これまでの4回では、『欧州サイバーレジリエンス法（Cyber Resilience Act：CRA）』と『EU AI法（Artificial Intelligence Act）』の概要、製造業への影響、AI搭載製品で両規制が重なる場面を解説してきました。 最終回となる今回は、日本の製造業が今から準備すべき事項を、実務チェックリストとして整理します。
『CRA（Regulation (EU) 2024/2847）』は、EU市場で提供される「デジタル要素を含む製品」に対してサイバーセキュリティ要求を課すEU規則です。 EUの公式情報では、デジタル要素を含む製品の安全性を高めるために、設計・開発段階からサイバーセキュリティを統合し、サプライチェーン全体でサイバーセキュリティを考慮すること、さらに利用者が製品選定時にサイバーセキュリティを考慮できるようサポート期間の透明性を高めること等が目的として示されています（出典：EUR-Lex「Regulation (EU) 2024/2847」前文）。
また、『CRA』の実務で特に早期に影響が出るのが報告義務です。欧州委員会の公式情報では、2026年9月11日から、製造者に対して「積極的に悪用された脆弱性」および「デジタル要素を含む製品のセキュリティに影響する重大インシデント」を報告する義務が適用される旨が明示されています（出典：European Commission「Cyber Resilience Act – Reporting obligations」）。
一方、『EU AI法（Regulation (EU) 2024/1689）』は、AIシステムをリスクに応じて取り扱う包括的な枠組みであり、健康・安全・基本的人権の保護を確保しつつ、信頼できるAIの開発・提供・利用を促進することを目的としています（出典：EUR-Lex「Regulation (EU) 2024/1689」）。 高リスクAIに該当する場合、リスク管理、データ・ガバナンス、技術文書、記録（ログ）、人間による監督、正確性、堅牢性、サイバーセキュリティ等が重要な要求事項になります（出典：EUR-Lex「Regulation (EU) 2024/1689」）。
日本企業にとって重要なのは、これらを「欧州の法務問題」として後回しにしないことです。 EU市場向け製品、EU企業への部品供給、AI搭載装置、クラウド連携サービス、ソフトウェア更新機能を持つ製品は、早い段階で影響確認と準備を開始する必要があります。 特に、『CRA』は報告義務が2026年9月11日から適用されるため、全面適用（2027年12月11日）を待つのではなく、脆弱性対応とインシデント報告の体制整備を先行させることが現実的です（出典：European Commission「Cyber Resilience Act – Reporting obligations」／EUR-Lex「Regulation (EU) 2024/2847」）。
1．まずは対象製品とAI機能を棚卸しする
最初に行うべきことは、EU向け製品・サービスの棚卸しです。
確認すべき項目は、次のとおりです。
-
- EU市場に出している、または出す予定の製品は何か
- 通信機能、遠隔操作機能、クラウド連携機能があるか
- ソフトウェア、ファームウェア、OSSを含んでいるか
- セキュリティアップデート機能があるか
- AI機能を搭載しているか
- AIが安全、品質、人の判断、労務管理に関係しているか
- EUの輸入者、販売者、完成品メーカーとの責任分担は明確か
ここで重要なのは、完成品だけを見るのではなく、部品、モジュール、組込みソフトウェア、AIモデル、クラウドサービスとの接続まで含めて確認することです。
特にサプライヤー企業の場合、自社が最終製品の製造者ではなくても、EU顧客からSBOM、脆弱性管理、AIリスク評価、技術文書の一部提出を求められる可能性があります。
SBOMとは、Software Bill of Materialsの略で、製品に含まれるソフトウェア部品表のことです。 ソフトウェアの構成要素と依存関係を把握するための基礎資料として、国際的にも整備が進められています（用語・最小要素の整理例：米国商務省NTIA「The Minimum Elements for a Software Bill of Materials (SBOM)」）。
2．CRA対応のチェックリスト
