EU -「EN 40000-1-2適合準備サービス」開始のお知らせ

2026年10月19日
一般財団法人日本品質保証機構

当機構は、欧州サイバーレジリエンス法（CRA）への対応を進める製造者の皆さまに向けて、CRAの附属書I第I部（1）への準拠を支援するために策定が進められている水平規格EN 40000-1-2の要求事項を、自社の製品・開発プロセスへ適用するための準備をサポートする「EN 40000-1-2 適合準備サービス」の提供を開始しました。

セミナー、ワークショップ、ギャップ分析を組み合わせ、2027年12月11日に全面適用されるCRAに向けて、必要なプロセス、文書、記録および改善事項を明確にします。本サービスは認証や適合性評価ではなく、それらの前段階となる準備支援です。

概要

欧州サイバーレジリエンス法（CRA、規則(EU) 2024/2847）は、EU市場で販売されるデジタル要素を含む製品（ハードウェアおよびソフトウェア）に対し、設計・開発・製造から市場投入後の脆弱性対応までを通じたサイバーセキュリティ要求事項を課す規則です。主な適用日は次のとおりです。

• 2026年9月11日：
  製造者の報告義務（第14条：悪用されている脆弱性・重大インシデントの報告）の適用が開始されています。
• 2027年12月11日：
  CRAの主要な義務が全面適用されます。

CRAは「何を満たすべきか」を定める法的要求です。これに対しEN 40000-1-2は、デジタル要素を含むすべての製品を対象に、サイバーセキュリティの一般原則、製品のリスク管理（リスク評価・対処）、製品ライフサイクル全体の活動を定める規格として策定が進められています。

EN 40000-1-2は、個別の技術的セキュリティ要求事項を列挙する規格ではなく、リスクに基づくアプローチを実務で運用するためのプロセスを示す規格です。個別の技術的要求事項は、EN 40000-1-4（策定中）で扱われる予定です。なお、CEN-CENELECのデータベースでは、EN 40000-1-2についてEU官報への引用（適合推定の付与）は想定されていない旨が記載されており、本規格への適合のみでCRAへの適合が推定されるものではありません。
一方で、CRA第13条第2項から第4項に定めるサイバーセキュリティリスク評価の実施、文書化および技術文書への収載や、附属書I第I部への対応を組織の開発プロセスに落とし込むための共通の拠り所として、規格の策定が進む現段階から準備を開始する意義は大きいと考えられます。

主な内容

1. サービスの校正

   「理解」「適用」「確認」の3つのメニューで構成し、お客さまの状況に応じて組み合わせます。

   セミナー（理解）

   EN 40000-1-2の概要、構成、主要要求事項を解説します。短縮版（3時間）と詳細版（5時間）があり、詳細版では要求事項の実務上の意味合いまで掘り下げます。

   ワークショップ（適用）

   1回3時間を基本に、お客さまの製品・開発プロセスに応じたテーマを設定し、適用範囲、関係部門、必要な文書・エビデンス、次のアクションを整理します。実施回数は、目的に応じてご相談が可能です。

   ギャップ分析（確認）

   開発・保守プロセス、リスクマネジメント、脆弱性管理、構成・変更管理、セキュリティ更新などに関する資料のレビューとヒアリングを通じて、要求事項に対する準備状況、不足事項、改善の優先順位を整理してご提示します。

   以下は併用のご提案となります。

   脅威分析トレーニング

   対象製品を題材に、運用コンテキスト、資産、データフロー、信頼境界、脅威、攻撃経路、リスクレベル、リスク対応を一連の流れで学ぶ「欧州サイバーレジリエンス法（CRA）対応／脅威分析支援サービス」と併用できます。

   脆弱性報告義務に関する評価サービス

   EN 40000-1-3に基づき、製造者の脆弱性ハンドリングプロセスについて、主に「準備」「受領」「検証」「是正処置」「リリースおよび通知」「リリース後の対応」の観点から評価を行います。詳細はEU－欧州サイバーレジリエンス法（CRA）「脆弱性報告義務」に関する評価サービス開始のお知らせをご参照ください。

2. 進め方（標準的な流れ）

2. 進め方（標準的な流れ）

   1．事前確認

   対象製品、組織、既存プロセス、関連文書、ご希望時期を確認します。

   2．セミナー

   EN 40000-1-2の概要と要点を説明します。

   3．ワークショップ

   ご希望のテーマに基づき、適用方法と主要論点を整理します。

   4．ギャップ分析

   文書レビューとヒアリングにより、準備状況を確認します。

   5．フィードバック

   不足事項、改善の方向性、優先順位を説明します。

3. ご利用にあたって

3. ご利用にあたって
   料金は、対象製品、範囲、ワークショップのテーマ・回数、実施形式などに応じた個別のお見積りです。事前ヒアリングのうえ、正式なお見積りをご提示します。

よくある質問（FAQ）

• EN 40000-1-2だけに適合すれば、CRAに適合したことになりますか？

  いいえ。EN 40000-1-2は、リスク管理の原則と手法を定めるプロセスの規格です。CRAへの適合には、附属書I 第I部の個別の要求事項、第II部の脆弱性対応、技術文書の整備、製品に応じた適合性評価などへの対応が必要です。整合規格による適合推定は、EU官報に引用された規格が対象とする範囲に限られます。

• 本サービスは認証や適合性評価ですか？

  いいえ。本サービスは、規格の理解、適用の検討、準備状況の確認を支援するサービスです。認証書等は発行せず、CRAへの適合を保証するものでもありません。

• 規格の正式発行前でも利用できますか？

  はい。公開情報に基づいて準備を始めることができます。規格の確定や発行の状況に応じて、内容を更新してご提供します。

留意事項

トピックスは、2026年10月9日時点で確認できる公開情報（欧州委員会、EUR-Lex、CEN-CENELEC等）をもとに、制度・規格の動向を分かりやすく整理した内容を含みます。EN 40000-1-2の承認状況、EU官報への引用の見通しに関する記載は、公表情報に基づくものであり、規格番号、要求内容、発行時期、EU官報への引用状況は、今後変更される可能性があります。実際の適用範囲および適合性評価については、本トピックスのみを根拠とせず、必ず最新のEU法令、EU官報、欧州委員会等が公表する原文・一次情報、正式発行規格をご確認ください。 本サービスは、規格理解・適用検討・準備状況確認の支援であり、認証、適合性評価、法的判断または法的アドバイスを提供するものではなく、CRAへの適合を保証するものでもありません。サービスの内容・提供条件は、お客さまのご要望に応じて異なります。