GUIDES YOUR
CYBER-RESILIENCE JOURNEY.

EUROPEAN CYBER

RESILIENCE ACT

COMPLIANCE SUPPORT

SERVICES

CONNECTED

VEHICLE

REGULATION

SUPPORT

SERVICE

欧州サイバーレジリエンス法(CRA)
対応支援サービス

要件は依然不透明。
でも準備は待ったなし!

「走りながらアップデート」。
下位文書策定動向キャッチと貴社運用への落とし込みを同時並行でご支援

2026年9月12日以降も、貴社製品がEU域内に1つでも存在する場合、CRA対応への準備が必要です。
CRA対応は、既存の製品サイバーセキュリティ法規・規格と同じようにはいきません。

Syn-Resilient Inc.

CRAは、EU域内で販売するデジタル要素を備えた製品を対象に、製品サイバーセキュリティ強化を目的とした製品仕様および製品の製造・販売事業者の業務プロセスに関する義務を定めたものです。

このうち、2026年9月11日に先行して製品脆弱性の当局報告義務が施行される他、2027年12月11日以降はCRA適合が認められCE認証を取得しなければ製品の販売が認められないため、短い時間軸での対応が迫られています。
義務に対応できない場合、EU域内での製品販売ができなくなるだけでなく、最大1,500万ユーロ(約2.5億円)または全世界売上高の2.5%の罰金が科せられるため、事業リスクとしても無視できません。

CRAが求める対応はこれまでのサイバーセキュリティ関連法規・規格と大きく異なります。様々な相違点が指摘されていますが、特に影響の大きい点には以下が挙げられます:

製品を市場に投入した後も含む、製品ライフサイクル全体での
サイバーセキュリティ管理プロセスを要求している点。

これは、単に製品において特定の技術的仕様を満足すれば対応できるものではないことを意味します。OSS等サードパーティコンポーネントのデューデリジェンスや、SBOMに基づく脆弱性監視、上市後の24時間といった短い時間軸での欧州当局へのインシデント報告をはじめ、これまで必ずしも実施されてこなかった様々な活動を、企業のプロセスとして実装することが要求されています。

サプライチェーン全体での対応を要求している点。

CRAは、製品の製造元のみならず、EU域内における製品の輸入者・販売業者にも義務を課しています。また、サードパーティコンポーネントのデューデリジェンス等、サプライヤの協力が必然的に不可欠となる義務もあります。これは、単に自社単独で対応準備をすれば良いものではなく、サプライヤやEU域内の商流にもCRA対応の必要性を理解頂き、契約交渉を経て役割分担・責任分界を確定の上、施行までに義務内容を対応頂けるよう準備頂く必要があることを意味します。

直前まで具体的な要件が決まらない見通しである点。

CRA自体は2024年11月20日に全条文が発行されましたが、条文を読むと、各要件の具体的な運用や判断基準、成果物様式等の細則は委任法・整合規格といった下位文書に委ねる旨規定されています。全ての文書が出そろうのは施行の数カ月前になるとの情報も現地では出回っています。これは、単にCRAの条文を読むだけでは企業内での運用設計が困難なこと、ある程度先回りして準備しつつ最新情報に合わせて調整していくという柔軟な対応が求められることを意味します。この点は通常の法規・規格対応と比較しても異例であり、戸惑いを感じているお客様も多数いらっしゃいます。

IEC/ISA 62443や無線機器指令等、既存の製品サイバーセキュリティ法規・規格に対応するのみでは、取りこぼす要件が出てくると予想されます。また、具体的な運用に落とし込むまでには、従来の法規対応のノウハウでは太刀打ちし難く、「走りながらアップデート」するアプローチが求められると考えられます

弊社のCRA対応支援サービスは、CRA原文に依拠しつつも、CRAおよび下位文書の策定元である欧州委員会からの最新情報や、CRA対応準備を進める企業の事例等を継続キャッチし、要件整理やお客様の運用への落とし込みに反映させることで、「走りながらアップデート」するアプローチでの余裕を持ったCRA対応を実現します。

SERVICE FLOW

サービスの流れ

STEP 01.

