interfaces, wires or radio waves;
(10)「間接的接続」とは、機器又はネットワークへの接続であって、直接行われるのではなく、当該機器又はネットワークに直接接続可能なより大きなシステムの一部として行われるものをいう。
(10)‘indirect connection’ means a connection to a device or network, which does not take place directly but rather as part of a larger system that is directly connectable to such device or network;
(11)「エンドポイント」とは、ネットワークに接続され、当該ネットワークへの入口として機能するあらゆる機器をいう。
(11)‘end-point’ means any device that is connected to a network and serves as an entry point to that network;
(12)‘economic operator’ means the manufacturer, the authorised representative, the importer, the distributor, or other natural or legal person who is subject to obligations in relation to the manufacture of products with digital elements or to the making available of products with digital elements on the market in accordance with this Regulation;
(13)「製造業者」とは、デジタル要素を持つ製品を開発若しくは製造し、又はデジタル要素を持つ製品を設計、開発若しくは製造させ、有償、収益化又は無償のいずれであるかを問わず、自己の名称又は商標の下で販売する自然人又は法人をいう。
(13)‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge;
(14)「オープンソースソフトウェア・スチュワード」とは、製造業者以外の法人であって、フリー・オープンソースソフトウェアに該当し商業活動を意図した特定のデジタル要素を持つ製品の開発に対して継続的に体系的な支援を提供することを目的又は目標とし、当該製品の存続可能性を確保するものをいう。
(14)‘open-source software steward’ means a legal person, other than a manufacturer, that has the purpose or objective of systematically providing support on a sustained basis for the development of specific products with digital elements, qualifying as free and open-source software and intended for commercial activities, and that ensures the viability of those products;
(15)「認定代理人」とは、連合域内に設立された自然人又は法人であって、特定の業務に関して製造業者に代わって行動する書面による委任を製造業者から受けた者をいう。
(15)‘authorised representative’ means a natural or legal person established within the Union who has received a written mandate from a manufacturer to act on its behalf in relation to specified tasks;
(16)「輸入業者」とは、連合域内に設立された自然人又は法人であって、連合域外に設立された自然人又は法人の名称又は商標を付したデジタル要素を持つ製品を上市する者をいう。
(16)‘importer’ means a natural or legal person established in the Union who places on the market a product with digital elements that bears the name or trademark of a natural or legal person established outside the Union;
(17)「販売業者」とは、サプライチェーンにおける製造業者又は輸入業者以外の自然人又は法人であって、デジタル要素を持つ製品の特性に影響を与えることなく、当該製品を連合市場で提供する者をいう。
(17)‘distributor’ means a natural or legal person in the supply chain, other than the manufacturer or the importer, that makes a product with digital elements available on the Union market without affecting its properties;
(18)「消費者」とは、自らの取引、事業、技能又は職業の範囲外の目的で行動する自然人をいう。
(18)‘consumer’ means a natural person who acts for purposes which are outside that person’s trade, business, craft or profession;
(19)「零細企業」、「小企業」及び「中企業」とは、それぞれ、勧告2003/361/ECの附属書に定義する零細企業、小企業及び中企業をいう。
(19)‘microenterprises’, ‘small enterprises’ and ‘medium-sized enterprises’ mean, respectively, microenterprises, small enterprises and medium-sized enterprises as defined in the Annex to Recommendation 2003/361/EC;
(20)「サポート期間」とは、製造業者が、デジタル要素を持つ製品の脆弱性が効果的に、かつ附属書IのパートIIに定める必須サイバーセキュリティ要件に従って対処されることを確保しなければならない期間をいう。
(20)‘support period’ means the period during which a manufacturer is required to ensure that vulnerabilities of a product with digital elements are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I;
(21)「上市」とは、デジタル要素を持つ製品を連合市場で初めて提供することをいう。
