欧州サイバーレジリエンス法(CRA)
対応支援サービス
CRAは、EU域内で販売するデジタル要素を備えた製品を対象に、製品サイバーセキュリティ強化を目的とした製品仕様および製品の製造・販売事業者の業務プロセスに関する義務を定めたものです。
このうち、2026年9月11日に先行して製品脆弱性の当局報告義務が施行される他、2027年12月11日以降はCRA適合が認められCE認証を取得しなければ製品の販売が認められないため、短い時間軸での対応が迫られています。
義務に対応できない場合、EU域内での製品販売ができなくなるだけでなく、最大1,500万ユーロ(約2.5億円)または全世界売上高の2.5%の罰金が科せられるため、事業リスクとしても無視できません。
CRAが求める対応はこれまでのサイバーセキュリティ関連法規・規格と大きく異なります。様々な相違点が指摘されていますが、特に影響の大きい点には以下が挙げられます:
製品を市場に投入した後も含む、製品ライフサイクル全体での
サイバーセキュリティ管理プロセスを要求している点。
これは、単に製品において特定の技術的仕様を満足すれば対応できるものではないことを意味します。OSS等サードパーティコンポーネントのデューデリジェンスや、SBOMに基づく脆弱性監視、上市後の24時間といった短い時間軸での欧州当局へのインシデント報告をはじめ、これまで必ずしも実施されてこなかった様々な活動を、企業のプロセスとして実装することが要求されています。
サプライチェーン全体での対応を要求している点。
CRAは、製品の製造元のみならず、EU域内における製品の輸入者・販売業者にも義務を課しています。また、サードパーティコンポーネントのデューデリジェンス等、サプライヤの協力が必然的に不可欠となる義務もあります。これは、単に自社単独で対応準備をすれば良いものではなく、サプライヤやEU域内の商流にもCRA対応の必要性を理解頂き、契約交渉を経て役割分担・責任分界を確定の上、施行までに義務内容を対応頂けるよう準備頂く必要があることを意味します。
直前まで具体的な要件が決まらない見通しである点。
CRA自体は2024年11月20日に全条文が発行されましたが、条文を読むと、各要件の具体的な運用や判断基準、成果物様式等の細則は委任法・整合規格といった下位文書に委ねる旨規定されています。全ての文書が出そろうのは施行の数カ月前になるとの情報も現地では出回っています。これは、単にCRAの条文を読むだけでは企業内での運用設計が困難なこと、ある程度先回りして準備しつつ最新情報に合わせて調整していくという柔軟な対応が求められることを意味します。この点は通常の法規・規格対応と比較しても異例であり、戸惑いを感じているお客様も多数いらっしゃいます。
IEC/ISA 62443や無線機器指令等、既存の製品サイバーセキュリティ法規・規格に対応するのみでは、取りこぼす要件が出てくると予想されます。また、具体的な運用に落とし込むまでには、従来の法規対応のノウハウでは太刀打ちし難く、「走りながらアップデート」するアプローチが求められると考えられます
弊社が、貴社の既存の業務プロセス・製品仕様をレビューし、CRAの全要件に対し適合状況を評価します。
レビューの際は、貴社内規程類や業務要領、製品仕様書等の開発成果物といった文書をレビューさせて頂き、適宜運用実態を把握するため、関連業務のご担当者にインタビューを実施致します。
※インタビュー実施要否や、レビュー・評価範囲とする部署・製品は、ご予算に応じて調整可能です。
CRA要件は原則CRA原文に立脚して整理しておりますが、一部要件の具体化のために、策定団体である欧州委員会が利用している参照規格も加味しております。
レポートはPDFのサマリ、およびスプレッドシート形式(Excel)の要件適合有無一覧表で提供し、ご報告・質疑対応させて頂きます。
レポートでは、未適合のCRA要件に対するアクションプランや優先順位、CRA施行のタイムラインを踏まえたスケジュールをご提案致します。
弊社が、CRA要件に適合可能な業務プロセスを設計し、実現可能性検証を支援します。