クイックアセスメント

弊社が、貴社の既存の業務プロセス・製品仕様をレビューし、CRAの全要件に対し適合状況を評価します。
レビューの際は、貴社内規程類や業務要領、製品仕様書等の開発成果物といった文書をレビューさせて頂き、適宜運用実態を把握するため、関連業務のご担当者にインタビューを実施致します。
※インタビュー実施要否や、レビュー・評価範囲とする部署・製品は、ご予算に応じて調整可能です。

  CRA要件は原則CRA原文に立脚して整理しておりますが、一部要件の具体化のために、策定団体である欧州委員会が利用している参照規格も加味しております。

  レポートはPDFのサマリ、およびスプレッドシート形式(Excel)の要件適合有無一覧表で提供し、ご報告・質疑対応させて頂きます。
レポートでは、未適合のCRA要件に対するアクションプランや優先順位、CRA施行のタイムラインを踏まえたスケジュールをご提案致します。

Syn-Resilient Inc.

STEP 02.

運用設計・検証

弊社が、CRA要件に適合可能な業務プロセスを設計し、実現可能性検証を支援します。
CRA要件や参照規格から読み取れる要件に対応するための業務プロセスの雛形をご用意しておりますので、そこから貴社開発プロセス・関連業務、開発環境・利用ITシステム、組織体制等との整合を取りつつ、貴社のご事情に沿った運用を設計可能です。
また、運用設計が実際に業務として実行可能かを検証すべく、運用トライアルの設計・推進管理・代行も支援可能です。

  成果物として、スプレッドシート形式(Excel)の運用業務一覧、PDF形式での運用トライアル結果のレポートを提供し、ご報告・質疑対応させて頂きます。

  CRA要件の中には、貴社のお取引先と役割分担の上、連携して実施必要なものもございます。お取引先様にも要件をご理解頂き、確実に対応頂けるための支援も提供します。お取引先様への説明コンテンツ作成や、お取引先様への依頼内容整理、共同での運用トライアル、顧問弁護士も交えた契約書雛形の更新等を支援可能です。
運用設計の中で、要件適合・運用効率化のために新規導入・再選定が推奨されるツールがある場合、弊社にてツール調査・トライアル・選定も支援可能です。

Syn-Resilient Inc.

STEP 03.

定常業務としての定着化・推進代行

Step2.で設計・検証した運用を貴社の定常業務として定着化するための施策を支援します。
規程・マニュアル等貴社内文書へ反映必要な内容・改訂案をご提案します。適宜、文書改訂の代行も可能です。
また、関係者の皆様へのトレーニングを企画・代行致します。トレーニングにおいては、必要なCRA関連知識・業務要領を正しく理解頂いたことが検証できるよう、理解度確認テストを設計・実施致します。  

定常業務に移行を進める中で、体制上CRA対応を貴社内で進めるのが難しいと判明する可能性もございます。その場合、弊社が業務を代行することも可能です。

  成果物は、支援内容に応じてご提案致します。

Syn-Resilient Inc.

サービスをご希望の場合は
お問い合わせフォームよりお気軽にお問い合わせください。

CONTACT

CASE STUDY

実績

弊社は、既にCRA対応に向けた要件整理・運用設計支援を提供しております。
多くは組込機器メーカーのお客様で、サプライチェーンが複雑でサイバーセキュリティ管理プロセスの実装が難航しがちな中での課題解決に評価を頂いております。

01.

産業機械メーカーにおけるCRA対応に向けた要件整理・運用業務設計支援

1.CRA全要件の整理、各要件に対する対応方針・着手時期整理
2.先行して施行される脆弱性監視・報告義務対応に向けた、運用業務・取引先との役割分担設計
3.取引先からのCRA関連質問への、CRA原文、欧州委員会発行関連文書等を踏まえた回答案作成

Syn-Resilient Inc.
02.

産業機械メーカーにおけるCRAの法規解釈・対応内容整理に向けたアドバイザリ

1. CRAの個別論点に関する、CRA原文、欧州委員会発行関連文書等を踏まえた見解提示
2. 製品仕様・業務プロセス上の対応に関する意見交換

Syn-Resilient Inc.
03.

設備メーカーにおけるCRA対応に向けた脆弱性管理プロセス改善支援

1. 既存の開発環境を活用した、脆弱性監視およびサードパーティコンポーネントのデューデリジェンスプロセスの構築・作業手順書作成
2. 取引先に脆弱性管理・デューデリジェンス・SBOM共有を求めるための契約体系整理

Syn-Resilient Inc.

その他、弊社はCRAに関する専門家として他社セミナーにも招聘実績がございます。CRA原文に依拠しつつも、CRAおよび下位文書の策定元である欧州委員会からの最新情報や、CRA対応準備を進める企業の事例等も交えた実務に役立つご提案も交え、好評を頂いております。

01.

