デジタル製品および付帯サービスに関する新しいサイバーセキュリティ規則

欧州委員会が引導し、有形（ハードウェア）および無形（ソフトウェア）のデジタル製品および付帯サービスの製造業者および販売者にEU各国共通のサイバーセキュリティ規則を導入することになりそうです。

2022年09月15日、規則案についてプレスリリースで言及されました。この規則は、市場のニーズに対処しながら、消費者をサイバー犯罪の標的となりそうな製品から保護することを目的として、導入が検討されています。

この規則の導入は、現在一般から意見を聞いた後で、欧州委員会が「どのようなことを規則とするのか」を提案して内容を公開し、それに対してまた意見を求めている段階となっています。

ここでは、「背景」「内容」「欧州委員会の「規則の提案」に関しての意見の提出期間」について記事になっています。

背景：

デジタル製品とその付帯サービスは、EU（欧州連合、European Union）加盟国全体の経済と社会に利益をもたらします。しかし、一部または一国のサイバーセキュリティが破られると、EUシステム全体に影響を与え経済社会活動を混乱させる可能性もあります。

また、加盟国の１つの国で製造された製品は、しばしばEU領域内の市場全体で使用されるにも関わらず、現在のEUの法的枠組みではこれらの製品を対象としていませんでした。ただし、各国での断片的な国内規則の策定では、開かれた競争原理が支配する欧州の単一市場を阻害する可能性があります。

そこで、欧州委員会は、欧州全体における新しいサイバーセキュリティ規則である「弾力性のあるサイバー法(Cyber resilience act)」の導入を提案していました。まずは、2022年3月16日~2022年5月25日の期間で、一般からの意見（フィードバック）を募集していました（参考１）。

内容：

フィードバックを受けて、現在は欧州委員会より「規則の提案COM(2022)454」「附属書COM(2022)454」「法の影響を評価することに関する意見SEC(2022)32」「法の影響評価の概要SWD(2022)283」「法の影響評価の報告書SWD(2022)282（3部に分かれてPDFになっています）」が公開され、現在はこれらに対しての意見が求められています。

具体的な「規則の提案COM(2022)454」には以下の項目が含まれています。

「背景」「本文の第一章：総則」「本文の第二章：製造者もしくは販売者の義務」「本文の第三章：製品のデジタル要素への適合性」「適合性評価機関の届出」「市場監視と執行」「6委譲された権限と委員会の手続き」「守秘義務と罰則」「8経過措置と最終規定」

この規則の内容は、2022年9月15日に出された欧州委員会からのプレスリリース（参考２）にもまとめられています。プレスリリースによると、

■　デジタル製品および付帯サービスのセキュリティを確保するために製品を市場に投入する前にチェックする規則

■　デジタル製品や関連する製造者と販売者の必須要件や義務

■　デジタル製品の脆弱性を高めるために実施されるプロセスの必須要件と製造者や販売者の義務

■　市場の監視や執行に関する規則

の提案が「弾力性のあるサイバー法」に含まれています。以上の規則はEUの「欧州のデジタルの未来を形作る（参考３）」と「EU安全保障連合戦略（参考４）」に基づいて、EUが立法行為や執行を先導して行います。

また、この新しい「弾力性のあるサイバー法」は、ネットワークおよび情報システムのセキュリティに関する指令(NIS指令)、欧州議会と理事会によって最近合意されたEU全体の高い共通レベルのサイバーセキュリティのための措置に関する指令(NIS指令)基づいて、サイバーセキュリティ法（The EU Cybersecurity act、参考５）の規則を補完します。

欧州委員会の「規則の提案」に関しての意見の提出期間：

2022年9月19日～11月18日（ただし、すべてのEU各国の言語に翻訳されるたびに８週間の提出期間が延長される予定です。）

参考：

参考１：サイバーレジリエンス法 – デジタル製品および付随サービスに関する新しいサイバーセキュリティルール

参考２：2022年9月15日に出された欧州委員会からのプレスリリース

参考３：欧州のデジタルの未来を形作る

参考４：EU安全保障連合戦略

参考５：EUサイバーセキュリティ