CRAの報告義務が9月11日に始まりました｜製造業が今すぐ確認すべき5つのこと

2026年9月11日、EUサイバーレジリエンス法（CRA）第14条に基づく製造業の報告義務が適用開始となりました。これにより、EU市場にデジタル要素を含む製品を出荷している製造業者は、製品に「積極的に悪用されている脆弱性」または「製品のセキュリティに影響する重大インシデント」を認識した場合、24時間以内の早期警告を含む3段階の報告を行う義務を負います。同日には、EUのサイバーセキュリティ機関ENISAが報告窓口となる単一報告プラットフォーム（SRP）を稼働させました。特に注意が必要なのは、この報告義務が2027年12月より前にすでにＥＵ市場へ出荷された既存製品に適用される点です。「ＣＲＡは2027年まで猶予がある」という理解のままでは、対応が間に合わない恐れがあります。

CRAの全面適用は2027年12月11日ですが、報告義務だけはすでに始まっています。しかも対象は新製品だけではありません。

CRAは2024年12月10日に発効し、2027年12月11日に全面適用される予定です。その中で、第14条の「製造業者の報告義務」だけが先行して2026年9月11日から適用されました。

同じ9月11日には、ENISAが報告の窓口となる単一報告プラットフォーム（SRP: Single Reporting Platform）を「初期運用能力」として稼働させました。製造業者はこのプラットフォームに一度入力するだけで、関係する各国当局への報告を済ませられる仕組みです。

CRAで報告が義務付けられているのは、次の2つです。

製品に含まれる脆弱性のうち、実際に攻撃に悪用されていることが確認されたものです。脆弱性が見つかっただけでは対象にならず、「悪用されている」ことがポイントです。

CRAでは、つぎのいずれかに該当するインシデントを「重大」としています。
・製品が、重要なデータや機能の可用性・真正性・完全性・機密性を守る能力に悪影響を与える、または与える恐れがある場合
・製品やそのユーザーのネットワーク・情報システムに、悪意のあるコードが持ち込まれた、または実行された（その恐れがある場合を含む）場合

報告対象の具体的な判断基準は、まだ十分に明確になっているとは言えません。大手コンサルティングファームも、当面は対象をうあうあ広めに解釈し、報告漏れを防ぐことが重要だと指摘しています。

また、製造業者は当局への報告に加えて、影響を受けるユーザー（場合によっては全ユーザー）に対し、脆弱性やインシデントの情報と、必要に応じてとるべき対策を通知することも求められています。

報告は3段階で行います。期限の起点は、製造業者が事象を認識した時点です。

• 設備故障を予測し、ダウンタイムの発生を未然に防ぐ
• 工程やトルク波形のずれを検知し、パラメータを自律的に調整する
• 1つの工程の遅れがライン全体を止める前に、ボトルネックを特定する

「認識した時点」について、欧州委員会では、未確認のバグ報告や問い合わせを受けた瞬間ではなく、初期調査を通じて悪用や重大インシデントを合理的な確信をもって確認した時点と整理していると報じられています。ただし、調査を意図的に遅らせて起点を後ろにずらすことは認められません。外部からの通報を受けてから判断に至るまでの記録を残しておくことが重要です。

24時間という期限は、社内で原因を調べ終えてから報告する、という進め方では間に合いません。「情報が不完全でもまず報告する」ための判断基準と承認ルートをあらかじめ決めておく必要があります。

CRAの主要な要件は、2027年12月11日以降にEU市場へ出荷される製品が対象です。ところが第14条の報告義務だけは例外で、2027年12月11日より前に出荷された製品にも適用されます。（CRA第69条第3項）

つまり、次のような製品も報告義務の対象になります。

• すでにEU市場で販売中の製品
• 数年前に出荷し、現在は新規販売していない製品
• 開発チームがすでに解散している、サポートを終了した製品

EU域内のどこかで稼働している限り、悪用された脆弱性や重大インシデントが判明すれば報告が必要になります。CEマーキングや技術文書を過去の製品にさかのぼって整理する必要はありませんが、脆弱性を受け付けて対応する体制（PSIRT）は、既存製品までふくめて設計しておく必要があります。

• 注意

「新製品からCRA対応を始めればよい」という計画では不十分です。報告義務には猶予がありません。

ENISAが9月11日に稼働させたSPRは、「初期運用能力」という表現の通り、最初の段階の機能がそろった状態です。報道などから整理すると、現時点の状況は次の通りです。

報告は、製造業者のEU域内の主たる事業所（EU域内に拠点がない場合は授権代理人の所在地など）によってきまる各国の「調整役CSIRT」とENISAへ、SPRを通じて同時に届けられます。自社グループのどの拠点・誰が報告を担当するのかを、事前に決めておくことが重要です。

なお、脆弱性対応に関する整合規格はまだ官報に掲載されておらず、2026年10月末ごろの見込みとも報じられています。SRPの機能やガイダンスも今後更新されていくため、最新情報の継続的な確認が欠かせません。

稟議や複数部門の承認を経る社内ルールのままでは、24時間の早期警告に間に合わない可能性があります。報告の判断権限と承認ルートを、緊急時向けにあらかじめ短縮しておく必要があります。

日本と欧州には7~8時間の時差があります。夜間や週末、長期休暇中に事象と認識した場合でも、24時間の期限は止まりません。

報告には、製品情報、出荷国、脆弱性の識別子、影響範囲、対応策などの情報が求められます。どの製品にどのソフトウェア部品が使われているかを示すSBOM（ソフトウェア部品表）を整備しないと、影響範囲の特定だけで時間を使い切ってしまいます。