(21)‘placing on the market’ means the first making available of a product with digital elements on the Union market;
(22)「市場での提供」とは、有償又は無償を問わず、商業活動の過程において、連合市場での流通又は使用のためにデジタル要素を持つ製品を供給することをいう。
(22)‘making available on the market’ means the supply of a product with digital elements for distribution or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge;
(23)「意図された目的」とは、使用説明書、販売促進用若しくは販売用の資料及び表明、並びに技術文書において製造業者が提供する情報に明記された、具体的な使用の状況及び条件を含む、製造業者が意図するデジタル要素を持つ製品の用途をいう。
(23)‘intended purpose’ means the use for which a product with digital elements is intended by the manufacturer, including the specific context and conditions of use, as specified in the information supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation;
(24)「合理的に予見可能な使用」とは、使用説明書、販売促進用若しくは販売用の資料及び表明、並びに技術文書において製造業者が提供する意図された目的であるとは限らないが、合理的に予見可能な人の行動又は技術的な動作若しくは相互作用から生じる可能性が高い使用をいう。
(24)‘reasonably foreseeable use’ means use that is not necessarily the intended purpose supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation, but which is likely to result from reasonably foreseeable human behaviour or technical operations or interactions;
(25)「合理的に予見可能な誤使用」とは、デジタル要素を持つ製品の意図された目的に従わない方法による使用であって、合理的に予見可能な人の行動又は他のシステムとの相互作用から生じうるものをいう。
(25)‘reasonably foreseeable misuse’ means the use of a product with digital elements in a way that is not in accordance with its intended purpose, but which may result from reasonably foreseeable human behaviour or interaction with other systems;
(26)「通知当局」とは、適合性評価機関の評価、指定及び通知並びにその監視のために必要な手続を設定し、実施する責任を負う国の当局をいう。
(26)‘notifying authority’ means the national authority responsible for setting up and carrying out the necessary procedures for the assessment, designation and notification of conformity assessment bodies and for their monitoring;
(27)‘conformity assessment’ means the process of verifying whether the essential cybersecurity requirements set out in Annex I have been fulfilled;
(28)「適合性評価機関」とは、規則(EC) No 765/2008第2条第(13)号に定義する適合性評価機関をいう。
(28)‘conformity assessment body’ means a conformity assessment body as defined in Article 2, point (13), of Regulation (EC) No 765/2008;
(29)「ノーティファイドボディ」とは、第43条及びその他の関連する連合整合法令に従って指定された適合性評価機関をいう。
(29)‘notified body’ means a conformity assessment body designated in accordance with Article 43 and other relevant Union harmonisation legislation;
(30)「大幅な改造」とは、デジタル要素を持つ製品の上市後に行われる当該製品の変更であって、附属書IのパートIに定める必須サイバーセキュリティ要件への当該製品の適合に影響を与えるもの、又は当該製品が評価を受けた意図された目的の変更をもたらすものをいう。
(30)‘substantial modification’ means a change to the product with digital elements following its placing on the market, which affects the compliance of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I or which results in a modification to the intended purpose for which the product with digital elements has been assessed;
(31)「CEマーキング」とは、デジタル要素を持つ製品及び製造業者が整備したプロセスが、附属書Iに定める必須サイバーセキュリティ要件及びその表示を規定するその他の適用される連合整合法令に適合していることを製造業者が示すマーキングをいう。
(31)‘CE marking’ means a marking by which a manufacturer indicates that a product with digital elements and the processes put in place by the manufacturer are in conformity with the essential cybersecurity requirements set out in Annex I and other applicable Union harmonisation legislation providing for its affixing;
(34)「国際規格」とは、規則(EU) No 1025/2012第2条第(1)号(a)に定義する国際規格をいう。
