製品のサイバーセキュリティは品質問題である――欧州CRA・改正PLDが問うデジタル製品の品質責任

CRAの概要

CRAは「デジタル要素を含む製品（Products with digital elements）」を対象とし、設計・開発から市場投入後の脆弱性管理まで、製品ライフサイクル全体にわたるサイバーセキュリティ要件を義務付けています。重要なインシデントの報告と積極的に悪用されている脆弱性の報告義務は2026年9月11日からすでに施行されており、他の製造者に対する主要義務条項は2027年12月11日から適用される予定です。違反した場合のペナルティは極めて重大で、重大な義務違反に対しては最大1,500万ユーロまたは全世界年間売上高の2.5％（いずれか高い方）の制裁金が科せられます。

改正PLDの概要

改正PLDは製造物責任を、2026年12月9日以降に市場に投入されるソフトウェアやAIシステムを含む製品、すなわち上記CRAの規制対象となるデジタル要素を含む製品にまで拡張させました。改正PLDにおいて最も重要な変更の一つは、デジタル要素を含む製品の使用により生じた被害事実をもって欠陥品と推定され、欠陥がないことに関する立証責任が実質的に製造者に転換された点です。以下では項目ごとに改正PLDの変更点を解説していきます（図表1）。

対象製品の拡張

旧PLDが主に物理的製品を対象としていたのに対し、改正PLDは「製品」の定義を以下のとおり大幅に拡張しています。

• ソフトウェア（組み込みソフトウェア、スタンドアローンソフトウェア含む）
• AIシステム・AIモデル
• デジタルコンテンツおよびデジタルサービス（製品と一体化しているもの）

改正PLDにおける製品欠陥の概念とサイバーセキュリティ

改正PLDは、製品が「合理的に期待されるセキュリティ」を欠く場合に欠陥があるとしています。具体的に、以下の状況がある場合には欠陥判断につながりやすくなります。

• 製品のサイバーセキュリティ要件への非適合（CRA等の法規制）
• セキュリティアップデートを提供できる合理的な期間中に未対応など

つまり、CRA要件を満たさないデジタル要素を含む製品は、改正PLDの下で「欠陥品」と推定されやすくなります。

責任主体の拡大

改正PLDは責任主体を製造者、輸入業者、販売業者、フルフィルメント・サービス・プロバイダー、欧州域内の授権代表者まで拡大させました。これにより、サプライチェーン全体が責任の連鎖に組み込まれています。

損害賠償範囲の拡大

賠償の対象となる損害の範囲も以下の内容まで拡張されました。

• 相互接続により受ける損害
• データの消失・破壊（一定条件下）など

製造者の立証責任と証拠開示義務

改正PLDにおける最も実務的な変更点の一つが、立証責任に関わる制度変更です。製品が、CRAなどの関連法令に違反している場合「欠陥が推定される」としています（図表2）。また被害者は専門知識が十分ではないため、欠陥と損害の因果関係が推定されやすく、製造者の「自社製品に欠陥がないことを証明する」負担が増加します。ここでは製品の設計、製造がセキュアであることや、脆弱性管理履歴などが訴訟上の争点となる可能性があります。

製品セキュリティ規制に「最低限の対応」で臨むことの落とし穴と、本質的な対応の必要性

欧州では、改正PLDと併せて、製品セキュリティに対する規制上の要求が一段と高まっています。こうした法規制環境の下では、CRAへの対応を形式的な「最低限の準拠」として進めるだけでは、非常に大きなリスクを伴います。

製品セキュリティ規制、特にCRAへの対応として、ベースラインとなるセキュリティ要件を実装すれば足りるという考え方もあります。しかし、改正PLDにおける欠陥の推定という観点から見ると、たとえCRAの要件を形式的に満たしていたとしても、それだけで製品の実質的なセキュリティが確保されていたとは言えません。CRAの最低要件を満たしていたという事実だけでは、改正PLDにおける欠陥の推定を覆すための十分な根拠にはなりにくいと考えられます。

また、製品が市場投入された後に新たな脆弱性が判明した場合には、適時にパッチやアップデートを提供することが求められます。これを怠れば、その時点で当該製品に欠陥があると評価される可能性があります。

さらに、製造物責任訴訟においては、社内の設計文書、リスク評価資料、脆弱性管理の履歴などの開示を求められることがあります。そのため、「CRAなど法令が求める製品のサイバーセキュリティ義務を必要最小限の対応しか行っていなかった」という事実は、製造者にとって不利に働くおそれがあります。

このように、欧州の製品セキュリティ規制環境が企業に求めているのは、単なる形式的な法令対応ではありません。製品安全、セキュリティ、AI、ソフトウェア更新、サプライチェーン管理に至るまで、製品ライフサイクル全体を見直し、実質的な安全性とセキュリティを継続的に確保していくことが求められています。製品セキュリティ対応をベースラインの水準にとどめるだけでは、改正PLDへの対応として不十分であり、訴訟対応においても不利な立場に置かれるおそれがあります。

改正PLDは、CRAをはじめとする他の関連法令と相互に関連しながら、製造者の責任を一層強化しています。したがって、本質的なセキュリティを意識しながら確実に準拠することは、改正PLD対応を意識した品質保証という観点からも重要です。

そのうえで、企業としては、法令上の最低要件を満たすことにとどまらず、設計段階からのセキュリティ確保、継続的な脆弱性管理、迅速なアップデート提供、適切な文書化と証跡管理を含めた、本質的な製品セキュリティ対応を強化していく必要があります。