法令の情報時期：2024年11月

ページ作成時期：2025年07月

注目定義

■　「デジタル要素を伴う製品」（product with digital elements）

「デジタル要素を伴う製品（product with digital elements）」とは、ソフトウェアまたはハードウェア製品、およびその遠隔データ処理ソリューションを意味し、個別に上市されるソフトウェアまたはハードウェア・コンポーネントを含む。

■　「経済事業者」（economic operator）

「経済事業者（economic operator）」とは、製造者、認定代理人、輸入者、流通業者、または本規則に従ってデジタル要素を伴う製品の製造、あるいはデジタル要素を伴う製品を市場で利用可能にする義務を負うその他の自然人または法人をいう。

■　「経済事業者」（manufacturer）

「経済事業者（economic operator）」とは、製造者、認定代理人、輸入者、流通業者、または本規則に従ってデジタル要素を伴う製品の製造、あるいはデジタル要素を伴う製品を市場で利用可能にする義務を負うその他の自然人または法人をいう。

■　「製造者」（manufacturer）

「製造者（manufacturer）」とは、デジタル要素を伴う製品を開発または製造する、あるいはデジタル要素を伴う製品の設計、開発、製造を委託し、その製品を、有償、無償、または収益化のために、その名称または商標で販売する自然人または法人をいう。

■　「オープンソース・ソフトウェア管理者」（open-source software steward）

「オープンソース・ソフトウェア管理者（open-source software steward）」とは、製造者以外の法人で、商業活動を目的とし、フリーでオープンソースのソフトウェアとして認定され、デジタル要素を伴う特定の製品の開発について、体系的かつ持続的にサポートを提供することを目的または目標とし、且つ、当該製品の存続可能性を確保する者をいう。

■　「輸入者」（importer）

「輸入者（importer）」とは、EU域内に設立され、EU域外に設立された自然人または法人の名称または商標が付されたデジタル要素を伴う製品を上市する自然人または法人をいう。

■　「上市」（placing on the market）

「上市（placing on the market）」とは、 EU市場でデジタル要素を伴う製品を最初に利用可能にすることをいう。

■　「市場で利用可能にすること」（making available on the market）

「市場で利用可能にすること（making available on the market）」とは、商業活動の過程でEU市場での流通または使用のためにデジタル要素を伴う製品を供給することを意味し、それが支払の見返りであるか無償であるかを問わない。

■　「実質的な変更」（substantial modification）

「実質的な変更（substantial modification）」とは、上市後のデジタル要素を伴う製品に対する、附属書1のPart 1に規定されるサイバーセキュリティ必須要件への適合性に影響を与える、あるいはデジタル要素を伴う製品が評価された意図された目的の変更をもたらす変更をいう。

■　「ソフトウェアBOL」（software bill of materials）

「ソフトウェアBOL（software bill of materials）」とは、デジタル要素を伴う製品のソフトウェア要素に含まれるコンポーネントの詳細およびサプライチェーンの関係を含む正式な記録をいう。

■　「インシデント」（incident）

「インシデント（incident）」とは、指令(EU) 2022/2555の第6条(6)で定義されるインシデントをいう。

■　「フリー・オープンソース・ソフトウェア」（free and open-source software）

「フリー・オープンソース・ソフトウェア（free and open-source software）」とは、ソースコードが公に共有され、自由にアクセス、使用、変更、再配布できるすべての権利を規定する無償の、オープンソース・ライセンスに基づいて利用可能にされているソフトウェアをいう。

■　「コーディネーターとして指定されたCSIRT」（CSIRT designated as coordinator）

「コーディネーターとして指定されたCSIRT（CSIRT designated as coordinator）」とは、指令(EU) 2022/2555の第12条(1)に基づきコーディネーターとして指定されたCSIRTを意味する。

事業者が注意すべき内容

本法令が定める事業者に係わる主な要件は次の通りとなります。本項は網羅的なものではないため、詳細や罰則については、個別調査にて承ります。 ご関心がございましたら、お気軽にお問い合わせください。

目次

基礎情報

法令（現地語）	Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act)
法令（日本語）	デジタル要素を伴う製品のサイバーセキュリティに関する水平的要件を定め、規則(EU) No 168/2013、(EU) No 2019/1020、指令(EU) 2020/1828を改正する2024年10月23日付け欧州議会及び理事会規則(EU) 2024/2847（サイバーレジリエンス法）
公布日	2024年11月20日
所管当局	通信ネットワーク・コンテンツ・技術総局（DG-Connect）