欧州委員会ガイダンス 2026年7月7日版 ／ その他の適用される又は関連するEU法令
10.9.4 サイバーレジリエンス法（CRA）
10.9.4 — Cyber Resilience ACT (CRA)
欧州委員会が公表する公式ガイダンス2026年7月7日版の参考訳です。ガイドは法的拘束力を持たず、疑義がある場合は英語版が基準となります。色付きの枠は指令本文の引用、それ以外が欧州委員会の解説です。
CRAは、欧州連合市場に上市されるほとんどのハードウェア及びソフトウェア製品について、統一された一連の強制的なサイバーセキュリティ要件を定めている。対象製品は、EU市場に上市される時点でより安全でなければならない（「セキュリティ・バイ・デザイン」）。CRAは、モノのインターネット（IoT）デバイス、オペレーティングシステム、ソフトウェア及びファイアウォールを含む、デジタル要素を有する製品に広く適用される。既存の個別の規則の対象となっている一定の製品（例：医療機器、自動車、航空）は、一般に除外されている。
The CRA establishes a uniform set of mandatory cybersecurity requirements for most hardware and software products placed on the European Union market. Covered products must be more secure when placed on the EU market ("security by design").It applies broadly to products with digital elements), including Internet of Things (IoT) devices, operating systems, software, and firewalls. Certain products already covered by existing specific regulations (e.g., medical devices, cars, aviation) are generally excluded.
CRAは2027年12月11日から適用される。同日をもって、欧州委員会委任規則（EU）2022/30は欧州委員会委任規則（EU）2026/339にもとづき廃止される。サイバーセキュリティの側面について、2027年12月11日以降にEU市場に上市される無線機器は、RED第3条第3項(d)〜(f)ではなく、規則（EU）2024/2847（CRA）の要件の対象となる。これは、CRA第69条の経過規定を妨げるものではない（CRAに関する関連する指針文書を参照）。
CRA is applicable from 11th December 2027. As of that date, Commission Delegated Regulation (EU) 2022/30 is repealed piursuant to Commission Delegated Regulation (EU) 2026/339. For the aspects of cybeserscurity, radio equipment placed on the EU market on or after 11 December 2027 will be subject to the requirements of Regulation (EU) 2024/2847 (CRA), and not to Artivcle 3(3)(d)-(f) of the RED. This is without prejdice to the transitioanl provisions of Article 69 of the CRA (see relevant guidance documents relating to the CRA).