CRA の報告義務：実際に悪用されている脆弱性と重大インシデント
サイバーレジリエンス法第14条は、規則の他の部分に先立ち2026年9月11日から適用されています。2027年12月11日より前に市場に出された製品を含め、対象となるデジタル要素を持つすべての製品が対象です（第69条(3)）。
2026年10月10日に出典と照合
規則（EU）2024/2847 第14条、第16条、第69条、第71条（英語）
2026年10月10日に出典と照合
報告期限の計算ツール
認識した日時を入力してください。期限はその時点から時間単位で進むため、現地時間と UTC で表示します。何も保存されません。
ENISA の単一報告プラットフォームを通じて、EU における主たる拠点がある加盟国の CSIRT に報告します。CSIRT は中間報告を求めることがあります。
報告しなければならないもの
- 認識した、自社製品の実際に悪用されている脆弱性（第14条(1)）
- 自社製品のセキュリティに影響する重大インシデント（第14条(3)）：機密性の高いまたは重要なデータや機能の可用性、真正性、完全性または機密性に影響する、または影響しうるもの、あるいは製品または利用者のシステムに悪意のあるコードが導入または実行された、またはそのおそれがあるもの（第14条(5)）
期限（認識した時点から数える）
| ステップ | 実際に悪用されている脆弱性 | 重大インシデント |
|---|---|---|
| 早期警告 | 24時間以内。製品が提供されていることがわかっている加盟国を記載。 | 24時間以内。違法または悪意のある行為が疑われるかどうかも記載。 |
| 通知 | 72時間以内：製品、悪用と脆弱性の性質、講じた措置と利用者が講じられる措置、情報の機密性に関する判断。 | 72時間以内：インシデントの性質、初期評価、講じた措置と利用者が講じられる措置、情報の機密性に関する判断。 |
| 最終報告 | 是正措置または緩和措置が利用可能になってから14日以内：深刻度と影響を含む脆弱性、悪意のある者の情報、セキュリティアップデート。 | 通知から1か月以内：詳しい説明、想定される脅威または根本原因、緩和措置。 |
通知を受けた CSIRT は、状況の更新について中間報告を求めることがあります（第14条(6)）。
報告先
2026年9月11日に開設された ENISA の単一報告プラットフォームを通じて報告します。提出先は、EU における主たる拠点（製品のサイバーセキュリティに関する決定が主に行われる場所）がある加盟国で調整役に指定された CSIRT です。ENISA は同時に通知を受け取り、CSIRT は製品が提供されている他の加盟国に転送します（第14条(7)、第16条）。
EU 域外の製造者
EU に主たる拠点がない場合は、次のリストで最初に当てはまる加盟国の CSIRT に報告します（第14条(7)）：
- 最も多くの製品を担当する認定代理人が拠点を置く国
- 最も多くの製品を市場に出す輸入者が拠点を置く国
- 最も多くの製品を提供する販売業者が拠点を置く国
- 製品の利用者が最も多い国
利用者に知らせる
影響を受ける利用者と、必要に応じてすべての利用者に、脆弱性またはインシデントと講じられる措置を、必要に応じて構造化された機械可読の形式で知らせます（第14条(8)）。期限内に知らせない場合、CSIRT が知らせることがあります。
起きる前に準備する
- 単一報告プラットフォームに登録する（ENISA が利用者ガイドを公開しています）
- 脆弱性が実際に悪用されているか、インシデントが重大かを24時間以内に判断する担当者を決める
- 各製品を販売している加盟国と、認定代理人、輸入者、販売業者のリストを保つ
- 利用者への通知のテンプレートを用意する
あなたの製品はどのクラスで、ノーティファイドボディが必要ですか？サイバーレジリエンス法のページをご覧ください。