CRA要件や参照規格から読み取れる要件に対応するための業務プロセスの雛形をご用意しておりますので、そこから貴社開発プロセス・関連業務、開発環境・利用ITシステム、組織体制等との整合を取りつつ、貴社のご事情に沿った運用を設計可能です。
また、運用設計が実際に業務として実行可能かを検証すべく、運用トライアルの設計・推進管理・代行も支援可能です。
成果物として、スプレッドシート形式(Excel)の運用業務一覧、PDF形式での運用トライアル結果のレポートを提供し、ご報告・質疑対応させて頂きます。
CRA要件の中には、貴社のお取引先と役割分担の上、連携して実施必要なものもございます。お取引先様にも要件をご理解頂き、確実に対応頂けるための支援も提供します。お取引先様への説明コンテンツ作成や、お取引先様への依頼内容整理、共同での運用トライアル、顧問弁護士も交えた契約書雛形の更新等を支援可能です。
運用設計の中で、要件適合・運用効率化のために新規導入・再選定が推奨されるツールがある場合、弊社にてツール調査・トライアル・選定も支援可能です。
Step2.で設計・検証した運用を貴社の定常業務として定着化するための施策を支援します。
規程・マニュアル等貴社内文書へ反映必要な内容・改訂案をご提案します。適宜、文書改訂の代行も可能です。
また、関係者の皆様へのトレーニングを企画・代行致します。トレーニングにおいては、必要なCRA関連知識・業務要領を正しく理解頂いたことが検証できるよう、理解度確認テストを設計・実施致します。
定常業務に移行を進める中で、体制上CRA対応を貴社内で進めるのが難しいと判明する可能性もございます。その場合、弊社が業務を代行することも可能です。
成果物は、支援内容に応じてご提案致します。
弊社は、既にCRA対応に向けた要件整理・運用設計支援を提供しております。
多くは組込機器メーカーのお客様で、サプライチェーンが複雑でサイバーセキュリティ管理プロセスの実装が難航しがちな中での課題解決に評価を頂いております。
その他、弊社はCRAに関する専門家として他社セミナーにも招聘実績がございます。CRA原文に依拠しつつも、CRAおよび下位文書の策定元である欧州委員会からの最新情報や、CRA対応準備を進める企業の事例等も交えた実務に役立つご提案も交え、好評を頂いております。
産業機械メーカー
PSIRT担当者
産業機械メーカー
製品開発担当者
設備メーカー
PSIRT担当者
弊社の前身であるCovalent株式会社は海外リサーチの支援実績を多数有しております。
その中には、先進技術分野における法規制・国際規格の策定動向調査・要件分析の案件実績も多く含まれており、いずれもお客様に好評を頂いております。
CRAについても、Covalent時代からのノウハウを活用し、情報の鮮度・網羅性・具体性を可能な限り追求した継続的な情報収集を進めております。
法規原文をはじめ欧州委員会公式・関係者情報から、CRA要件やその意図を明確化し、最新の策定状況をキャッチしております。
また、企業における対応事例や、サイバーセキュリティソリューションベンダ・認証機関見解から、必要対応レベルや実務知見を取得しております。
欧州委員会公式・関係者情報
・全条文を逐条で精査し、要件を洗い出し
・適宣策定過程の情報も参照し、規定の意図を明確化
・策定過程で参照された法規・規格を特定し原文精査
・類似規定をCRA要件の意味内容類推に利用
・策定団体の発行文書・講演等を継続ウォッチ
・関係者と意見交換し、個別論点への見解取得
企業における対応事例
・PSIRT・開発部門・調達部門等、実務者意見交換
・CRA対応レベル・準備の流れ等、実務知見を取得
・第三者認証を取得した企業の対応事例を把握し、 CRAで求められる運用のレベル類推に活用
・自動車・医療機器等、厳しいCS法規有る業界事例から、効率化・CSレベル向上への実務知見を取得
サイバーセキュリティ関連
ソリューションベンダ情報
・各種ツールベンダとCRA解釈/対応につき意見交換
・CRA対応に有用な機能の情報取得
・製品組込用のCSソリューションベンダと CRA対応に有用な機能、CRA対応予定の情報取得
・認証機関の公開情報・講演等を継続ウォッチ
・アセッサーと意見交換し、個別論点への見解取得