サイバーレジリエンス法（Cyber Resilience Act、以下CRA）とは、EU市場に流通するデジタル製品に対して、共通のサイバーセキュリティ要件を課すEUの規則です。対象はソフトウェアやハードウェアといった「デジタル要素を持つ製品」で、EUに製品を出す日本の製造業者や供給者にも及びます。発効から全面適用まで数年の移行期間が設けられていますが、違反すると多額の制裁金が科される可能性があり、対応には設計・開発から市販後の運用まで一定の準備期間を要します。定義や適用スケジュール、対象になる製品、製造業者の義務や罰則を押さえれば、自社がいつ何から動くべきかを見極められますので、ぜひ参考にしてください。
サイバーレジリエンス法とは？
サイバーレジリエンス法は、EU市場に出回るデジタル製品のサイバーセキュリティを、製品のライフサイクル全体にわたって製造者などに義務づける法的枠組みです。
ただし、すべてのデジタル製品が対象になるわけではなく、意図された用途または合理的に予見可能な使用方法に、機器やネットワークへの直接的・間接的なデータ接続が含まれる製品に適用されます。
従来は製品を使う側がセキュリティに気を配る面が大きかったのに対し、CRAは製品を市場に出す側へ責任を移します。義務を負うのは製造業者だけでなく、輸入業者・流通業者を含む「経済事業者」です。ここではまず、CRAの法的な性質、制定の背景、そして日本企業との関係を確認します。
EU市場のデジタル製品に共通のセキュリティ要件を課す規則である
サイバーレジリエンス法は「指令（directive）」ではなく「規則（regulation）」です。規則はEU加盟国の国内法への置き換えを待たず、全加盟国に直接適用される点に特徴があります（※1）。この形式をとることで、加盟国ごとの解釈差が生じにくくなります。
サイバーレジリエンス法は2024年10月23日付の欧州議会および理事会の規則として成立し、同年11月20日にEU官報へ掲載されました。その20日後にあたる2024年12月10日に発効しています（※2）。規則番号は Regulation (EU) 2024/2847 です。
注意が必要なのは、「発効」と「義務の適用開始」が別である点です。CRAは2024年12月10日に発効していますが、主要な義務が適用されるのは2027年12月11日からです。一方、脆弱性・重大インシデントの報告義務は先行して2026年9月11日から適用され、適合性評価機関の通知に関する規定は2026年6月11日から適用されます。
一般データ保護規則（GDPR）が世界のデータ保護ルールに影響を与えたように、CRAも製品セキュリティの国際的な基準に波及する可能性があります。EUに製品を出す企業にとって、避けて通れない基準になりつつあります。
なぜ制定されたのか
サイバーレジリエンス法が生まれた背景には、市場に出回る製品のセキュリティ水準が十分でないという問題意識があります。多くの製品でセキュリティ対策が不十分で、セキュリティ更新の提供も遅れがちでした。消費者や企業が、どの製品が安全かを判断しにくいという課題もあります。こうした問題への対処としてCRAが策定されました（※1）。
デジタル製品を狙った攻撃が増えるなかで、製品そのものの安全性を市場に出す前の段階から底上げする狙いがあります。CRAは、こうしたセキュリティ対策の不足や、安全な設定のしにくさに正面から対応する規則として位置づけられています。
CRAは単独で存在する規則ではなく、2020年のEUサイバーセキュリティ戦略とEU安全保障連合戦略を土台としており、事業者の体制側を規律するNIS2指令を製品側から補完する関係にあります。
日本企業にも域外適用される
サイバーレジリエンス法はEU域内の事業者だけを縛る規則ではありません。適用の判断基準は事業者の所在地ではなく、対象製品がEU市場で入手可能な状態にされるかどうかです。EU向けにデジタル製品を製造する日本の事業者、そしてその製品をEU市場で入手できるように流通させる日本の事業者にも適用されます。義務を負う主体は、製造業者、輸入業者、流通業者などに広がります（※1）。
つまり、EUに拠点がなくても、EU市場に製品が届く経路があれば対象になり得ます。国内向けと考えていた製品がEUで再販売される場合も、無関係とは言い切れません。自社が直接EUに出荷していなくても、EU市場に製品を投入する取引先のサプライチェーンに組み込まれている場合は、SBOMの提供や脆弱性情報の連携を契約上求められる可能性があります。まず「自社の製品がEU市場に出ているか」を確認することが出発点になります。
