現代社会の高度なテクノロジー環境では、サイバー攻撃は現代の武装強盗とも言える存在です。従来の銀行や商店、夜道を歩く個人を狙うのではなく、多くの現代犯罪者は企業・政府・一般市民からサイバー攻撃によって盗みを働きます。これらの攻撃は規模や手口、果敢さに違いはありますが、その合計は非常に大規模な犯罪事業へと発展しています。
業界団体Cybersecurity Venturesによると、世界のサイバー犯罪による年間被害総額は10兆ドル超に達しています。こうした損失は、以下のような複数の悪影響が組み合わさって発生します。
- 業務停止・それに伴う生産性低下
- 詐欺・恐喝・横領等による窃盗
- データの損失
- 知的財産の盗難
サイバー犯罪者が個人・法人を脅かす多様な手口や、そこから得られる多種多様な価値ある情報により、サイバー犯罪は年々拡大を続ける巨大な犯罪産業へと成長しています。Cybersecurity Venturesのデータによれば、サイバー犯罪による総損害額はこの10年で大きく増加しています。
- 2015年：3兆ドル
- 2021年：6兆ドル
- 2025年：10.5兆ドル
一部組織は総額をより低く見積もっていますが、たとえ年間被害額が1～2兆ドルでも、一国のGDP（インドネシア・オランダ等）並みの規模です。では、この世界規模で拡大する新たな脅威と、各国政府はどのように対処しようとしているのでしょうか。
サイバーレジリエンス法とは
サイバーレジリエンス法（Cyber Resilience Act：CRA）は、EU（欧州連合）が拡大し続けるサイバー犯罪に対応するために制定した規則です。本法の目的は、テクノロジー企業やメーカーに対し、サイバー攻撃に強く、安全性の高いハードウェア・ソフトウェアの提供を義務付け、EU市民のデータや財産を狙った犯罪のリスクを低減させることです。欧州委員会が公式ウェブサイトで説明している通り、Cyber Resilience Actは「デジタル製品のライフサイクル全体を対象に、明確かつ義務的なサイバーセキュリティ要件を設定」する狙いがあります。
CRAは2022年に欧州委員会より初めて提案されました。その2年後、2024年に欧州議会が正式にCRAの条文を採択し、欧州理事会も承認しました。EU官報で11月に公表された後、CRAは2024年12月に公式に施行されました。
CRAが規定する義務は幅広く、対象となる企業にとっては大きな影響があります。そのため、EUは企業がコンプライアンス体制を整えられるよう、十分な準備期間を設けています。施行は2026年9月から約15か月かけて段階的に進められ、2027年12月に全面施行となります。
サイバーレジリエンス法の主な要件
EU CRAは、対象組織に多岐にわたる義務を課します。本規則の狙いは、これらの事業者に対し、より安全でレジリエンスの高いデジタル製品を開発・提供し、サイバーインシデント対応のための堅牢なプロトコルを整備し、消費者やステークホルダーに対してリスク低減策やセキュリティの状況をより透明化することを法的に要求するものです。
Cyber Resilience Actの主な要件は、法律のAnnex I「必須サイバーセキュリティ要件」に定められています。これらは、対象メーカーが製造するデジタル製品に必要な性質／機能、およびそのメーカーが法令順守のために実施すべきプロセスの2つに大別されます。
Annex I第1部：デジタル製品に必要な性質
この法律のこの部分は、ある意味で本法の中心です。EUは、欧州市場で流通・販売されるデジタル製品がより安全で、サイバー犯罪からより強固に保護されていることを求めており、下記の措置によりその水準を実現できると考えています。CRAに準拠するために、デジタル製品は以下の特徴を備えた設計・出荷が求められます。
- 1 既知の悪用可能な脆弱性が存在しないこと
- 2 デフォルトで安全な構成（セキュアバイデフォルト）。すなわち、出荷時点でセキュリティ設定が適切に有効化されていること。
- 3 脆弱性はセキュリティアップデート（自動アップデートも含む、かつ明確なオプトアウト機能を備えたもの）によって適切に対処可能であること。
- 4 認証・ID管理・アクセス管理等の仕組みを含め、不正アクセスから保護できること。
- 5 暗号化や他の手段により、製品上に保存されたデータの機密性を維持できること。
- 6 外的な改ざんや変更からデータ・プログラム・設定の完全性を保護できること。
- 7 製品の継続的動作に必要最小限のデータのみを収集すること。
- 8 サイバー攻撃発生後も製品の基本機能を維持できること。
- 9 他のデバイスやネットワークへのサイバー攻撃による悪影響を最小化すること。
