CRAの対象になる製品 「デジタル要素を持つ製品」とは

公開日：2026-10-17

サイバーレジリエンス法（CRA、規則（EU）2024/2847）は、2027年12月11日から本格的に適用されます。最初に確認すべきなのは、自社の製品がそもそもCRAの対象になるかどうかです。CRAの対象は「デジタル要素を持つ製品」と呼ばれ、想像以上に広い範囲をカバーしています。

1. 「デジタル要素を持つ製品」の定義

デジタル要素を持つ製品とは、ソフトウェア製品又はハードウェア製品と、その遠隔データ処理ソリューションをいいます。別個に上市されるソフトウェア又はハードウェアの構成部品も含みます（第3条第1号）。

そのうえで、CRAは、意図された目的又は合理的に予見可能な使用に、機器又はネットワークへの直接的又は間接的な、論理的又は物理的なデータ接続が含まれる製品に適用されます（第2条第1項）。

• ネットワークにつながる製品だけではない：USB、シリアル通信、保守用のポートなど、物理的な接続でデータをやり取りする製品も対象になりえます。「間接的な」接続も含まれるため、他の機器を経由してネットワークにつながる製品も対象です。
• ソフトウェア単体も対象：市場で提供されるソフトウェア製品は、ハードウェアと同じくCRAの対象です。
• 部品も対象：通信モジュール、組込み用のソフトウェアなど、構成部品として別に販売されるものも、それ自体がデジタル要素を持つ製品です。部品を組み込んだ最終製品のメーカーは、最終製品全体について責任を負います。

2. 遠隔データ処理（クラウド）の扱い

「遠隔データ処理」とは、製造業者により、又は製造業者の責任の下で、そのためのソフトウェアが設計・開発された遠隔でのデータ処理であって、それがなければ製品がその機能の一つを果たせなくなるものをいいます（第3条第2号）。

製品の機能に必要なクラウドのバックエンドは、製品の一部としてCRAの対象になります。一方、製品と関係なく提供されるクラウドサービス（SaaS）そのものは、CRAの対象ではありません。クラウドサービスは、NIS2指令など別の枠組みで扱われます。

3. 対象から除外される製品

次の製品には、CRAは適用されません（第2条第2項〜第7項）。

このほか、他のEU規則がCRAと同等以上の保護水準でサイバーセキュリティのリスクに対処している場合には、欧州委員会が委任法令でCRAの適用を限定又は除外することができます（第2条第5項）。

4. オープンソースソフトウェア

CRAは、「市場で提供される」製品に適用されます。市場での提供は商業活動の過程で行われるものなので、商業活動の外で開発・提供されるフリー・オープンソースソフトウェアは対象外です。

一方、オープンソースを組み込んだ製品を商業的に販売する製造業者は、そのオープンソースの構成部品を含めて製品全体の責任を負います。組み込んだ構成部品に脆弱性を見つけた場合は、保守者に報告することも求められます（第13条第6項）。

商業活動を意図したオープンソースの開発を継続的に支援する法人（財団など）は「オープンソースソフトウェア・スチュワード」と位置付けられ、製造業者より軽い義務が定められています（第3条第14号）。スチュワードには制裁金が科されません（第64条第10項）。

5. 既存製品の扱い

2027年12月11日より前に上市された製品は、同日以降に大幅な改造を受けた場合に限りCRAの要件の対象になります（第69条第2項）。ただし、脆弱性とインシデントの報告義務（第14条）は、既存製品にも2026年9月11日から適用されています（第69条第3項）。報告義務についてはCRAの報告義務とPSIRTを参照してください。

6. 対象になった後は「区分」を確認する

CRAの対象になる製品は、リスクに応じて次の区分に分かれ、区分によって適合性評価の手続が変わります（第7条、第8条、第32条）。

区分は、製品がそのカテゴリの中核的機能を持つかどうかで判断します。重要な製品を部品として組み込んでも、それだけで組み込んだ製品が重要な製品になるわけではありません（第7条第1項）。各カテゴリの技術的な説明は、欧州委員会が実施法令で定めることになっています（第7条第4項）。

まとめ

CRAの対象かどうかは、「ネットワークにつながるか」ではなく、「データ接続を伴うソフトウェア又はハードウェアの製品か」で判断します。データの入出力がある電子機器の多くは、CRAの対象になると考えて準備を始めるのが現実的です。

次に読む

• サイバーレジリエンス法の概要
• 第2条 適用範囲
• 第3条 定義
• CRAの報告義務とPSIRT