いつから適用されるのかを段階ごとに把握する
サイバーレジリエンス法は一度にすべての義務が始まるのではなく、段階的に適用されます。発効から全面適用までに約3年の移行期間が設けられており、先に始まる義務と後から始まる義務があります。適用日を取り違えると準備計画が狂うため、主な節目を押さえておく必要があります。
主なスケジュールは次のとおりです（※3）。
| 時期 | 内容 |
|---|---|
| 2024年12月10日 | CRAが発効 |
| 2026年6月11日 | 適合性評価機関の通知に関する枠組みが適用開始 |
| 2026年9月11日 | 脆弱性とインシデントの報告義務が適用開始 |
| 2027年12月11日 | 報告義務以外の主要な義務が全面適用 |
| 2028年6月11日 | 他のEU整合法令に基づき発行されたEU型式試験証明書等の有効期限（それ以前に期限が到来する場合を除く） |
注意したいのは、報告義務が他の義務より1年以上早く始まる点です。報告義務は、2027年12月11日より前にEU市場へ出した製品にも及びます。すでにEUで販売している製品があれば、2026年9月11日以降は悪用された脆弱性や重大インシデントの報告に備える必要があります（※3）。
一方、報告義務以外の義務は、原則として2027年12月11日以降にEU市場へ置かれた製品に適用されます。開発期間の長い製品ほど、全面適用までに残された時間は短く感じられます。
対象になる製品とならない製品を見分ける方法
サイバーレジリエンス法への対応で最初の関門になるのが、自社製品が対象かどうかの判定です。CRAは幅広いデジタル製品を対象にする一方、他の法令ですでに規制されている分野などは除外します。ここでは対象の考え方と、代表的な対象外の製品を確認します。
対象は「デジタル要素を持つ製品」で接続機能が線引きになる
サイバーレジリエンス法の対象は「デジタル要素を持つ製品（products with digital elements）」です。これは主に、ソフトウェアやハードウェアの製品と、その遠隔データ処理ソリューションを指します。単体で市場に出されるソフトウェアコンポーネント・ハードウェアコンポーネントも、それ自体が対象になります。加えて、意図された用途または合理的に予見できる使い方で、機器やネットワークへ直接または間接にデータ接続することが条件になります（※1）。
言い換えると、接続機能の有無が対象かどうかの線引きになります。PC、スマートフォン、スマート家電、産業用IoT機器、モバイルアプリ、単体で流通するソフトウェアなどが広く含まれます。他システムを介して間接的に接続する製品も対象です。
ここで注意したいのは、規則が「直接的または間接的な、論理的または物理的なデータ接続」と定めている点です。インターネットに接続しない製品であっても、保守用のUSBポートやシリアルポートのような物理的なデータ接続を持つ場合は、対象に含まれる可能性があります。「ネットワークにつながらないから対象外」と早合点しないよう、接続経路を洗い出したうえで判定する必要があります。
遠隔データ処理ソリューションとは、製造者の責任のもとで設計・開発されたソフトウェアによる遠隔地でのデータ処理で、それがないと製品の機能の一部が動かなくなるものを指します。たとえば、スマート家電を外出先から操作できるようにするクラウド機能が該当します（※3）。
対象外となる製品
サイバーレジリエンス法が対象とするのは、機器やネットワークへ直接または間接にデータ接続する製品です。この条件を裏返せば、接続機能を持たず単体で完結する製品は対象外になります（※3）。たとえば洗浄サイクルを制御する組み込みソフトを積んでいても、他の機器やネットワークへ接続しない食器洗浄機は、この線引きにより適用を受けません。
分野別のEU法ですでに規制されている製品も除外されます。医療機器、体外診断用医療機器、自動車、認証された航空機器、舶用機器などが該当します。国家安全保障や防衛のための製品も対象外です。商業目的でない非商用のオープンソースソフトウェアも、原則として適用の外に置かれます。
ただし例外もあります。全面適用前に市場に出した製品でも、その後にリスクの性質を変えるような実質的な改変を加えた場合には、あらためて適合が求められることがあります（※1）。
製造業者に課される主な義務を確認する
サイバーレジリエンス法の中心的な義務は製造業者に向けられています。設計段階のセキュリティ確保から、脆弱性への継続的な対応、適合性の証明、そしてインシデントの報告まで、製品のライフサイクル全体に及びます。ここでは主要な義務を、必ず守るべきものと条件付きのものを区別しながら確認します。