株式会社マクニカ様

「産業機械メーカー様必見!欧州サイバーレジリエンス法(CRA)最新動向」(2024年6月26日開催)※Covalent株式会社(弊社親会社)名義

Syn-Resilient Inc.

サービスをご希望の場合は
お問い合わせフォームよりお気軽にお問い合わせください。

CONTACT

FAQ

よくあるご質問

Syn-Resilient Inc.

産業機械メーカー
PSIRT担当者

CRA対応を今後数年間で対応させなければならない一方、何がどこまで求められているのか、何から手を付けてよいのか分からず焦りもありました。Syn-Resilientさんにご支援いただいたおかげで、要件1つ1つへの準備の優先度を明確化し、直近の注力範囲を絞り込むことができ大変進めやすくなりました。欧州委員会の下位文書策定進捗等、最新情報もキャッチして計画に反映していただいているため、安心してCRA対応を進めていけると感じています。

Syn-Resilient Inc.

産業機械メーカー
製品開発担当者

他のCRA対応支援サービスや認証機関、欧州法規に強みのある弁護士事務所にも相談したことがあったが、Syn-Resilientさんほど当社の製品仕様や開発プロセスを正しく理解頂き、条文の粒度で根拠を示しつつ具体的な見解を頂けることは無かった。個々の製品仕様に突っ込んだ質問等、個別ケースの質問についても納得感のある回答を頂けている。同時並行で進めているEU Data Act、EU AI Act、機械規則、無線機器指令にも対応頂ける点も助かっている。

Syn-Resilient Inc.

設備メーカー
PSIRT担当者

Syn-Resilientさん自身が他のお客様でSBOM・脆弱性監視対応の実務支援経験があるからか、法規解釈や運用設計、取引先への要件整理においても、実際の業務を具体的にイメージしやすい形でご提案頂いており、社内・取引先にわかりやすく説明する上で非常に助かっています。

information about CRA

弊社のCRAに関する情報源

弊社の前身であるCovalent株式会社は海外リサーチの支援実績を多数有しております。
その中には、先進技術分野における法規制・国際規格の策定動向調査・要件分析の案件実績も多く含まれており、いずれもお客様に好評を頂いております。

CRAについても、Covalent時代からのノウハウを活用し、情報の鮮度・網羅性・具体性を可能な限り追求した継続的な情報収集を進めております。
法規原文をはじめ欧州委員会公式・関係者情報から、CRA要件やその意図を明確化し、最新の策定状況をキャッチしております。
また、企業における対応事例や、サイバーセキュリティソリューションベンダ・認証機関見解から、必要対応レベルや実務知見を取得しております。

Syn-Resilient Inc.

欧州委員会公式・関係者情報

法規原文・策定過程情報

・全条文を逐条で精査し、要件を洗い出し
・適宣策定過程の情報も参照し、規定の意図を明確化

参照法規・規格原文

・策定過程で参照された法規・規格を特定し原文精査
・類似規定をCRA要件の意味内容類推に利用

策定団体発信情報・関係者見解

・策定団体の発行文書・講演等を継続ウォッチ
・関係者と意見交換し、個別論点への見解取得

Syn-Resilient Inc.

企業における対応事例

CRA対応推進企業の事例

・PSIRT・開発部門・調達部門等、実務者意見交換
・CRA対応レベル・準備の流れ等、実務知見を取得

参照規格の認証取得企業の事例

・第三者認証を取得した企業の対応事例を把握し、 CRAで求められる運用のレベル類推に活用

取組先行する業界の事例

・自動車・医療機器等、厳しいCS法規有る業界事例から、効率化・CSレベル向上への実務知見を取得

Syn-Resilient Inc.

サイバーセキュリティ関連
ソリューションベンダ情報

開発ツールベンダ情報

・各種ツールベンダとCRA解釈/対応につき意見交換
・CRA対応に有用な機能の情報取得

製品組込ソリューションベンダ情報

・製品組込用のCSソリューションベンダと CRA対応に有用な機能、CRA対応予定の情報取得

認証機関見解

・認証機関の公開情報・講演等を継続ウォッチ
・アセッサーと意見交換し、個別論点への見解取得

サービスをご希望の場合は
お問い合わせフォームよりお気軽にお問い合わせください。

CONTACT