- 10 攻撃対象箇所（アタックサーフェス）を限定し、悪意ある攻撃者による脆弱箇所の露呈を抑制すること。
- 11 サイバー攻撃が成功した場合でも、その影響や効果を限定する仕組みの確保。
- 12 データや装置機能の変更を含むセキュリティ関連イベントを記録する機能（ユーザーがオプトアウト可能であること）。
- 13 ユーザーがすべてのデータおよび個別設定を製品から削除できる機能。
Annex I第2部：メーカーが実施すべきプロセス
適切なセキュリティ機能を搭載したデジタル製品の設計・生産に加え、メーカーは製品のライフサイクル全体を通じて継続的にサイバー攻撃対策へ積極的に取り組むことも求められます。
メーカーが実施すべき主な対策は以下の通りです。
- 1 製品の脆弱性を特定・文書化すること（すべての主要依存関係を網羅した部品表作成も含む）。
- 2 脆弱性が判明した場合、セキュリティアップデート等を通じて速やかに対応・是正措置を講じること。
- 3 デジタル製品に対する継続的なセキュリティテストの実施。
- 4 脆弱性やセキュリティイベントについて、影響・深刻度・ユーザーによる是正措置等の明確な情報提供を実施すること。
- 5 公式な脆弱性開示（CVD：Coordinated Vulnerability Disclosure）ポリシーを策定すること。
- 6 セキュリティ脆弱性の共有・報告体制を整えること（連絡先アドレスの周知、通報経路の確立等）。
- 7 すべてのデジタル製品に、適時かつ必要に応じて自動的にセキュリティアップデートを適用できるメカニズムを整備すること。
これらのメカニズムは、ユーザーや製品に遅滞なく、無償で、関連情報や必要な対応策を明示するメッセージとともに配信してください。
CRAの対象となる企業
サイバーレジリエンス法は非常に広範な適用範囲を持つため、EU域内で事業展開する多くの企業に法令遵守が義務付けられます。CRAが適用されるのは「デジタル要素を持つ製品」をEU市場で供給する全ての企業です。言い換えれば、インターネットや他デバイスに接続可能なハードウェア製品や、ソフトウェア（プログラム・アプリケーション・ファームウェア等）すべてが対象になります。
下記は網羅的なリストではありませんが、サイバーレジリエンス法が規制する製品の一例です。
- 民生用電子機器: ノートPC、スマートフォン、タブレット、ルーター、スイッチ等。
- スマートデバイス: スマート家電、スマートスピーカー、バーチャルアシスタント、警報システム等。
- ウェアラブル技術: スマートウォッチ、フィットネストラッカー、スマートグラス、スマートリング等。
- ソフトウェア・ファームウェア: モバイル・デスクトップアプリケーション、OS、デバイスファームウェア等。
- 電子部品: グラフィックスプロセッサ、コンピュータプロセッシングユニット（CPU）、マイクロプロセッサ（MPU）など。
デジタル製品・テクノロジー製品のサプライチェーンは複雑で、多種多様なメーカー・サプライヤ・下位ベンダーが関わっています。EUは、法律に準拠すべき3つの主要なグループ（いわゆる「経済事業者」）を特定しています。
メーカー
メーカーとは、自社ブランドで製品を製造・販売する企業です。一般的にOEM（オリジナル機器メーカー）とも呼ばれ、数十、数百、あるいは数千もの直接・間接サプライヤを持つ大規模なサプライチェーンから部品を調達しています。これら特定のメーカーがCRAのコンプライアンス責任を負います。
輸入業者
名前の通り、輸入業者はEU域外からデジタル製品（多くの場合、OEMや他のメーカーから）を輸入し、EU市場で販売する事業者です。
代理店
代理店は、メーカー・輸入業者以外で、デジタル製品をEU市場に流通させるすべての事業者を包括する用語です。代理店には小売業者や関連ビジネスも含まれ、消費者への直接販売も頻繁に行われます。
CRA施行の仕組み（EUによる執行方法）
CRAは、すべてのEU加盟国に対して、それぞれの市場監督当局を指名し、法律の施行および対象企業の監視を行うことを義務付けています。これには、官公庁や関係機関、その他監視・執行能力を持つ組織が該当します。指名された市場監督当局は、対象事業者に技術文書の提出を求めたり、リコールを実施したり、CRAに準拠しないと判断される製品の流通を制限する権限を持ちます。
加えて、違反者には罰則や制裁金が科される場合があります。
CRA不遵守の結果
サイバーレジリエンス法（CRA）に違反した企業には高額な罰金が科される場合があります。
- CRAの基本要件違反: 最大1,500万ユーロ、またはグローバル売上高の2.5％のいずれか高い額の罰金。