設計から市販後まで貫く必須サイバーセキュリティ要件
サイバーレジリエンス法は、製品が満たすべき必須サイバーセキュリティ要件を附属書Iに定めています。製造者はまずリスク評価を実施し、その結果に基づいて要件を実装します。リスク評価とは、製品の用途や使われ方を踏まえて脅威を洗い出し、対策の要否を判断する作業です（※1）。
要件には、悪用可能な既知の脆弱性がない状態での出荷、初期状態での安全な設定、不正アクセスからの保護、データの機密性と完全性の保護、攻撃対象領域の制限などが含まれます。すべてを一律に求めるのではなく、リスク評価の結果に応じて実装範囲を判断できる部分もあります。
要件はライフサイクル全体にわたります。設計時に組み込んでおくべき対策が多く、完成後に後付けするのは難しいものもあります。
SBOMの作成と脆弱性ハンドリング
附属書Iには、脆弱性ハンドリング要件も定められています。こちらはリスク評価の結果にかかわらず、すべての対象製品で対応が必要です（※1）。
なかでも中心になるのがSBOM（Software Bill of Materials）です。SBOMとは、製品に含まれるソフトウェア部品とその依存関係を一覧にした、機械が読み取れる形式の「部品表」です。CRAは、少なくとも最上位レベルの依存関係を網羅するSBOMの作成を求めています（※1）。
脆弱性ハンドリングには、脆弱性への遅滞ない対処、定期的なテストとレビュー、修正情報の公開、脆弱性開示ポリシーの導入、安全な更新の配布などが含まれます。セキュリティ更新は、技術的に可能な場合は機能更新と分けて提供することが求められます。
あわせて押さえておきたいのが「サポート期間」です。製造業者は、脆弱性ハンドリングを行う期間としてサポート期間を自ら定める必要があります。サポート期間は原則5年以上とされ、製品の想定使用期間が5年未満の場合はその期間に合わせます。終了時期は年月まで含めて、購入時点で明確に示さなければなりません。
脆弱性とインシデントの報告義務
報告義務は、悪用された脆弱性や重大インシデントを認識した際に、当局へ知らせる義務です。報告の段階は3つに分かれます。まず24時間以内の早期警告、次に72時間以内のより詳しい通知、そして是正措置の提供後14日以内、または重大インシデントの場合は認識から1か月以内の最終報告です（※4）。最終報告の期限は2つの類型で異なり、悪用された脆弱性の場合は是正措置または緩和措置が利用可能になってから14日以内、重大インシデントの場合は72時間の通知を提出してから1か月以内です。
報告先は、ENISA（欧州連合サイバーセキュリティ機関）と各国のCSIRT（インシデント対応の専門組織）で、単一の報告プラットフォームを通じて行います。このプラットフォームは2026年9月11日の適用開始までに稼働するとされており、機能面とセキュリティ面の試験が進められています。ただし本記事の執筆時点では、まだ正式には立ち上がっていません。ENISAは登録手順や事前演習の案内を進めているため、EUで製品を販売している企業は、欧州委員会とENISAの公表情報を継続的に確認しておく必要があります（※4、※5）。
前述のとおり、報告義務は2026年9月11日から始まり、全面適用前に市場へ出した製品にも及びます。EUで販売中の製品を持つ企業は、この義務が最初の対応期限になります。
なお、報告が必要なのは実際に悪用が確認された脆弱性です。理論上の悪用可能性や概念実証（PoC）、研究成果の段階では報告対象になりません（※4）。
また、報告先は当局だけではありません。影響を受ける利用者への通知も遅滞なく行う必要があり、これを怠るとCSIRTが直接利用者へ通知することがあります。自社製品に組み込んだ第三者コンポーネントに脆弱性を見つけた場合は、そのコンポーネントの製造者や開発者へ通知する義務も生じます（※4）。
報告義務は、2027年12月11日より前に市場へ出した製品に及ぶだけでなく、その製品のサポート期間が終了した後も続きます（※4）。
CEマークと適合性評価
サイバーレジリエンス法への適合を示す手段がCEマークです。CEマークとは、EUの基準に適合していることを製造者が示すための表示で、CRAではデジタル製品にもこの仕組みが使われます。CEマークのない対象製品は、全面適用後にEU市場で販売できなくなります（※1）。