(34)‘international standard’ means an international standard as defined in Article 2, point (1)(a), of Regulation (EU) No 1025/2012;
(35)「欧州規格」とは、規則(EU) No 1025/2012第2条第(1)号(b)に定義する欧州規格をいう。
(35)‘European standard’ means a European standard as defined in Article 2, point (1)(b), of Regulation (EU) No 1025/2012;
(36)「整合規格」とは、規則(EU) No 1025/2012第2条第(1)号(c)に定義する整合規格をいう。
(36)‘harmonised standard’ means a harmonised standard as defined in Article 2, point (1)(c), of Regulation (EU) No 1025/2012;
(37)「サイバーセキュリティリスク」とは、インシデントによって生じる損失又は混乱の可能性をいい、当該損失又は混乱の大きさとインシデントの発生可能性との組合せとして表される。
(37)‘cybersecurity risk’ means the potential for loss or disruption caused by an incident and is to be expressed as a combination of the magnitude of such loss or disruption and the likelihood of occurrence of the incident;
(38)「重大なサイバーセキュリティリスク」とは、その技術的特性に基づき、相当な有形若しくは無形の損失又は混乱を生じさせることを含め、深刻な悪影響をもたらしうるインシデントの発生可能性が高いと想定することができるサイバーセキュリティリスクをいう。
(38)‘significant cybersecurity risk’ means a cybersecurity risk which, based on its technical characteristics, can be assumed to have a high likelihood of an incident that could lead to a severe negative impact, including by causing considerable material or non-material loss or disruption;
(39)「ソフトウェア部品表（SBOM）」とは、デジタル要素を持つ製品のソフトウェア要素に含まれる構成部品の詳細及びサプライチェーン上の関係を記載した正式な記録をいう。
(39)‘software bill of materials’ means a formal record containing details and supply chain relationships of components included in the software elements of a product with digital elements;
(40)「脆弱性」とは、サイバー脅威によって悪用されうるデジタル要素を持つ製品の弱点、影響の受けやすさ又は欠陥をいう。
(40)‘vulnerability’ means a weakness, susceptibility or flaw of a product with digital elements that can be exploited by a cyber threat;
(41)「悪用可能な脆弱性」とは、実際の運用条件の下で攻撃者によって効果的に利用される可能性のある脆弱性をいう。
(41)‘exploitable vulnerability’ means a vulnerability that has the potential to be effectively used by an adversary under practical operational conditions;
(42)「積極的に悪用されている脆弱性」とは、悪意のある行為者がシステム所有者の許可なくシステム内でそれを悪用したことについて信頼できる証拠がある脆弱性をいう。
(42)‘actively exploited vulnerability’ means a vulnerability for which there is reliable evidence that a malicious actor has exploited it in a system without permission of the system owner;
(44)「デジタル要素を持つ製品のセキュリティに影響を与えるインシデント」とは、データ又は機能の可用性、真正性、完全性又は機密性を保護するデジタル要素を持つ製品の能力に悪影響を及ぼす、又は及ぼしうるインシデントをいう。
(44)‘incident having an impact on the security of the product with digital elements’ means an incident that negatively affects or is capable of negatively affecting the ability of a product with digital elements to protect the availability, authenticity, integrity or confidentiality of data or functions;
(46)「サイバー脅威」とは、規則(EU) 2019/881第2条第(8)号に定義するサイバー脅威をいう。
(46)‘cyber threat’ means a cyber threat as defined in Article 2, point (8), of Regulation (EU) 2019/881;
(47)「個人データ」とは、規則(EU) 2016/679第4条第(1)号に定義する個人データをいう。
(47)‘personal data’ means personal data as defined in Article 4, point (1), of Regulation (EU) 2016/679;
(48)「フリー・オープンソースソフトウェア」とは、ソースコードが公開で共有され、自由にアクセス、使用、改変及び再配布するためのすべての権利を与えるフリー・オープンソースライセンスの下で提供されるソフトウェアをいう。
(48)‘free and open-source software’ means software the source code of which is openly shared and which is made available under a free and open-source licence which provides for all rights to make it freely accessible, usable, modifiable and redistributable;