欧州サイバーレジリエンス法（EU CRA）――2026年9月から適用開始の製造業の報告義務と実務対応に向けたポイント

1.CRAで求められる「報告義務」とは

CRA14条の報告義務（以下、報告義務）は、製造者が自社製品に関する「積極的に悪用された脆弱性」、すなわち実際に悪用されていることが確認された脆弱性と、製品のセキュリティに影響を及ぼす重大インシデントを、当局および影響を受ける製品のユーザーに報告することを義務付けています。この義務を果たすためには、異常を検知したのちに報告対象となる脆弱性またはインシデントを組織として認識し、期限内に報告して事後フォローを行うという一連のプロセスが事前に設計されている必要があります。その基本構造は、「検知」「組織としての認識」「初動報告」「詳細報告」「ユーザー通知」「最終報告」「継続的監視」という流れで整理できます。

この義務において特徴的なのは、時間要件の厳しさです。まず、当局向け報告について、製造者は報告対象となる事象を「認識」したのち、以下のタイムラインで報告を行います。

製品のセキュリティに影響を与える重大なインシデント¹の報告タイムライン

• 24時間以内に初期通知（Early warning）
• 72時間以内に詳細通知
• 詳細通知提出後、1カ月以内に最終報告

「積極的に悪用された脆弱性」報告のタイムライン

• 24時間以内に初期通知（Early warning）
• 72時間以内に詳細通知
• 是正措置または緩和措置が利用可能になってから14日以内に最終報告

これらの報告は後述のENISAが運用するSRP（Single Reporting Platform：単一報告プラットフォーム）²を通じて行われ、EU域内の各国CSIRTで構成されるCSIRTネットワークおよびENISAに同時共有される運用となる見込みです³。

また、製造者はユーザーに対しても速やかな報告義務を負います。具体的には、製品の安全性に影響する現に悪用されている脆弱性または重大インシデントを認識したのち、影響を受けるユーザーまたは必要に応じて全てのユーザーに対し、その内容および利用可能なリスク低減措置・是正措置を通知しなければなりません。なお、製造者が適時に通知しない場合には、指定CSIRTがユーザーに情報提供を行う可能性があります。

2.SRP（Single Reporting Platform）の位置づけ

先述の通り、CRAの報告義務の実務対応ではSRPが重要であり、当局が今後開示する関連手続きの詳細と運用について継続的にモニタリングすることが推奨されます。

報告者はSRPへの一度の報告で手続きが完了し、その情報は主な事業所の所在国CSIRTに送信されると同時にENISAにも共有されます。さらに、製品が提供される各加盟国のCSIRTにも展開されるため、報告内容は事実上EU全体に情報拡散されるといえます。すなわち、SRPは製造業にとって便利な単一報告窓口であると同時に、各国当局やCSIRTにとっては脅威情報を共有・集約するための中核的な基盤でもあります。このことから、SRPは企業にとって「報告の簡素化」を実現するとともに「情報開示の広域化」も意味します。したがって、製造業は報告内容が広範囲に共有されることを前提に情報管理・開示方針を設計する必要があります。

3.SRPへの報告を前提とした実務対応のポイント

続いて、SRPを活用した報告義務対応において、企業が検討すべき主要な論点を整理・解説します。なお、以下の論点に加えて、SRP導入に向けた事前登録や接続準備など、プラットフォーム利用に向けた事前準備も重要です。

I.報告トリガーの定義

CRAでは「悪用されている脆弱性」や「重大なインシデント」が対象となりますが、その判断は製造者が行います。ただし、その判断は恣意的なものではなく、法文や当局からのガイダンスなどを参照しつつ合理的に説明できるものである必要があります。ここで重要なのは、単に脆弱性を検知しただけでは不十分であり、悪用の事実（証拠）や製品への影響を踏まえて報告対象に該当するかを短期間で見極める重大性の仕分け（トリアージ）能力が求められている点です。また、こうした脆弱性をどの時点において「認識した」と見なすかを明確にすることも重要です。さらに、重大インシデントについては、CRA14条（5）に照らして報告対象に該当するかを判断する基準も社内で整理しておく必要があります。

II.24時間以内報告・段階的報告モデルを前提とした体制・運用設計

初動段階では、情報が不完全な状態であったとしても報告が求められることから、暫定情報として提出するための判断基準と承認プロセスを設計しておくことが重要です。また、各フェーズで報告すべき情報の粒度を定義し、初動・詳細・最終（24時間／72時間／14日間または1カ月）の3段階（最終については脆弱性またはインシデントへの対応で2パターン）で情報を更新することが求められます。さらに、SRPを通じた報告内容は広範なステークホルダーへの共有・波及が予想されるため、どの情報をどの段階で開示するのかに考慮した運用設計が重要です。

III.SRPで要求される情報の整備

報告には、製品情報、上市国、脆弱性識別子⁴、影響範囲、対応策など多岐にわたる情報が求められることから、これらの情報を即時に引き出すことのできるSBOM（ソフトウェア部品表）などのデータ管理が重要です。

IV.責任報告主体の明確化

EU拠点や認定代理人、輸入業者などのうち、どこがSRPによる報告を担い、CSIRTを含む関連ステークホルダーとの窓口となるのかを事前に定義することが求められます。例えば、CRA14条（7）では、EU内に主たる事業所がある場合とない場合とで、報告義務に関連した窓口となる指定CSIRTの決定方法などを定めています。こうした詳細な規定に迅速に対応するためにも、自社グループ内の責任分担とエスカレーション経路を整理しておく必要があります。

V.サプライチェーン管理

コンポーネント起因の脆弱性に対応する場合、SBOMに基づく影響評価のほか、サプライヤーからの情報取得や修正対応など、サプライチェーン全体での協力関係を構築することが重要です。

VI.ユーザー通知との整合

前述したようにCRAでは当局への報告だけでなくユーザーへの通知も義務付けており、製造業の対応が遅れた場合にはCSIRTが代理通知を行う可能性があります。そのため、SRPを通じた当局対応だけでなく、顧客対応と連携させた統合的な運用が重要です。

これらの論点は企業によって、すでに対応済みの場合もあれば、製品セキュリティに関する運用全体の再設計が求められる場合もあるでしょう。