# EU サイバーレジリエンス法の報告義務が始まった：日本の製造業の何に及ぶか

> EU のサイバーレジリエンス法は2026年9月11日から、悪用されている脆弱性と重大なインシデントの報告を製造者に課している。販売済みの装置にも及ぶ範囲を、委員会のガイダンスと ENISA の資料で確かめた。

- URL: https://weaveai.jp/journal/cra-reporting-obligations-japanese-manufacturers/
- カテゴリ: 規制とセキュリティ
- 公開: 2026-10-18 / 更新: 2026-10-18
- 執筆: weaveAI 編集部（株式会社サオス）

EU に製品を出している日本の製造業にとって、2026年9月11日に始まったのは、悪用されている脆弱性と重大なインシデントを、気づいてから24時間以内に EU へ知らせる義務です。EU のサイバーレジリエンス法（規則 (EU) 2024/2847、以下 CRA）の全面適用は2027年12月11日ですが、報告の義務だけが先に動いています。

この義務は、これから売る製品だけでなく、すでに EU で売った装置にもかかります。以下は2026年10月18日時点で、欧州委員会のページと、2026年7月27日に出た委員会のガイダンス（拘束力のない解釈の指針）、ENISA（EU サイバーセキュリティ機関）の資料で確かめた内容です。条文そのものは今回開けなかったため、条番号はガイダンスと ENISA の資料が引いているものに従っています。個別の判断が要る場面では、専門家に確認してください。

## 何を、いつまでに、誰に報告するのか

報告の対象は二つです。一つは、製品に含まれる脆弱性が、悪意のある者によって現に悪用されていると分かったもの。もう一つは、製品のセキュリティに重大な影響を与えるインシデントです。ENISA の資料は、可用性、真正性、完全性、機密性が損なわれる場合を例に挙げています。

期限は、製造者が気づいた時点から数えます。

| 段階 | 期限 | 中身 |
|---|---|---|
| 早期警告 | 24時間以内 | 限られた情報でよい |
| 通知 | 72時間以内 | 一般的な情報と、最初の評価 |
| 最終報告 | 脆弱性は、是正措置（修正パッチなど）が出てから14日以内。インシデントは、72時間の通知から1か月以内 | 調査が進んだ内容を足した完全な報告 |

送り先は ENISA が運営する「単一報告プラットフォーム」（SRP）で、2026年9月11日から稼働しています。一度の通知で、最初に受け取る国の CSIRT（各国のセキュリティ対応チーム）、製品が売られている他の加盟国の CSIRT、ENISA に伝わります。最初に報告する CSIRT は、原則として主たる拠点の所在で決まり、その詳細は条文の第14条(7)にあります。EU に拠点を持たない日本の会社がどの CSIRT に当たるかは、今回は条文で確かめていないので書きません。

「気づいた」の意味も、ガイダンスが説明しています。疑わしい出来事を見つけたら、製造者はすぐに初期評価をし、悪用が起きている、または重大なインシデントが起きて製品の安全が損なわれたと「合理的な程度に確からしい」と判断した時点が起点になります。調べるのに時間がかかっても、評価は急いでやるべきだとされています。

## 完成品メーカー：販売済みの装置にも、サポートが切れた後にも

自社の名前で機械や装置を EU に出している会社には、いちばん直接に効きます。ガイダンスの第210項は、第14条の義務は2026年9月11日から、CRA の対象になる全製品に適用されると書いています。2027年12月11日より前に売った製品も含みます。

脆弱性への対応義務は、製品のサポート期間（原則として5年以上）で終わります。報告の義務は、サポートが切れた後も続きます。10年前に売った装置の脆弱性が悪用されていると知った場合も、報告の対象です。一方で、2027年12月11日より前に売った製品は、第Ⅱ部の脆弱性対応の要件までは求められません。報告だけが先に来る形です。

対象になる製品の線は「データ接続」で引かれます。CRA は、直接または間接の論理的・物理的なデータ接続を、用途として想定している製品に適用されます。ガイダンスは、出力を単にオンとオフに切り替えるだけで、その状態がデータを表す意図で読み取られていないなら、データ接続にはならないと説明しています。リレーで動くだけの装置は外れ、ネットワークや USB でデータをやり取りする制御器は入る、と読めます。

![産業用ロボットのアームと、その脇に立つ人](https://weaveai.jp/journal/img/8438972.jpg)

