EUサイバーレジリエンス法（CRA）：2026年9月から報告義務、2027年にCE要件

適用範囲と適合性評価

CRAは、EU市場で提供されるデジタル要素を含むハードウェア製品とソフトウェア製品に適用されます。意図された用途または合理的に予見可能な用途に直接的または間接的なデータ接続が含まれる場合は、リモートデータ処理ソリューションや、単独で市場に出される部品も対象です。商業活動として供給されない製品は対象外で、他のEU法令の対象となる一部の製品も除外されます。

ほとんどの製品は自己評価（内部生産管理、module A）を利用できます。重要製品のクラスIが自己評価できるのは、整合規格、共通仕様、または欧州サイバーセキュリティ認証スキームを適用した場合に限られ、そうでなければ認証機関（ノーティファイドボディ）が必要です。重要製品のクラスIIとクリティカル製品には、第三者評価または認証スキームが必要です。整合規格を使うと、適合性の推定が与えられます。

製造者の義務

• サイバーセキュリティのリスク評価を実施し、サポート期間中の脆弱性対応を含め、附属書Iの必須要件を満たすこと。
• 組み込まれた第三者の部品についてデューデリジェンスを行うこと。
• 市場監視当局が利用できるよう、技術文書を保管すること。
• 附属書IIに基づき、識別情報と連絡先、ユーザー向け情報を提供すること。これには、購入時点で示すサポート期間の終了日（月と年）が含まれます。
• 製品を市場に出す前に、EU適合宣言書を作成し、CEマーキングを付けること。
• 積極的に悪用されている脆弱性と重大なインシデントを報告すること：24時間以内に早期警告、72時間以内に通知、最終報告は（脆弱性の場合）修正が利用可能になってから14日以内、または（重大なインシデントの場合）1か月以内。

輸入者、販売業者、スケジュール

輸入者は、製造者が適合性評価を実施したこと、技術文書が存在すること、製品にCEマーキングが付いていることを確認しなければならず、不適合な製品を市場に出してはなりません。販売業者は、CEマーキングと、サポート期間を含む製造者および輸入者の情報を確認しなければなりません。どちらも、脆弱性を製造者に知らせ、当局に協力しなければなりません。製造者は、書面による委任で認定代理人を指名できます。

報告義務は、すでに市場にある製品も含めて、2026年9月11日から適用されます。主要な規定は2027年12月11日から適用され、すでに市場にある製品は、その日以降に実質的な変更を受けた場合にのみ対象となります。サイバーセキュリティに関する既存のEU型式審査証明書は、それ以前に失効しない限り、2028年6月11日に失効します。罰則は各加盟国が定め、零細企業と小規模企業は24時間の期限を守れなくても罰金を科されない場合があります。