EU -「欧州委員会がCRA適用ガイダンスを公表」のお知らせ

2026年8月18日
一般財団法人日本品質保証機構

欧州委員会は、2026年7月27日、規則（EU）2024/2847（サイバー・レジリエンス法：CRA）の適用を支援する実務的なガイダンス（Communication C（2026）5252）を公表しました。本ガイダンスは法的拘束力を有するものではありませんが、製造者、開発者、事業者がCRA上の義務を理解し、適用準備を進めるための考え方と具体例を示しています。

適用時期

脆弱性・重大インシデントの報告義務は2026年9月11日から、CRAの主要な義務は2027年12月11日から適用されます。

ガイダンスの主なポイント

1. CRAの適用範囲の明確化
   リモートデータ処理ソリューションやフリー／オープンソースソフトウェアを含め、どのような場合に製品がCRAの適用対象となるかについて説明されています。
2. 「実質的な変更」の考え方
   製品の上市後に行われる変更が、附属書Iの必須サイバーセキュリティ要件への適合に影響する場合の判断の考え方が示されています。実質的な変更に該当する場合、変更後の製品について改めて適合性評価が必要となる可能性があります。
3. サポート期間
   製造者が脆弱性への対応およびセキュリティ更新を提供する期間の設定・適用について説明されています。
4. 報告義務およびサイバーセキュリティリスク評価
   積極的に悪用されている脆弱性や重大インシデントに関する報告義務、および製品ライフサイクルを通じたリスク評価の実施について解説されています。
5. 製品の「コア機能」による分類
   製品が重要なカテゴリーに属するかどうかは、その製品の「主要な目的（コア機能）」で判断されます。例えば、スマートフォンの内部にOS（オペレーティングシステム）が組み込まれていても、スマートフォンという製品そのものが「OS」として分類されるわけではありません。

今後の対応に向けて

本ガイダンスにより、適用範囲、製品変更、サポート期間、報告およびリスク評価に関する欧州委員会の解釈が示されました。EU市場へデジタル要素を含む製品を提供する事業者におかれましては、自社製品の適用範囲、脆弱性対応・報告体制、技術文書および適合性評価の準備状況をご確認ください。
詳細につきましては「参考リンク」よりご確認ください。

（上記内容と参考リンクの原文が異なる場合は、原文が優先されます。また、本文中の日時は現地時間です）

当機構は、産業用制御システム向けサイバーセキュリティ規格であるIEC 62443シリーズや、民生用IoT機器のサイバーセキュリティ規格であるETSI EN 303 645の評価、各国の認証取得をサポートする申請代行サービスのほか、製品安全試験、EMC試験、無線試験、環境・信頼性試験などの各種試験も承っておりますので、ぜひご利用ください。