2026年09月11日、EUサイバーレジリエンス法（規則（EU）2024/2847、CRA）に基づく報告義務の適用が始まります。デジタル要素を含む製品の製造者は、その製品に含まれる積極的に悪用されている脆弱性、および製品のセキュリティに重大な影響を及ぼすインシデントについて、欧州ネットワーク・情報セキュリティ機関（ENISA）が運用する単一報告プラットフォーム（Single Reporting Platform、SRP）を通じて届け出なければなりません。報告は、認知から24時間以内の早期警告、72時間以内の通知、その後の最終報告という三段階で行います。届出は一度で足り、製造者の主たる事業所が所在する加盟国の調整担当CSIRT（コンピュータセキュリティインシデント対応チーム）とENISAへ同時に共有される仕組みです。同日からは、脆弱性やサイバー脅威、ニアミス事象に関する任意の報告も受け付けられます。EU域内でデジタル製品を上市する事業者は、社内の検知から届出までの手順を運用開始日までに整えておく必要があります。
報告の対象となる事象
- 積極的に悪用されている脆弱性：悪意ある行為者が権限なくこれを悪用したことを示す信頼できる証拠がある脆弱性
- 重大なインシデント：製品の可用性、真正性、完全性または機密性に重大な悪影響を及ぼす事象
オープンソースソフトウェアのスチュワードについても、デジタル要素を含む製品に関与する範囲で報告の対象となります。
報告の期限
- 認知から24時間以内：早期警告
- 認知から72時間以内：一般的な情報と初期評価を含む通知
- 最終報告：脆弱性については是正措置が利用可能になってから14日以内、重大インシデントについては1か月以内
報告先と事前の準備
報告先となる各国CSIRTは、CRA第14条(7)により、原則として製造者の主たる事業所の所在地によって決まります。EU域外に所在する事業者の場合は、授権代理人（AR）の所在地が基準となります。調整担当CSIRTは、受領した情報を他の加盟国の関係CSIRTへ遅滞なく共有し、必要に応じて市場監視当局にも通知します。製造者および授権代理人は、EU Loginのアカウントを用いて事前に登録しておくことができ、SRP専用のURLはプラットフォームの公開時に案内される予定です。
報告する情報の項目
入力が求められる項目は、24時間版、72時間版、最終版で異なります。
- 共通の項目：通知の種別、製造者名、製品名、製品の類型、影響を受ける加盟国、件名
- 脆弱性に固有の項目：CVEまたはEUVDの識別子、一般情報、対策の状況、利用者に求められる対応、深刻度、影響の説明
- インシデントに固有の項目：悪意ある行為の有無、検知および発生の日時、初期評価、講じた対応措置、深刻度の判断基準
なお、安全保障上の理由がある例外的な状況では、受領したCSIRTが情報の拡散を遅延または保留することができます。この条件については、2025年12月11日に欧州委員会が委任規則を採択しています。
今後の適用スケジュール
欧州委員会は2026年07月27日に、CRAの適用に関するガイダンス（C(2026) 5252）を公表しています。遠隔データ処理ソリューションやオープンソースソフトウェアの適用範囲、「実質的な改変」の考え方、「サポート期間」の解釈、報告義務およびリスク評価要件の充足方法などを、67の実例やフローチャートを用いて説明する内容で、特に小規模事業者・中小企業への配慮が図られています。CRAの主要な義務は2027年12月11日から全面的に適用されます。
参考情報
欧州委員会「Cyber Resilience Act reporting obligations」
https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
ENISA「Single Reporting Platform (SRP)」
https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
欧州委員会「Commission publishes new guidance to support timely Cyber Resilience Act implementation」（2026年07月27日）
※ご契約期間は「申し込む」ボタンの後、必要情報の入力画面にて選択可能です。
「目次」