EU - 欧州サイバーレジリエンス法（CRA）「脆弱性報告義務」に関する評価サービス開始のお知らせ

2026年5月19日
一般財団法人日本品質保証機構

当機構は、欧州サイバーレジリエンス法（Cyber Resilience Act：CRA, Regulation (EU) 2024/2847）において2026年9月11日から適用が開始されるArticle 14「製造者の報告義務」への対応準備を支援するため、欧州規格案prEN 40000-1-3「Cybersecurity requirements for products with digital elements – Part 1-3: Vulnerability Handling」に基づく評価サービスを開始します。

CRAは、EU市場に上市される「デジタル要素を有する製品」に対し、設計・開発・製造段階から上市後のサポート期間における脆弱性対応まで、製品ライフサイクル全体を対象としたサイバーセキュリティ要求を定めるEU規則です。CRAは2024年12月10日に発効し、主要な要求事項は2027年12月11日から適用されます。一方、これに先立ちArticle 14に定められる報告義務は、2026年9月11日から適用されます。

Article 14では、製造者が製品に含まれる「積極的に悪用されている脆弱性」または「製品のセキュリティに影響を及ぼす重大インシデント」を認識した場合、CRA単一報告プラットフォームを通じて、指定CSIRTおよびENISAへ報告することが求められます。報告は認識後24時間以内の早期警告、72時間以内の詳細通知に加え、脆弱性については是正措置または緩和措置が利用可能となった後14日以内、重大インシデントについては72時間通知後1カ月以内の最終報告が必要です。

短い報告期限に確実に対応するためには、脆弱性情報の受領、影響分析、是正・緩和策の判断、ユーザー通知、当局報告に必要な情報整理、証跡管理を、部門横断で実行できる実務体制が不可欠です。当機構は、これまで培ってきたサイバーセキュリティ関連の評価知見を活用し、欧州市場に製品を展開するお客さまのCRA対応に向けたギャップ把握と改善活動を支援します。

評価対象規格

prEN 40000-1-3
Cybersecurity requirements for products with digital elements – Part 1-3: Vulnerability Handling
（デジタル要素を有する製品のサイバーセキュリティ要求事項－第1-3部：脆弱性ハンドリング）

本規格案は、CRAにおける脆弱性ハンドリング要求への対応を具体化するための欧州規格案であり、製造者が製品ライフサイクル全体を通じて脆弱性を適切に管理するためのプロセス構築、文書化および運用を扱います。 なお、現時点ではprEN（規格案）であり、正式なEN規格として発行され、かつEU官報に整合規格として引用されたものではありません。CRA上の法的な「適合性の推定」は、該当する整合規格またはその一部の参照がEU官報に公表された場合に、その対象範囲について認められます。

評価で確認する主なポイント

prEN 40000-1-3に基づき、製造者の脆弱性ハンドリングプロセスについて、主に以下の観点から評価を行います。

本サービスをご活用いただくメリット

• CRA Article 14への対応準備状況を可視化：
  2026年9月11日から適用される報告義務に対し、社内プロセス、責任分担、判断基準、証跡管理の整備状況を事前に確認できます。
• 24時間・72時間報告に対応する実務体制を確認：
  積極的に悪用されている脆弱性や重大インシデントを認識した場合に、限られた時間内で必要な情報を収集・判断・報告できる体制かを確認できます。
• 整合規格化を見据えた先行的なギャップ把握：
  prEN 40000-1-3は現時点で規格案ですが、CRAの脆弱性ハンドリング要求を検討するうえで有用な技術的基準として活用できます。正式な整合規格化に先立ち、現在のプロセス上の不足点を把握し、計画的な改善につなげることができます。
• 製品ライフサイクル全体の脆弱性管理を強化：
  開発、保守、品質保証、法規制対応、CSIRT/PSIRT等の関係部門を横断した運用体制の整備に活用いただけます。

対象となるお客さま

本サービスは、以下のような製造者の皆さまにご活用いただけます。

• EU市場にハードウェア、ソフトウェア、組込み機器、IoT機器、産業機器、ネットワーク機器等を上市している、または上市を予定している製造者
• CRA Article 14の報告義務への対応体制を確認したい製造者
• PSIRT、脆弱性受付窓口、SBOM管理、セキュリティアップデート提供体制の整備を進めている製造者
• 将来のCRA本格適用および整合規格への対応を見据え、早期にギャップ評価を実施したい製造者

留意事項

• 本サービスは、prEN 40000-1-3に基づき、製造者の脆弱性ハンドリングプロセスの整備・運用状況を評価するものです。現時点でprEN 40000-1-3は規格案であり、正式なEN規格として確定したものではありません。
• CRA上の法的な適合性の推定は、整合規格等の参照がEU官報に公表された範囲において認められるものです。本サービスは、法的助言またはCRAへの適合性を保証するものではありません。
• ご相談内容によっては、提携機関であるTÜV NORD CERT GmbHとの協業により対応します。