サイバーレジリエンス法の要件実装と認証制度―製造業に求められる対応

欧州の代表的な製品セキュリティ法令であるサイバーレジリエンス法（CRA）¹の全面適用が2027年12月に控える中で、欧州で製品を展開する製造業では、CRAの附属書Iに示された必須セキュリティ要件および脆弱性ハンドリング要件（いずれもCRA要件：図表1．2．参照）にどのように準拠するかが課題となっています。

限られた時間でのCRA適合は企業にとって負担が大きいことから、CRAでは第27条で認証済み製品を対象に適合推定制度を設けています。このCRA適合推定に製造業が活用し得る認証制度の1つとして、2025年2月27日から開始されたICT製品に対するサイバーセキュリティ認証制度であるEUCC（EU Cybersecurity Certification Scheme on Common Criteria）が挙げられます。EUCCは欧州においてはCommon Criteria（CC）の後続となる制度で、CC認証の活用が進んでいるIC・スマートカードやハードコピーデバイス、ネットワークデバイスを製造する企業などにとっては、CRA適合の有用なオプションとなる可能性があります。また、欧州ではこれらの機器に限らずIoT製品等の製造業者に対して、従来型の安全性確保だけでなく、セキュリティ品質の確保も義務として求めるようになりつつあります。このことを踏まえると、長期的にはEUCC認証を前提とした全社的な標準製造プロセスを確立することが、欧州でビジネスを行うIoT機器等の製造業にとって全体最適につながると考えられます。

一方で、2025年6月現在ではCRA要件に対応したEUCC認証の整備は完了していないことや、製品へのセキュリティ要件実装には時間を要することを踏まえると、2027年のCRA全面適用時の段階でEUCC認証を選択するという方法は現実的ではないかもしれません。当インサイトでは、CRA対応におけるEUCCの位置付けと現状を概観した上で、欧州連合サイバーセキュリティ機関（ENISA）が2025年2月26日に公表した、現時点で利用可能な認証制度とCRA要件のギャップ分析に基づいて今後のCRA適合におけるEUCC制度の整備に関する提言を行ったレポート²を基に、製造業に推奨されるアクションを紹介します。

EUCCの概要と現状

EUCCは欧州サイバーセキュリティ法（CSA）⁴に基づく2025年2月27日から有効なサイバーセキュリティ認証制度で、技術コンポーネント（チップ、スマートカードなど）、ハードウェア、ソフトウェアなどを含むICT製品を対象とします。同制度は欧州全体のサイバーセキュリティ規制スキームの一部であり、CRAを含む欧州におけるサイバーセキュリティ規制の実装を補完する統一的なセキュリティ基準を定めることを目的としています。また、EUCCは欧州に限らず国際的に利用される「情報技術セキュリティ評価のための共通基準（ISO/IEC15408-1、CC）」に基づいています。

EUCCに基づく認証を取得する際は、対応した保護プロファイル（PP）に従った実装が原則として求められるでしょう。PPは特定のICT製品カテゴリについて、想定される脅威に求められるセキュリティのベンチマークを定めていますが、それは主に想定される脅威、脅威を前提としたセキュリティ目標、セキュリティ機能、その機能を検証するために必要な保証レベルから構成されます。

CRAの各要件と対応したEUCCに基づくPPは、認証取得の要否にかかわらず製造業にとって有用なベンチマークとなると考えます。しかし、冒頭でも述べたように、2025年6月現在ではCRAに対応したEUCC認証の整備は完了していません。また、CC認証が未取得の製品についてゼロからEUCC認証を取得するには、人的にも経済的にも追加リソースが必要です。製造業においては、近い将来開始されるEUCC認証制度の活用や、長期的な取り組みとしてのEUCC認証を前提とした製造プロセスの標準化の可能性などを検討しつつ、現状に応じて適切なアクションをとることが求められます。

製造業に推奨されるアクション

製造業に推奨されるアクションを検討する上では、冒頭で言及したENISAが公開しているレポートが参考になります。同レポートではCCに基づくPPとCRAの要件のギャップを分析した上で、既存PPでカバーできるCRA要件の範囲と、当局によるEUCC下のPP整備などによって対応されるべき範囲を検討しています。このアプローチは、既にCC認証対応を進めている企業にとって有用です。

まず、自社製品が適合している既存のPPあるいはそれに基づく自社のセキュリティターゲット（ST、自社製品が備えるべきセキュリティ機能の要件と仕様を定めた文書）とCRA要件のギャップを特定し、そのギャップが正当化できるかを検討します。つまり、自社製品に対して想定される脅威について、当該PPないしSTの要求を満たしていればCRAが定めるセキュリティ要件が達成されるのかを分析します。このような、企業による脅威ベースのリスク評価に基づくセキュリティ要件の実装要否判断は、CRAが採用する実装アプローチとも整合的です（図表1．）。ただし、CRA要件のうち附属書Iの必須セキュリティ要件（図表1．）の実装は脅威ベースのリスク評価を前提としていますが、脆弱性ハンドリング要件（図表2．）についてはリスク評価に関係なく実施が必要である点には留意する必要があります。

その上で、ギャップが正当化できないものであればそれを補うための実装や対策を検討しますが、そのタイミングで利用可能なEUCC下のPPがあれば活用することが考えられます。CC認証や将来的なEUCC認証と結びつくPPは、これまでCC認証などを活用していなかった企業にとってもCRA対応上の1つのベンチマークとして活用可能です。特に、欧州による製品のセキュリティ品質確保の義務化の潮流を踏まえると、企業においては、製品ごとにセキュリティ確保を行う状態からEUCC認証を軸に製品横断的に製造プロセスにおけるセキュリティ確保の標準化を行う状態へと転換することが、長期的には全体コストの最適化につながるのではないでしょうか。