『CRA』対応では、製品ライフサイクル全体でサイバーセキュリティを管理する必要があります。 欧州委員会の公式情報では、2026年9月11日から、製造者に対して、積極的に悪用された脆弱性および重大インシデントの報告義務が適用されると説明されています（出典：European Commission「Cyber Resilience Act – Reporting obligations」）。
日本企業が確認すべき主な項目は、次のとおりです。
1）製品ごとのサイバーセキュリティリスクアセスメント
どのような攻撃が想定されるか、どの機能が悪用され得るか、攻撃された場合に安全・品質・事業継続へどのような影響があるかを整理します。
2）セキュア・バイ・デザインの実装
初期認証情報（初期パスワード等）、認証・アクセス制御、暗号化、署名付きアップデート、不要サービスの停止、ログ管理等を設計段階から組み込みます（CRAは設計・開発段階からの統合を目的に含む旨が示されています。出典：EUR-Lex「Regulation (EU) 2024/2847」前文）。
3）SBOMとOSS管理
製品に含まれるソフトウェア部品を把握し、既知の脆弱性情報と照合できる仕組みを整備します。
4）脆弱性対応プロセス（報告義務も含む）
脆弱性の受付、影響評価、修正、顧客通知、当局報告の要否判断、再発防止を誰が担当するのか、事前に役割と意思決定経路を定めます。報告義務が2026年9月11日から適用される点は、体制整備を前倒しする根拠になります（出典：European Commission「Cyber Resilience Act – Reporting obligations」）。
5）技術文書と適合性評価への備え
製品仕様、リスク評価、セキュリティ対策、試験結果、アップデート方針、サポート期間、使用上の注意を、外部に説明できる形で整備します。CRAは利用者が製品選定時にサイバーセキュリティを考慮できるよう、透明性向上（例：サポート期間）を目的に含む旨が示されています（出典：EUR-Lex「Regulation (EU) 2024/2847」前文）。
『CRA』対応は情報システム部門だけでは完結しません。設計、開発、品質保証、購買、法務、営業、保守サービスが連携して進めるべき「製品セキュリティの品質保証」です。
3．EU AI法対応のチェックリスト
『EU AI法』対応では、まず自社のAIシステムを棚卸しし、用途とリスクを分類します。 『EU AI法』はリスクに応じた枠組みを採り、高リスクAIに対してより厳格な要求事項を定めています（出典：EUR-Lex「Regulation (EU) 2024/1689」）。
確認すべき主な項目は、次のとおりです。
1）AIの利用目的の明確化
品質検査、設備制御、予知保全、作業者監視、採用・評価等、用途によりリスクの性質が変わります。
2）高リスクAI該当性の確認
製品安全に関わるAI、作業者の安全に影響するAI、重要インフラに関わるAI、人事・労務判断に使うAI等は、慎重な分類が必要です（出典：EUR-Lex「Regulation (EU) 2024/1689」）。
3）データ管理（データ品質・偏りの管理を含む）
学習データ・評価データの出所、取得条件、ラベル付け、偏り、更新履歴を管理し、性能・限界・想定外条件を説明可能にします。
4）人間による監督（Human oversight）
AIが誤判定した場合に人が介入できるか、AIの判断を停止・修正できるか、異常時の対応手順があるかを確認します（出典：EUR-Lex「Regulation (EU) 2024/1689」）。
5）変更管理とログ管理
再学習、モデル更新、しきい値変更、利用環境の変化で性能が変わり得るため、継続的な監視、再評価、記録の仕組みを整備します（出典：EUR-Lex「Regulation (EU) 2024/1689」）。
加えて、AIを組織として管理する枠組みとして、ISO/IEC 42001（AIMS：AIマネジメントシステム）が国際規格として発行されており、組織におけるISO/IEC 42001: 2023に基づく『AIマネジメントシステム』の確立、実施、維持および継続的改善の要求事項を定める規格である旨が示されています（出典：ISO「ISO/IEC 42001:2023」／経済産業省「AIマネジメントシステムの国際規格が発行されました」）。
4．CRAとEU AI法を統合して見る
AI搭載製品では、『CRA』対応と『EU AI法』対応を分けすぎると、重要なリスクを見落とすおそれがあります。
