CRAの報告義務とPSIRT 24時間・72時間の通知

公開日：2026-10-13

サイバーレジリエンス法（CRA、規則（EU）2024/2847）の大部分は2027年12月11日から適用されますが、製造業者の報告義務（第14条）だけは2026年9月11日からすでに適用されています（第71条）。

しかも、報告義務は2027年12月11日より前に上市された製品にも適用されます（第69条第3項）。CRAの設計要件の対象にならない既存製品でも、EU市場にある限り、悪用されている脆弱性や重大なインシデントを認識すれば報告が必要です。製品セキュリティの対応チーム（PSIRT）にとっては、CRAの中で最初に実務が動き出した義務です。

1. 報告の対象は2種類

積極的に悪用されている脆弱性

報告が必要なのは、すべての脆弱性ではなく、「積極的に悪用されている脆弱性」です。これは、悪意のある行為者が、システム所有者の許可なくシステム内でそれを悪用したことについて信頼できる証拠がある脆弱性をいいます（第3条第42号）。

脆弱性の届出を受けた、概念実証コード（PoC）が公開された、といった段階では、それだけでは報告義務の対象になりません。実際に悪用されたことを示す信頼できる証拠があるかどうかが分かれ目です。一般の脆弱性は、任意で報告することができます（第15条）。

製品のセキュリティに影響を与える重大なインシデント

製品のセキュリティに影響を与えるインシデントのうち、次のいずれかに当たるものが「重大」とされます（第14条第5項）。

機微な又は重要なデータや機能の可用性、真正性、完全性又は機密性を守る製品の能力に悪影響を及ぼし、又は及ぼしうるもの
製品又は利用者のネットワーク・情報システムに、悪意のあるコードの導入又は実行をもたらし、又はもたらしうるもの

製品の不具合ではなく、例えば製造業者のアップデート配信基盤が侵害され、改ざんされたアップデートが配信されたような場合が典型です。

2. 通知の期限

期限は、製造業者が認識した時点から数えます（第14条第2項・第4項）。

段階	積極的に悪用されている脆弱性	重大なインシデント
早期警告通知	認識から24時間以内	認識から24時間以内（違法又は悪意のある行為による疑いの有無を含む）
通知	認識から72時間以内（対象製品、悪用と脆弱性の一般的な性質、講じた措置、利用者が講じることができる措置）	認識から72時間以内（インシデントの性質、初期評価、講じた措置、利用者が講じることができる措置）
最終報告	是正措置又は緩和措置が利用可能になってから14日以内（深刻度と影響、悪意のある行為者の情報、アップデートの詳細）	72時間の通知から1か月以内（詳細な説明、脅威の種類又は根本原因、緩和措置）

早期警告通知では、製品が提供されていることを製造業者が把握している加盟国も示します。72時間の通知では、通知した情報の機密性をどの程度と考えるかも示すことができます。調整役のCSIRTは、必要に応じて中間報告を求めることができます（第14条第6項）。

3. 報告先と単一報告プラットフォーム

通知は、ENISA（EUサイバーセキュリティ庁）が運用する単一報告プラットフォームを通じて、調整役として指定されたCSIRTとENISAに同時に行います（第14条第1項・第7項、第16条）。

どの国のCSIRTに出すか：EU域内の主たる事業所がある加盟国のCSIRTです。主たる事業所は、製品のサイバーセキュリティに関する決定が主として行われる国、それが特定できなければ従業員数が最も多い国とみなされます。
EU域内に拠点がない製造業者：①製品の大半について認定代理人が設立されている国、②製品を最も多く上市する輸入業者が設立されている国、③製品を最も多く提供する販売業者が設立されている国、④利用者が最も多い国、の順で決まる加盟国のCSIRTに通知します（第14条第7項）。
プラットフォームの状況：単一報告プラットフォームは、報告義務の適用開始と同じ2026年9月11日に稼働しました。稼働時点では、義務的な通知のみを受け付け、任意の報告は後の段階で対応するとされています。利用には、報告を行う担当者の事前登録が必要です。2026年10月にはバージョン1.1に更新されており、最新の手順はENISAの資料で確認する必要があります。

日本の製造業者で、EU域内に拠点がない場合は、どの国のCSIRTに報告するかを事前に決めて登録しておくことが、24時間の期限を守るための前提になります。

4. 利用者への通知

製造業者は、悪用されている脆弱性又は重大なインシデントを認識した後、影響を受ける利用者（適切な場合にはすべての利用者）に、脆弱性又はインシデントと、利用者が講じることができる緩和措置・是正措置を知らせなければなりません。適切な場合には、自動処理しやすい構造化された機械可読形式で提供します（第14条第8項）。製造業者が適時に知らせない場合は、CSIRTが利用者に情報を提供することがあります。

5. 構成部品の脆弱性

報告義務とは別に、製品に組み込んだ構成部品（オープンソースを含む。）に脆弱性を見つけた場合は、その構成部品を製造又は保守する者に報告し、修正を開発したときはコード又は文書を共有することが求められます（第13条第6項）。こちらは2027年12月11日から適用される義務ですが、PSIRTの運用としては報告義務と一体で設計しておくのが現実的です。

6. 罰則

第14条の義務の不遵守には、1,500万ユーロ以下、又は全世界年間売上高の2.5%以下のいずれか高い額の制裁金が科されます（第64条第2項）。ただし、零細企業又は小企業に当たる製造業者が24時間の早期警告通知の期限を守れなかった場合には、制裁金は科されません（第64条第10項）。72時間の通知と最終報告は、企業規模にかかわらず対象です。

7. PSIRTの体制づくりのポイント

24時間で判断できる流れ：脆弱性の届出、顧客からの問い合わせ、脅威情報などから「積極的に悪用されている」と判断するまでの流れと、判断する権限者を決めておきます。期限は認識した時点から始まるため、社内で情報が止まる時間がそのまま期限を圧迫します。
「信頼できる証拠」の判断基準：どのような情報があれば悪用されていると判断するかを、あらかじめ社内で定めておくと、判断のぶれを減らせます。
製品と販売国の把握：早期警告通知では、製品が提供されている加盟国を示します。既存製品も対象になるため、EU市場に出ている製品とその販売国を把握しておく必要があります。
報告先の決定と登録：調整役のCSIRTを決め、単一報告プラットフォームに担当者を登録しておきます。
利用者への連絡手段：利用者への通知を、機械可読形式を含めてどの経路で行うかを準備しておきます。

本記事は、CRAの条文と、2026年10月時点のENISAの公表情報にもとづいています。通知の形式や手続については、欧州委員会が実施法令でさらに定めることができるとされています（第14条第10項）。