CEマークを付けるには適合性評価が必要です。評価の手順は製品の分類によって変わります。多くの製品は製造者自身による自己評価で足りますが、リスクの高い「重要製品」やより厳格な区分に該当する製品では、第三者機関による認証が求められます。
分類は製品のコア機能に着目して判断されます。ある部品が組み込まれているだけで完成品全体がただちに高リスク区分になるわけではありません。同じ区分でも、用途に応じて実装すべき対策は異なります。
輸入業者と流通業者に求められること
サイバーレジリエンス法の主要な義務は製造業者に向けられていますが、輸入業者や流通業者にも役割があります。両者は、CRAに適合した製品だけをEU市場で流通させることが求められ、取り扱う製品の製造業者が義務を果たしているかを確認する必要があります（※1）。
具体的には、対象製品にCEマークが付いているか、必要な文書が備わっているかといった点の確認が中心になります。製造者ほど広範な義務を自ら負うわけではありませんが、確認を怠れば責任を問われる余地があります。
違反した場合の罰則を知る
サイバーレジリエンス法には制裁金の定めがあります。必須サイバーセキュリティ要件や製造業者の主要な義務に違反した場合、最高1,500万ユーロ、または前会計年度の全世界の年間総売上高の2.5%のいずれか高い方が上限になります（※1）。売上高に連動するため、規模の大きい企業ほど金額も大きくなります。
制裁金以外の措置もあります。市場監視当局は、適合していない製品について是正を求め、市場からの撤去や流通の制限を命じる権限を持ちます。
なお、義務の種類によって上限額は異なり、不正確な情報の提供などにはより低い上限が設けられています。すべての違反が最高額の対象になるわけではありません（※1）。
立場別「いつ動くべきか」を判断する基準
サイバーレジリエンス法の解説は製造業者を中心に語られがちですが、実務では自社の立場によって着手のタイミングが変わります。同じ「対象事業者」でも、完成品を出すメーカー、部品やソフトを納入する供給者、輸入や流通を担う事業者では、優先すべきことが異なります。
完成品メーカーは義務の主体そのものです。設計段階から組み込むべき要件が多く、開発期間の長い製品ほど全面適用までの時間が足りなくなります。この立場は、いますぐ着手する側に入ります。
部品やソフトの供給者は、CRAの義務主体としては前面に出ないことがあります。しかし納入先の完成品メーカーは、供給元がCRAに適合しているかを確認し、SBOMや適合情報の提供を求めてきます。供給者が対応を後回しにすると、取引先の適合を妨げ、取引そのものに影響しかねません。早めに着手する側です。
輸入業者や流通業者は、自ら広範な義務を負うわけではありませんが、取り扱う製品の製造者が義務を果たしているかを確認する責任があります。供給元の適合状況を点検する体制づくりが中心になります。
「まだ動かなくてよい」と言える場面は限られます。EU市場と接点がなく、今後も出す予定がない製品であれば、優先度は下がります。反対に、EUで販売中の製品を持つ企業は、報告義務の期限である2026年9月11日が最初の期限として先に来ます。
いま着手できる対応の進め方
対応の指針として、2026年7月27日に欧州委員会が実務ガイダンスを公表しています。法的拘束力はありませんが、クラウド機能が製品の一部に含まれる条件、組み込んだオープンソースの責任範囲、更新が義務を再発生させる場合などが整理されており、判断に迷う場面での参照先になります（※5）。
サイバーレジリエンス法への対応は範囲が広く、どこから手をつけるか迷いやすい領域です。ただし、進め方の順序はある程度定まっています。ここでは、理解から運用までを段階を追って示します。自社の製品と体制に当てはめながら読み進めてください。
第一歩は、対象製品の棚卸しです。EU市場に出ている、または今後出す予定のデジタル製品を洗い出し、それぞれが対象かどうかを判定します。接続機能の有無と、分野別法令による除外に該当しないかが判断の軸になります。
次に、製品ごとのリスク評価を実施します。用途と使われ方を踏まえて脅威を洗い出し、必須サイバーセキュリティ要件のうち何を実装すべきかを判断します。この作業は所属部門内でも着手でき、セキュリティ意識を高める機会にもなります。なお、リスク評価は実施するだけでなく文書化し、サポート期間中は必要に応じて更新したうえで、技術文書に含める必要があります。
続いて、SBOMの整備と脆弱性への対応プロセスの構築です。使っている部品を把握できていなければ、脆弱性が見つかったときに影響範囲を追えません。SBOMの作成ツールの導入や、脆弱性開示ポリシーの策定を進めます。
