EU サイバーレジリエンス法の報告義務が始まった：日本の製造業の何に及ぶか

EU に製品を出している日本の製造業にとって、2026年9月11日に始まったのは、悪用されている脆弱性と重大なインシデントを、気づいてから24時間以内に EU へ知らせる義務です。EU のサイバーレジリエンス法（規則 (EU) 2024/2847、以下 CRA）の全面適用は2027年12月11日ですが、報告の義務だけが先に動いています。

この義務は、これから売る製品だけでなく、すでに EU で売った装置にもかかります。以下は2026年10月18日時点で、欧州委員会のページと、2026年7月27日に出た委員会のガイダンス（拘束力のない解釈の指針）、ENISA（EU サイバーセキュリティ機関）の資料で確かめた内容です。条文そのものは今回開けなかったため、条番号はガイダンスと ENISA の資料が引いているものに従っています。個別の判断が要る場面では、専門家に確認してください。

何を、いつまでに、誰に報告するのか

報告の対象は二つです。一つは、製品に含まれる脆弱性が、悪意のある者によって現に悪用されていると分かったもの。もう一つは、製品のセキュリティに重大な影響を与えるインシデントです。ENISA の資料は、可用性、真正性、完全性、機密性が損なわれる場合を例に挙げています。

期限は、製造者が気づいた時点から数えます。

送り先は ENISA が運営する「単一報告プラットフォーム」（SRP）で、2026年9月11日から稼働しています。一度の通知で、最初に受け取る国の CSIRT（各国のセキュリティ対応チーム）、製品が売られている他の加盟国の CSIRT、ENISA に伝わります。最初に報告する CSIRT は、原則として主たる拠点の所在で決まり、その詳細は条文の第14条(7)にあります。EU に拠点を持たない日本の会社がどの CSIRT に当たるかは、今回は条文で確かめていないので書きません。

「気づいた」の意味も、ガイダンスが説明しています。疑わしい出来事を見つけたら、製造者はすぐに初期評価をし、悪用が起きている、または重大なインシデントが起きて製品の安全が損なわれたと「合理的な程度に確からしい」と判断した時点が起点になります。調べるのに時間がかかっても、評価は急いでやるべきだとされています。

完成品メーカー：販売済みの装置にも、サポートが切れた後にも

自社の名前で機械や装置を EU に出している会社には、いちばん直接に効きます。ガイダンスの第210項は、第14条の義務は2026年9月11日から、CRA の対象になる全製品に適用されると書いています。2027年12月11日より前に売った製品も含みます。

脆弱性への対応義務は、製品のサポート期間（原則として5年以上）で終わります。報告の義務は、サポートが切れた後も続きます。10年前に売った装置の脆弱性が悪用されていると知った場合も、報告の対象です。一方で、2027年12月11日より前に売った製品は、第Ⅱ部の脆弱性対応の要件までは求められません。報告だけが先に来る形です。

対象になる製品の線は「データ接続」で引かれます。CRA は、直接または間接の論理的・物理的なデータ接続を、用途として想定している製品に適用されます。ガイダンスは、出力を単にオンとオフに切り替えるだけで、その状態がデータを表す意図で読み取られていないなら、データ接続にはならないと説明しています。リレーで動くだけの装置は外れ、ネットワークや USB でデータをやり取りする制御器は入る、と読めます。

クラウドの側も対象に入りえます。ガイダンスの事例には、カメラの画像を製造者が作ったクラウドのサービスに送り、部品の位置を計算させて動くロボットがあります。そのサービスが止まるとロボットは部品をつかめないので、サービスは製品の一部（リモートデータ処理）として扱われ、製品のリスク評価や技術文書に含めることになります。

部品・補修部品を出す会社

組込みのモジュールや制御器を、他社の装置向けに出している会社も、製造者になります。ガイダンスによれば、車両の型式認可の規則が適用される車両向けに「専ら」設計・製造した部品は CRA の対象外です。ただし、車両以外にも組み込める汎用の部品は対象になります。

補修部品の扱いは、保守の現場に関わります。同一の部品に取り替える補修部品は、CRA の対象外です（第2条(6)）。ガイダンスの事例では、販売終了になった通信チップの代わりに、暗号の実装やセキュアブートが違う新しいチップを入れる場合は、同一とは言えず、対象になります。同じ機能でも、セキュリティの性質が変わるかどうかが分かれ目です。

完成品メーカーとして自社ブランドで売る場合と、他社ブランドで売られる部品として出す場合では、立場が変わります。ガイダンスは、製造者を「自社の名前または商標で製品を市場に出す者」と定義しています。輸入者や販売者も、自分の名前で売れば製造者として扱われます。取引先との契約では、誰が製造者の義務を負うかを、書面で決めておく必要があります。

社内の業務システムは、この義務の外にある（推測を含む）

CRA がかかるのは、市場に出された製品です。社内の生産管理や品質記録のために、自社で使っているシステムは、売っていないので、少なくともこの報告義務の対象とは読めません。これは、ガイダンスの全文を確認して言い切れた話ではなく、第2条(1)の「市場で提供される製品」という書き方からの推測です。

ただし、社内のシステムが製品の一部になる場合は別です。出荷する装置の保守のために、顧客の装置とつながるリモート保守の仕組みを作ったり、装置とセットで製造者が運用するクラウドを提供したりするなら、先ほどのロボットの事例と同じ見方になると考えられます。AI で作った業務システムを社内で使うだけなら対象外でも、同じ仕組みを装置に付けて出すなら話が変わる、と考えられます。

AI が書いたコードに外部の部品が入り込むことは、製品に載せる場合にも同じ問題を生みます（AIが作った業務システムに入り込む外部部品を点検する五つの観点）。AI 法の側の整理は別の記事にまとめています（AI規制と製造業の実務）。

製造業の実務で決めておくこと

最初の期限は24時間です。起きてから決めていては間に合わないので、次の四つを先に決めておきます。

1. 製造者として義務を負う製品を洗い出す。EU に出している製品のうち、ネットワークや USB でデータをやり取りするもの、クラウドと組になっているものを一覧にする。
2. 脆弱性や被害の情報の入口と、「気づいた」と判断する担当者を決める。顧客、研究者、外部の部品の提供元からの連絡を受け、初期評価をする役を置く。
3. SRP に報告する担当者と、代わりの担当者を決め、事前に使い方を確かめる。インターフェースの言語や、アカウントの作り方は、ENISA の資料で確認する。
4. 取引先との契約で、誰が製造者の義務を負うか、脆弱性の連絡をいつまでに受けるかを決める。

罰則の金額や、日本の会社が選ぶ CSIRT の詳細は、今回は条文で確かめていません。ここから先は、CRA の条文と委員会のガイダンスの本文を読み、必要なら専門家に確認してください。2027年12月11日には、CRA の主な義務が適用されます。報告の体制を先に作っておくことは、その準備にもなります。