クラウドの側も対象に入りえます。ガイダンスの事例には、カメラの画像を製造者が作ったクラウドのサービスに送り、部品の位置を計算させて動くロボットがあります。そのサービスが止まるとロボットは部品をつかめないので、サービスは製品の一部（リモートデータ処理）として扱われ、製品のリスク評価や技術文書に含めることになります。

## 部品・補修部品を出す会社

組込みのモジュールや制御器を、他社の装置向けに出している会社も、製造者になります。ガイダンスによれば、車両の型式認可の規則が適用される車両向けに「専ら」設計・製造した部品は CRA の対象外です。ただし、車両以外にも組み込める汎用の部品は対象になります。

補修部品の扱いは、保守の現場に関わります。同一の部品に取り替える補修部品は、CRA の対象外です（第2条(6)）。ガイダンスの事例では、販売終了になった通信チップの代わりに、暗号の実装やセキュアブートが違う新しいチップを入れる場合は、同一とは言えず、対象になります。同じ機能でも、セキュリティの性質が変わるかどうかが分かれ目です。

![基板にテスターを当てて確かめる手元](https://weaveai.jp/journal/img/9242887.jpg)

完成品メーカーとして自社ブランドで売る場合と、他社ブランドで売られる部品として出す場合では、立場が変わります。ガイダンスは、製造者を「自社の名前または商標で製品を市場に出す者」と定義しています。輸入者や販売者も、自分の名前で売れば製造者として扱われます。取引先との契約では、誰が製造者の義務を負うかを、書面で決めておく必要があります。

## 社内の業務システムは、この義務の外にある（推測を含む）

CRA がかかるのは、市場に出された製品です。社内の生産管理や品質記録のために、自社で使っているシステムは、売っていないので、少なくともこの報告義務の対象とは読めません。これは、ガイダンスの全文を確認して言い切れた話ではなく、第2条(1)の「市場で提供される製品」という書き方からの推測です。

ただし、社内のシステムが製品の一部になる場合は別です。出荷する装置の保守のために、顧客の装置とつながるリモート保守の仕組みを作ったり、装置とセットで製造者が運用するクラウドを提供したりするなら、先ほどのロボットの事例と同じ見方になると考えられます。AI で作った業務システムを社内で使うだけなら対象外でも、同じ仕組みを装置に付けて出すなら話が変わる、と考えられます。

AI が書いたコードに外部の部品が入り込むことは、製品に載せる場合にも同じ問題を生みます（[AIが作った業務システムに入り込む外部部品を点検する五つの観点](https://weaveai.jp/journal/checking-dependencies-in-ai-generated-systems/)）。AI 法の側の整理は別の記事にまとめています（[AI規制と製造業の実務](https://weaveai.jp/journal/ai-regulation-and-manufacturing/)）。

## 製造業の実務で決めておくこと

最初の期限は24時間です。起きてから決めていては間に合わないので、次の四つを先に決めておきます。

1. 製造者として義務を負う製品を洗い出す。EU に出している製品のうち、ネットワークや USB でデータをやり取りするもの、クラウドと組になっているものを一覧にする。
2. 脆弱性や被害の情報の入口と、「気づいた」と判断する担当者を決める。顧客、研究者、外部の部品の提供元からの連絡を受け、初期評価をする役を置く。
3. SRP に報告する担当者と、代わりの担当者を決め、事前に使い方を確かめる。インターフェースの言語や、アカウントの作り方は、ENISA の資料で確認する。
4. 取引先との契約で、誰が製造者の義務を負うか、脆弱性の連絡をいつまでに受けるかを決める。

罰則の金額や、日本の会社が選ぶ CSIRT の詳細は、今回は条文で確かめていません。ここから先は、CRA の条文と委員会のガイダンスの本文を読み、必要なら専門家に確認してください。2027年12月11日には、CRA の主な義務が適用されます。報告の体制を先に作っておくことは、その準備にもなります。

## 出典

- 欧州委員会「Reporting obligations under the Cyber Resilience Act」 https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- 欧州委員会「Cyber Resilience Act」 https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
- 欧州委員会「Commission publishes new guidance to support timely Cyber Resilience Act implementation」（2026年7月27日） https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- 欧州委員会「Commission guidance on the application of the CRA」（C(2026) 5252 附属書） https://ec.europa.eu/newsroom/dae/redirection/document/131456
- ENISA「CRA Single Reporting Platform Factsheet」（2026年7月、PDF） https://www.enisa.europa.eu/sites/default/files/2026-07/ENISA_CRA_SRP_Factsheet_v1.0_0.pdf