欧州サイバーレジリエンス法（EU CRA）――自社製品は「重要製品」「クリティカル製品」に該当するか？該否判定の実務ポイント

2024年10月に成立した欧州サイバーレジリエンス法（EU Cyber Resilience Act、以下「CRA」）は、デジタル要素を含む製品に対して、設計・開発から脆弱性対応までを含むサイバーセキュリティ要件を課す欧州の規則です。CRAは2024年12月10日に発効し、2026年9月11日から脆弱性・インシデントの報告義務が先行適用、2027年12月11日から全面適用されます。CRAへの適合は、EU適合宣言の作成および製品へのCEマーキングの表示等により示す必要があり、対象製品をEU市場で提供する企業には早期の対応が求められます。

CRAは、一定の適用除外を除き、デジタル要素を含むほとんど全ての製品が対象となっており、付属書I（Annex I）の必須サイバーセキュリティ要求事項は製品の分類にかかわらず等しく適用されます。一方で、サイバーセキュリティリスクの高い一部の製品は、「重要製品（Important products）」または「クリティカル製品（Critical products）」に分類され、より厳格な適合性評価手順が求められます。そのため、CRAの全ての要件を満たすためには、企業は、付属書Iのセキュリティ要件を満たすだけではなく、自社の製品が重要製品・クリティカル製品に該当するか否かを判断し、指定された正しい適合性評価手順を踏む必要があります。

2025年11月28日に、こうした重要製品・クリティカル製品の該否判定の基準を具体化する実施規則（EU）2025/2392が、欧州委員会により採択され、同年12月1日付でEU官報に掲載されました。この実施規則は、CRA付属書III（Annex III）および付属書IV（Annex IV）に列挙された重要製品・クリティカル製品の各カテゴリーについて、「技術的説明」と非網羅的な例示を定めたものです。本稿では、本実施規則の内容に加え、欧州委員会が2025年12月3日に公開したCRAに関するFAQ（FAQs on the CRA implementation）も踏まえながら、該否判定の考え方と実務上の対応ポイントを整理します。

4. 「コア機能」に基づく該否判定の考え方 ― FAQの重要ポイント

欧州委員会は、CRAの実施に関する実務上の疑問に応えるため、「FAQs on the CRA implementation」を公開しています。このFAQは、CRAの適用範囲、製品分類、適合性評価、報告義務など幅広いテーマを扱っていますが、その第3章では、特に重要製品・クリティカル製品の該否判定において企業が判断に迷いやすい境界事例について、一定の指針が示されています。

• 統合ルール（FAQ 3.2）
  重要製品またはクリティカル製品に該当するコンポーネントを他の製品に統合しても、統合先製品が自動的にコンポーネントと同じカテゴリーに分類されるわけではありません。
  例えば、スマートフォンで使用するニュースアプリに組み込みブラウザを統合しても、それ自体で、ニュースアプリが重要製品クラスIの「組み込みブラウザ」に該当するわけではありません。同様に、ノートパソコンにセキュアエレメントを内蔵しても、それだけで、ノートパソコンがクリティカル製品になるわけではありません。該否判定はあくまで統合先製品全体のコア機能に基づいて判断されます。
• 分類とリスク評価の関係（FAQ 3.3）
  CRA第13条に基づき、製造者は、製品の意図された使用目的、合理的に予見可能な使用方法、使用条件、使用期間を考慮してリスク評価を行い、特定したリスクに比例した必須サイバーセキュリティ要求事項を実装する義務を負います。
  そのため、例えば、同じVPN製品でも、重要インフラ環境向けと家庭用ではリスク評価に基づく実装水準が異なり得ます。
• マルチ機能製品のコア機能（FAQ 3.4）
  製品がコア機能以外の追加的な機能を実行するという事実は、コア機能の該当性を否定するものではありません。例えば、OSが電卓などの付随機能を含んでいたり、ルーターがファイアウォール機能を統合したりしていても、それ自体では、重要製品クラスIの「OS」や「ルーター」への該当性が否定されません。
  一方で、ある機能を「実行できる」ことと「コア機能」であることは異なります。SOAR（Security Orchestration, Automation and Response）ソフトウェアはSIEMの機能を実行し得ますが、SOARのコア機能はSIEMのものとは異なるため、一般的には、「SIEMシステム」のコア機能を有しているとは判断されません。同様に、スマートフォンはOSやパスワードマネージャーのコンポーネントを含みますが、スマートフォンのコア機能はこれらとは異なるため、重要製品クラスIの「OS」や「パスワードマネージャー」には該当しません。

5. 製造者が今取るべきアクション

実施規則の公表により、重要製品・クリティカル製品の該否判断に関する予見可能性は高まったものの、実務上の判断にはなお検討を要する事項が残ります。そのため、製造業には次のような対応が求められます。

1. 自社製品ポートフォリオの棚卸しと分類判定
   欧州市場で販売するデジタル要素を含む製品について、各製品のコア機能を特定し、実施規則の技術的説明と照合します。
2. 分類判断の文書化
   各製品について「なぜこのカテゴリーに該当する（または該当しない）と判断したか」を、コア機能の特定根拠とともに技術文書（Technical Documentation）の一部として文書化します。市場監視当局から説明を求められた場合にも、判断過程を示せるようにしておく必要があります。
3. 適合性評価戦略の策定
   分類結果に基づき、モジュールA、B＋C、H、または認証スキームのいずれを採用するかを、製品ポートフォリオ全体で検討します。特に、重要製品クラスI製品は整合規格の適用有無で評価手順が変わるため、関連動向の継続的な把握が不可欠になります。
4. コンポーネントの該否判定とサプライチェーン対応
   自社がコンポーネントを提供している場合、そのコンポーネント単体の分類だけでなく、完成品製造者から求められるセキュリティ情報や証跡の整備も重要になります。CRA第13条第1項に基づく完成品製造者のデューディリジェンス対応を支援できるよう、情報提供体制を整えることが望まれます。
5. 継続的モニタリング
   欧州委員会は委任法令によりカテゴリーの見直しを行うことができるほか、FAQ、整合規格、共通仕様、認証スキームの整備も今後進んでいく見込みです。今回の実施規則を起点に、解釈と実務運用の両面を継続的にアップデートしていく必要があります。

6. CRA対応に向けた実務上の示唆

CRA対応において、自社製品が重要製品・クリティカル製品に該当するか否かの判定は、適合性評価のコストと準備期間に直結する最初の関門です。実施規則（EU）2025/2392の公表により判断材料は整いつつありますが、「コア機能」の判断には製品の技術的特性と法的解釈の両面からの検討が必要であり、判断過程の文書化が不可欠です。

また、重要製品やクリティカル製品に該当しない場合であっても、CRA付属書Iの必須サイバーセキュリティ要求事項は適用されます。分類の結果にかかわらず、リスク評価に基づくセキュリティ要件の実装と脆弱性ハンドリングの体制構築は、全ての対象製品に求められる基本的な義務となっています。

2027年12月の全面適用まで残された時間は限られているため、手戻りや対応遅延のリスクを抑える観点から、早期に製品分類と対応計画の検討を開始することが望まれます。