- その他のCRA義務違反（文書要件、CEマーキング手続の違反等含む）: 最大1,000万ユーロ、またはグローバル売上高の2％のいずれか高い額の罰金。
- 市場監督当局または通知機関への虚偽または不完全な情報提供の場合: 最大500万ユーロ、またはグローバル売上高の1％のいずれか高い額の罰金。
サイバーレジリエンス法における認証機関の役割
企業がサイバーレジリエンス法対応のため認証機関や通知機関と連携する必要があるかどうかは、製造・輸入・販売する製品のリスク分類によります。CRAでは、すべてのデジタル製品を4つの製品階層に分類しています。
- デフォルト製品: このカテゴリは、EU市場で流通する大多数のデジタル製品（家電・玩具・多くのスマートデバイス等）を対象とします。デフォルトカテゴリの製品を製造・輸入・販売する事業者には第三者評価の取得義務はありません。
- 重要製品（クラスI）: このカテゴリは、特別なセキュリティ責任がある製品（ルーター、モデム、ブラウザ、VPNなど）を対象とします。通常、CRA準拠を示すため第三者機関による評価が必要ですが、該当するサイバーセキュリティ標準の遵守を示す、またはCRA承認済みのEUサイバーセキュリティ認証を取得した場合は例外となります。
- 重要製品（クラスII）: このカテゴリは、さらに重要なセキュリティインフラ製品（ファイアウォール、ハイパーバイザー、侵入検知システムなど）が対象です。これら製品の製造・輸入・販売を行う事業者は、必ず通知機関による第三者評価を取得する必要があります。
- クリティカル製品: 最もリスクの高いカテゴリであり、ハードウェアセキュリティモジュール、スマートカード、スマートメーターゲートウェイ等が該当します。第3カテゴリと同様、EU市場に流通させる企業は、必ず通知機関による第三者評価を取得しなければなりません。
サイバーレジリエンス法の主な施行スケジュール
EUはCRAの施行を段階的に進めています。本法は、2026年9月から2027年12月までの約15か月間で順次発効されます。
9月11日以降、対象事業者は積極的に悪用されているサイバーセキュリティ脆弱性や重大なサイバーインシデントについて報告を開始しなければなりません。この日から報告が義務化されるため、各社はそれ以前にインシデント報告体制を構築・運用しておく必要があります。
報告義務の発効から15か月後、全てのその他コンプライアンス要件が順守対象となります。これにはデジタル製品向け全13要件、および製造事業者向け全8義務が含まれます。
企業によるCRAコンプライアンス対応方法
CRAの大きな課題のひとつは、規制に準拠するための共通規格がまだ最終化・公表されていない点です（2026年秋時点）。それにもかかわらず、EUは2つの重要な期限――2026年9月の脆弱性報告と、2027年12月のフルコンプライアンス義務――に向けて進行中です。
既存サイバーセキュリティ標準への準拠
対象事業者は「公式な共通規格がまだないのに、今どう備えればよいのか？」と疑問に思うかもしれません。実際その考え方も一定の合理性がありますが、企業がまったく手が打てないわけではありません。CRA標準を策定するEU委員会は、いくつかの既存フレームワークから規格化を進めていることが広く知られています。つまり、現時点でも事業者は規制へ備えるためにこれら標準を活用できます。CRAが参考としている主な標準は次の通りです。
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
インシデント対応プロトコルの構築
対象組織が確実に知っておくべきことは、2026年9月11日から積極的に悪用されている脆弱性や重大なサイバーインシデントについて報告が求められるという点です。
つまり、企業はこの日までにインシデント報告プロセスを確立しておく必要があります。この義務の一部として、サイバーインシデントに対応し、脆弱性を迅速に特定・脅威を評価し、すべての利用者に適用できるセキュリティパッチを作成・展開するための「製品セキュリティインシデント対応チーム（PSIRT）」の設置が求められます。
対象事業者は今このタイミングで、専門チームやデジタルツール、業務プロセス、文書化要件の整備を進めるべきです。
すべての情報の徹底した文書化
2027年12月にCRA義務が完全に発効した後、対象事業者は適合性評価（社内もしくは第三者通知機関による）のための詳細な文書ファイルの作成責任を負います。このファイルには、部品表、サイバーセキュリティリスク評価、セキュリティ要件に基づく設計判断、その判断の理由や準拠標準の説明など多岐にわたる情報が含まれます。
CRA標準が確定していない現段階でも、各社は必要な情報収集・文書化をすぐに始めることが可能です。
