CRAのサポート期間とセキュリティアップデート

公開日：2026-10-17

サイバーレジリエンス法（CRA）は、製品を出荷して終わりではなく、サポート期間のあいだ脆弱性に対処し続けることを製造業者に求めます。サポート期間をどう決め、利用者にどう示し、その間に何を提供するかは、製品の価格設定や保守体制にも直結します。

1. サポート期間とは

サポート期間とは、製造業者が、製品の脆弱性が効果的に、かつ附属書IパートIIの脆弱性対応要件に従って対処されることを確保しなければならない期間です（第3条第20号）。製造業者は、上市の時点からサポート期間の終了まで、製品とその構成部品の脆弱性に対処しなければなりません（第13条第8項）。

2. 期間の決め方

サポート期間は、製品が使用されると想定される期間の長さを反映するように製造業者が決めます（第13条第8項）。

• 考慮すべき事項：利用者の合理的な期待、意図された目的を含む製品の性質、製品の寿命を定める関連するEU法令
• 考慮できる事項：他社の類似製品のサポート期間、運用環境の利用可能性、中核的機能を提供する第三者の組込み構成部品のサポート期間、行政協力グループ（ADCO）と欧州委員会のガイダンス
• 最低期間：少なくとも5年。ただし、製品の想定使用期間が5年未満であれば、その期間とします。

産業機器のように10年、20年と使われる製品では、「想定使用期間を反映する」という原則から、5年では足りないと判断される可能性があります。市場監視のデータからサポート期間が不十分だと示される場合には、欧州委員会が製品カテゴリごとに最低サポート期間を委任法令で定めることもできます。

3. 終了日を購入時に示す

製造業者は、サポート期間の終了日（少なくとも月と年）を、購入時に容易にアクセスできる方法で、明確に示さなければなりません。該当する場合は、製品、包装、又はデジタルの手段でも示します（第13条第19項）。

技術的に可能な場合は、製品がサポート期間の終了に達したことを利用者に知らせる通知を表示します。

4. サポート期間中に提供するもの

サポート期間中、製造業者は、附属書IパートIIの脆弱性対応要件に従って対応します。セキュリティアップデートに関する主な要件は次のとおりです。

サポート期間中に、製品又は製造業者のプロセスが必須サイバーセキュリティ要件に適合していないことが分かった場合は、直ちに是正措置をとり、必要に応じて撤去又はリコールします（第13条第21項）。

5. ソフトウェアのバージョン

ソフトウェア製品の大幅に改造された後続バージョンを上市した場合、製造業者は、脆弱性への対処を最新バージョンについてのみ確保すればよいとされています。ただし、以前のバージョンの利用者が、最新バージョンに無償でアクセスでき、利用環境を調整するための追加費用が生じない場合に限ります（第13条第10項）。

6. 書類の保管期間との関係

技術文書とEU適合宣言は、上市後少なくとも10年間又はサポート期間のいずれか長い期間保管します（第13条第13項）。利用者向けの情報と説明（附属書II）も、同じ期間、利用者と市場監視当局が利用できるようにします（第13条第18項）。サポート期間を長く設定すると、これらの保管期間も延びます。

7. 事業を停止する場合

事業を停止してCRAを遵守できなくなる製造業者は、停止の前に、市場監視当局と、可能な範囲で利用者に、そのことを通知しなければなりません（第13条第23項）。

製造業者にとってのポイント

• サポート期間は、製品の想定使用期間と、組み込むOS・通信モジュール・ライブラリなど第三者の構成部品のサポート期間を踏まえて決める必要があります。部品のサポートが先に切れると、その後の脆弱性対応の負担は製造業者が負います。
• 終了日を購入時に示すため、カタログ、販売ページ、銘板やパッケージへの表示方法を準備する必要があります。
• アップデートの配布基盤と、10年以上アップデートを入手可能にしておく仕組みが必要です。

CRAのこれらの義務は、2027年12月11日以降に上市する製品に適用されます。

次に読む

• 第13条 製造業者の義務
• 附属書I 必須サイバーセキュリティ要件
• CRAの対象になる製品
• CRAの報告義務とPSIRT