報告体制の準備も欠かせません。悪用された脆弱性や重大インシデントを認識したとき、24時間、72時間という短い期限で当局へ報告できる連絡経路と判断ルールを、あらかじめ決めておく必要があります。
最後に、適合性評価とその前提となる検証です。ここで注意したいのが、検証を自動診断だけに頼らないことです。近年はAIによる自動診断もありますが、機械的なスキャンだけでは検出しにくい脆弱性が残ります。認可制御の不備やビジネスロジックの欠陥のように、仕様と文脈を理解しないと判断できない類型がこれにあたります。誤検知や見落としのリスクもあり、自動診断のみに依存する運用は推奨できません。
サイバーレジリエンス法が求める効果的かつ定期的なテストの水準を満たすには、専門家が手を動かす脆弱性診断やペネトレーションテストが有効です。ペネトレーションテストとは、攻撃者の視点で実際に侵入を試み、悪用可能な弱点を確認する検証手法です。ユービーセキュアは、こうした手動によるWebアプリケーションの脆弱性診断とペネトレーションテストを提供しており、自動診断では拾いきれない部分の確認を支援します。まず自社製品の対象判定を終えたうえで、検証をどこまで自前で行い、どこを外部に委ねるかを検討することをおすすめします。
サイバーレジリエンス法に関するよくある質問
CRAをはじめて調べる際に、疑問が集中する点があります。適用時期、日本企業の扱い、オープンソースの位置づけの3つについて、要点を確認します。
サイバーレジリエンス法はいつから適用される？
サイバーレジリエンス法は2024年12月10日に発効されました。脆弱性とインシデントの報告義務は2026年9月11日から、報告義務以外の主要な義務は2027年12月11日から適用されます（※3）。報告義務が先に始まる点に注意が必要です。
日本企業も対象になるのか？
なります。EU向けにデジタル製品を製造する事業者や、その製品をEU市場で流通させる事業者は、EUに拠点がなくても対象です（※1）。国内向けの製品がEUで再販売される経路がある場合も、確認が必要です。
オープンソースソフトウェアはどう扱われる？
商業目的でない非商用のオープンソースソフトウェアは、原則としてCRAの対象外です（※1）。ただし、商業活動の一部として提供される場合には扱いが変わり得ます。自社での利用形態が商用に当たるかどうかを個別に確認する必要があります。
注意したいのは、自社製品にオープンソースを組み込んで販売する場合です。この場合、そのオープンソース自体が対象外かどうかにかかわらず、製品を市場に出す製造業者が、組み込んだコンポーネントについてもデューディリジェンスを行い、製品全体のセキュリティを確保する責任を負います（同規則第13条5項）。
まとめ：自社製品がCRAの対象かの見極めが出発点
サイバーレジリエンス法は、EU市場のデジタル製品に共通のサイバーセキュリティ要件を課す規則です。報告義務は2026年9月11日、その他の主要な義務は2027年12月11日から適用され、EUに製品を出す日本企業にも及びます。義務は設計時のセキュリティ確保、SBOMや脆弱性ハンドリング、報告、CEマークと適合性評価まで広く、違反には最高1,500万ユーロまたは全世界売上高の2.5%という制裁金があります。
対応の優先度は立場によって変わります。まず取り組むべきは、EU市場に出ている、または出す予定のデジタル製品を洗い出し、それぞれがCRAの対象に当たるかを見極める作業です。ここが定まれば、リスク評価から検証までの道筋が具体的になります。全面適用までの時間は製品の開発期間によって体感が異なるため、対象かどうかの判定を早めに済ませておくことが次の一歩になります。
参考
※1 European Commission｜Cyber Resilience Act
※2 EUR-Lex｜Regulation (EU) 2024/2847（Cyber Resilience Act）
※3 European Commission｜Cyber Resilience Act - Implementation
※4 European Commission｜Cyber Resilience Act - Reporting obligations
※5 European Commission｜Commission publishes new guidance to support timely Cyber Resilience Act implementation（2026年7月27日）
-1.png)
