EUのCyber Resilience Act（CRA：サイバーレジリエンス法）は、デジタル要素を含む製品（Products with Digital Elements）を対象に、製品のライフサイクル全体を通じたサイバーセキュリティ要求を定める規則です。
CRAは2024年12月10日に発効し、主要な要求事項は2027年12月11日から本格適用されます。一方、脆弱性および重大なセキュリティインシデントの報告義務は、2026年9月11日からすでに適用されています。
機械メーカーにとっても、従来の製品安全への対応に加え、製品のセキュリティ機能や開発プロセス、出荷後の脆弱性管理を整理することが重要になっています。
どのような製品が対象になる？
CRAの対象を考える際のポイントは、通信方式が有線か無線かではなく、製品がデジタル要素を持ち、他の機器またはネットワークと直接・間接的にデータ接続するかどうかです。
対象には、ソフトウェアだけでなく、組込みソフトウェアを含むハードウェアやネットワーク機器など、幅広い製品が含まれる可能性があります。
産業機械や制御機器についても、まずは自社製品にデジタル要素が含まれているか、他の機器やネットワークとのデータ接続があるかを確認することが、対応を検討する第一歩となります。
2026年9月から報告義務が開始
2026年9月11日から、製造者には、積極的に悪用されている脆弱性（actively exploited vulnerabilities）および製品のセキュリティに影響する重大なインシデント（severe incidents）について報告義務が適用されています。
初期警告は認識後24時間以内、通知は72時間以内とされており、報告はENISAが運用するCRA Single Reporting Platform（SRP）を通じて行います。
そのため、CRA対応は2027年12月から始めればよいというものではありません。対象となる可能性がある製造者は、次のような社内プロセスを確認しておく必要があります。
- 脆弱性情報の受付と評価
- 関係部署へのエスカレーション
- 重大なインシデントに該当するかの判断
- 当局への報告に向けた役割分担と対応手順
製品の技術的な対策とあわせて、限られた時間内に判断・報告できる体制の整備が重要です。
2027年12月から主要要求が本格適用
CRAでは、セキュア・バイ・デザイン／デフォルト、サイバーセキュリティリスク評価、脆弱性管理、セキュリティアップデート、技術文書やSBOMなど、製品と製造者のプロセスの両方に関係する要求があります。
開発段階だけでなく、市場投入後も見据えた継続的なサイバーセキュリティ対応が必要になります。
また、すべての対象製品が一律に第三者認証を必要とするわけではありません。製品の基本機能を確認し、Default Category、Important Product、Critical Productのどこに該当するかを整理したうえで、必要な適合性評価ルートを確認することが重要です。
機械分野のprEN 50742とCRAはどう関係する？
機械指令・機械規則への対応を進めてきた機械メーカーにとっては、機械分野のサイバーセキュリティ要求とCRAの関係も押さえておきたいポイントです。
prEN 50742は、機械類を対象としたサイバーセキュリティ規格案です。ただし、現段階では、同規格への適合のみをもってCRAへの適合が保証されるものではありません。
機械分野の要求事項への対応と、CRAへの対応については、それぞれの適用範囲と要求事項を確認し、対象製品に必要な評価を整理する必要があります。
CRA対応には、IEC/EN 62443シリーズおよびその欧州追補規格の活用が考えられます。EN 62443-4-1およびEN 62443-4-2については、CRAの要求事項への対応を目的とした欧州追補規格の整備が進められており、CRAおよび該当する機械規則のサイバーセキュリティ要求事項への対応に活用することが期待されています。
IEC 62443-4-1・4-2・3-3の役割
IEC 62443シリーズを活用する際は、開発プロセス、コンポーネント、システムという評価対象の違いを整理することが重要です。
| 規格 | 主な対象 |
|---|---|
| IEC 62443-4-1 | セキュアな製品開発ライフサイクル・開発プロセス |
| IEC 62443-4-2 | コンポーネントの技術的なセキュリティ要求 |
| IEC 62443-3-3 | システムのセキュリティ要求 |
まず着手したいのは、IEC 62443-4-1に基づくセキュアな製品開発プロセスの構築です。
CRAへの対応では、個々の製品機能だけでなく、開発プロセス、リスク評価、脆弱性管理、アップデート、技術文書などを横断的に整理する必要があります。開発プロセスを整備することで、製品・システムの評価に向けた準備も進めやすくなります。
未導入の場合は、必要なプロセスの構築から認証取得までに1年近くを要するケースもあるため、現在の体制と要求事項とのギャップを早めに確認することを推奨します。
Nemkoの評価・認証サービスとCRA対応支援
Nemkoでは、IEC 62443に基づく評価・CB認証サービスに加え、CRA対応に向けたワークショップを提供しています。
IEC 62443-4-1、IEC 62443-4-2、IEC 62443-3-3の評価・認証について、現在の開発体制や認証取得状況、対象製品に応じた進め方をご案内します。
なお、今回ご案内する認証ルートでは、IEC 62443-4-2およびIEC 62443-3-3の認証取得に、IEC 62443-4-1のCB認証が前提となります。 未取得の場合は、4-1への対応を含めて計画を立てることが重要です。
また、prEN 50742、IEC 62443-4-2およびIEC 62443-3-3に基づく評価・レポート発行については、対象製品や評価範囲を確認したうえで、対応可能なサービスと評価方法をご案内します。
評価はNemkoの海外拠点を通じて実施可能です。ワークショップについては、専門家が日本へ訪問して実施することも可能であり、実施時期や内容に応じて、適切なサイバーセキュリティ拠点の担当者を手配します。
自社製品と開発体制の整理から始めましょう
CRA対応では、製品の適用範囲や分類を確認するとともに、製造者として継続的に対応できる体制を整えることが重要です。
機械メーカーの場合は、prEN 50742などの機械分野の規格とCRAの関係を整理し、IEC 62443を活用した開発プロセスの整備や製品・システムの評価を計画的に進める必要があります。
Nemkoでは、対象製品の基本機能、データ接続、現在の開発・脆弱性管理体制、認証取得状況、ご希望の評価範囲を確認し、対応の進め方をご案内します。
CRA対応、IEC 62443の評価・認証をご検討の際は、Nemkoまでご相談ください。japan@nemko.com
