サイバーレジリエンス法（CRA）とは：あなたの製品に適用されるか
サイバーレジリエンス法は、EU で販売されるハードウェアとソフトウェアの製品にサイバーセキュリティの要件を定めています。報告義務は2026年9月11日から、それ以外は2027年12月11日から適用されます。
2026年10月7日に出典と照合
サイバーレジリエンス法（EU）2024/2847（英語）
2026年10月7日に出典と照合
あなたの製品は CRA のどのクラスですか？
部品の1つではなく、製品そのものが主に行うことに合うカテゴリーを選んでください。
カテゴリーを選ぶと、そのクラスと利用できる適合性評価の手続きが表示されます。
サイバーレジリエンス法（EU）2024/2847 の附属書 III・IV と第7条、第8条、第32条。技術的説明は実施規則（EU）2025/2392。2026年10月7日に確認。
技術文書とノーティファイドボディへの準備
すでにあるものにチェックを入れると、不足しているものが附属書の参照付きで表示されます。技術文書はどの手続きでも必要で、ノーティファイドボディは下の申請項目も求めます。
13件中0件準備済み
まだ不足しているもの：
- 一般的な説明：意図された目的、適合性に影響するソフトウェアのバージョン、ハードウェアの写真または図、附属書 II の利用者情報 (Annex VII(1))
- 設計・開発の情報（該当する場合は図面とシステムアーキテクチャを含む） (Annex VII(2)(a))
- 脆弱性への対処：ソフトウェア部品表（SBOM）、協調的な脆弱性開示の方針、脆弱性報告の連絡先、更新を安全に配布する方法 (Annex VII(2)(b))
- 生産と監視のプロセスとその検証方法 (Annex VII(2)(c))
- サイバーセキュリティのリスク評価（第13条）：附属書 I 第 I 部の各必須要求事項がどう適用されるか (Annex VII(3))
- サポート期間を定めるために使った情報（第13条(8)） (Annex VII(4))
- 全面的または部分的に適用した整合規格、共通仕様または認証スキーム、あるいは代わりに使った解決策 (Annex VII(5))
- 製品と脆弱性対処プロセスの適合性を検証した試験の報告書 (Annex VII(6))
- EU 適合宣言書の写し (Annex VII(7))
- 製造者の名称と住所、該当する場合は認定代理人の名称と住所 (Annex VIII, Part II, 3.1)
- 同じ申請を他のノーティファイドボディに出していない旨の書面による宣言 (Annex VIII, Part II, 3.2)
- 設計と脆弱性対処の解決策の裏付けとなる証拠（必要な場合は試験結果を含む） (Annex VIII, Part II, 3.4)
- ノーティファイドボディが審査する、製品の1つ以上の重要部品の見本 (Annex VIII, Part II, 2)
サイバーレジリエンス法（EU）2024/2847 の附属書 VII と附属書 VIII から。義務は2027年12月11日から適用されます。ノーティファイドボディは2026年6月11日から指定できます（第71条(2)）。ノーティファイドボディはさらに求めることがあります。
対象製品
デジタル要素を持つ製品：リモートデータ処理を含むハードウェアとソフトウェアの製品で、意図された、または合理的に予見可能な使用に機器やネットワークへのデータ接続を含むもの。スマートホーム機器、ルーター、アプリ、インターネット接続玩具、多くの産業用部品が典型例です。
除外されるもの
分野別のサイバーセキュリティルールの対象となる製品：医療機器と体外診断用医療機器、自動車、民間航空、船舶用機器。国家安全保障や防衛のためだけに開発された製品と、商業活動の中で供給されないフリー・オープンソースソフトウェアも対象外です。
適用日
| 日付 | 適用されるもの |
|---|---|
| 2026年6月11日 | 適合性評価機関に関するルール。 |
| 2026年9月11日 | 製造者は実際に悪用されている脆弱性と重大インシデントを報告：24時間以内に早期警告、72時間以内に通知、その後に最終報告。 |
| 2027年12月11日 | その他すべての要件：セキュアな設計、脆弱性への対処、適合性評価、CE マーキング、技術文書。 |
報告義務の詳細：期限、単一報告プラットフォーム、どの CSIRT を使うか。CRA の報告をご覧ください。
製造者に求められること
- 設計と製造で必須のサイバーセキュリティ要件を満たす
- サポート期間（原則として少なくとも5年）の間、脆弱性に対処する
- 適合性評価：大半の製品は自己評価、重要製品と重大製品は整合規格または第三者機関
- 技術文書、EU 適合宣言書、CE マーキング
有料の CRA 書類キットは、技術文書、サイバーセキュリティのリスク評価、販売国の言語による EU 適合宣言書、利用者情報を Word ファイルで作成します。
インターネットに接続する消費者向け製品は GPSR の対象でもあることが多いです。GPSR チェックで確認してください。