例えばAI検査装置であれば、AIモデルの精度だけでなく、学習データの改ざん、アップデート経路の侵害、ログ改ざん、クラウド通信の不正操作等のサイバーリスクも考慮する必要があります。
逆に、サイバーセキュリティ対策だけを見ても、AIの誤判定、データ偏り、モデル劣化、人間による監督不足を見落とせば、製品としての信頼性は確保できません。
そのため、AI搭載製品では、次の文書やプロセスを統合的に整備することが望まれます。
- サイバーセキュリティリスクアセスメント
- AIリスクアセスメント
- SBOM
- AIモデルのバージョン管理
- 学習データ・評価データの管理記録
- アップデート手順
- 脆弱性管理手順
- ログ管理手順
- インシデント対応手順
- 利用者向け説明文書
第三者認証機関の視点では、重要なのは「文書があること」ではなく、リスク評価、設計対策、試験、運用、保守、改善がつながっていることです。
5．Nemko Groupが支援できる領域
『CRA』や『EU AI法』への対応では、社内だけで判断しきれない場面があります。 特に、対象性判断、ギャップ分析、技術文書、試験、適合性評価、マネジメント体制整備では、第三者機関の活用が有効となる場合があります。
Nemko Groupは、1933年にノルウェーにおける電気製品の安全試験・認証の基盤として設立され、その後、試験・評価領域を拡大してきており、サイバーセキュリティに関連する評価・試験・認証、AIに関するギャップ分析、評価・試験・認証、ISO/IEC 42001: 2023に基づくAIマネジメントシステムの認証サービスを提供しています。
日本の製造業において想定される支援例としては、次のような領域が挙げられます（提供内容は案件範囲・契約条件により異なります）。
- CRA対象性の初期整理
- 製品セキュリティ要求事項とのギャップ分析
- 脆弱性管理プロセスのレビュー
- SBOM・OSS管理の整備支援
- サイバーセキュリティ試験
- 技術文書のレビュー
- 開発部門・品質保証部門向けトレーニング
また、『EU AI法』に関しては、Nemko Digitalとして、AI Trust Markを含む認証サービスに加え、EU AI法やISO/IEC 42001等の枠組みへの対応支援などAIの透明性・コンプライアンス・信頼性の評価を行っています。
6．経営層が押さえるべきロードマップ
『CRA』と『EU AI法』への対応は現場任せでは進みません。経営層が、EU市場へのアクセス、製品競争力、顧客要求、サプライチェーン責任の問題として位置づける必要があります。
現実的なロードマップは、次の流れです。
- EU向け製品とAIシステムの棚卸し
- CRA対象性とEU AI法上のリスク分類の確認
- ギャップ分析（不足している文書、試験、管理体制の可視化）
- 優先順位付け（既存製品、開発中製品、次期モデルの順に計画化）
- 第三者機関によるレビュー、試験、トレーニング、評価の活用検討
特に、『CRA』は2026年9月11日から報告義務が適用されるため、脆弱性対応とインシデント報告体制は早期に整備すべき領域です（出典：European Commission「Cyber Resilience Act – Reporting obligations」）。
まとめ：規制対応を「信頼性の競争力」に変える
『CRA』と『EU AI法』は、日本の製造業にとって負担である一方、製品の信頼性を高める機会でもあります。
EU市場では、製品の性能や価格だけでなく、サイバーセキュリティ、AIガバナンス、脆弱性対応、透明性、説明責任が取引条件として重視される可能性があります。 顧客から「安全ですか」と聞かれるだけでなく、「どのように安全を確認し、どのように継続管理していますか」と問われる時代になります。
日本企業が今から取り組むべきことは明確です。
- 自社製品を棚卸しする。
- CRAとEU AI法の対象性を確認する。
- リスクを評価する。
- 文書化する。
- 脆弱性管理とAIガバナンスを仕組みにする。
- 必要に応じて、第三者認証機関を活用し、客観的な評価と助言を得る。
『CRA』対応も『EU AI法』対応も、単なる法令対応ではありません。EU市場で信頼される製品を提供し続けるための、製品品質、サイバーセキュリティ、AIガバナンスを統合した経営課題です。
『CRA』や『AI法』への対応に関するお問い合わせは、Nemko Japan製品認証部 (japan@nemko.com)までお気軽にお問合せください。