以下の項目のうち、「いいえ」がある場合は早めの対応をおすすめします。

□EU市場に出荷した（出荷している）自社製品の一覧を把握している。
□その中に、ネットワーク接続やソフトウェアを含む製品（デジタル要素を含む製品）がどれかを特定している。
□脆弱性の通報を受け付ける窓口（PSIRT）がある。
□「積極的に悪用されている脆弱性」「重大インシデント」に該当するかを判断する基準がある
□24時間以内に報告を判断・承認できる体制がある
□夜間・休日の連絡体制が決まっている
□SRPへの報告を担当する拠点・担当者が決まり、利用登録を済ませている。
□製品ごとのSBOM（ソフトウェア部品表）を整備している
□ユーザーへの通知方法（誰が、どの手段で知らせるか）がきまっている
□通報受付から判断までの経緯を記録する仕組みがある

PSIRTの構築には通常数年かかるとされており、報告義務が始まった今、すべてを自社だけで整えるのは容易ではありません。愛電株式会社が代理店を務めるRockwell Automationは、CRA要件に特化した対策と体制づくりを支援し、迅速かつ効率的なCRA対応を実現するために、次の6つのサービスを提供しています。

• セキュリティアセスメントサービス
• PSIRT構築支援
• SBOM導入支援
• 運用支援/エンジニア派遣
• セキュリティ製品の検証、実装
• ドキュメンテーション

各サービスの詳しい内容や、自社の状況に合わせた組み合わせについては、愛電株式会社までお問い合わせください。

お問い合わせ

A. 2026年9月11日から適用が始まりました。CRAの全面適用は2027年12月11日ですが、第14条の報告義務だけが先行して適用されています。

A.製品に「積極的に悪用されている脆弱性」がある、または「製品のセキュリティに影響する重大インシデント」が発生したことを認識した場合です。脆弱性が見つかっただけでは対象にならず、実際に悪用されていることが確認された場合が対象です。

A. 認識から24時間以内に早期警告、72時間以内に通知を行います。最終報告は、脆弱性の場合は是正・緩和策が利用可能になってから14日以内、重大インシデントの場合は通知から1か月以内です。

A. 対象です。CRA第69条第3項により、報告義務は2027年12月11日より前に出荷された製品にも適用されます。販売を終了した製品でも、EU市場に出荷したことがあれば対象になります。

A.ENISAが運営する単一報告プラットフォーム（SRP）を通じて行います。報告は、自社の尾も足る事業所などによって決まる各国の調整役CSIRTとENISAへ同時に届けられます。

A. 2026年9月11日に初期運用能力として稼働し、義務的な報告は提出できる状態です。一方で、任意報告や報告用APIなどは今後の段階で提供される予定です。ガイダンスも更新される可能性があるため、最新情報の確認が必要です。

A. 報道によると欧州委員会は、未確認の報告を受けた瞬間ではなく、初期調査で悪用や重大インシデントを合理的な確信をもって確認した時点と整理しています。ただし、調査を意図的に遅らせることは認められないため、通報受付からはんだんまでの　記録を残すことが重要です。

A. CRAの報告義務はEU市場に出荷された製品が対象です。ただし、EU向け製品を作る取引先に部品やソフトウェアを供給している場合、脆弱性情報やSBOMの提供をもとめられるなど、サプライチェーンを通じて影響を受ける可能性があります。

A. Product Security Incident Response Teamの略で、自社製品の脆弱性の通報を受け付け、調査・対応・情報公開を行う組織です。CRAの報告義務に対応するための中核となる体制で、構築には通常数年かかるとされています。

A.SBOM（ソフトウェア部品表）は、製品にどのソフトウェア部品が使われているかを示す一覧です。脆弱性が見つかった際、どの製品が影響をうけるかを素早く特定できるため、24時間・72時間という短い期限内での報告に欠かせません。

A.CRAでは、違反に対して制裁金が科される可能性があります。義務の種類によって上限額はことなるため、詳細は専門家にご確認ください。制裁金に加え、報告の遅れによる取引先や顧客からの信頼低下も大きなリスクです。

A.愛電株式会社（Rockwell Automation正規代理店）にて、Rockwell AutomationのCRA対応支援サービスのご相談を承っています。セキュリティアセスメントからPSIRT構築してん、SBOM導入支援、運用支援まで、ご相談いただけます。

2026年9月11日、CRAの報告義務が適用開始となり、ENISAの単一プラットフォーム（SRP）も稼働しました。EU市場にデジタル要素を含む製品を出荷している製造業者は、積極的に悪用されている脆弱性や重大インシデントを認識した場合、24時間以内の早期警告から始まる3段階の報告をおこわなければなりません。そして、この義務は2027年より前に出荷された既存製品にも適用されます。

「CRAは2027年から」という認識のまま準備を進めている場合は、まず自社のEU向け製品の棚卸しと、24時間以内に報告をはんだんできる体制づくりから着手してください。PSIRTの構築やSBOMの整備には時間がかかります。愛電株式会社では、Rockwell AutomationのCRA対応支援サービスを通じて、その第一歩からご支援します。

本記事は2026年9月時点の公開情報をもとにした一般的な解説であり、法的助言ではありません。CRAの解釈やSRPの運用は今後更新される可能性があります。具体的な対応については、専門家や最新の公式情報（欧州委員会・ENISA）をご確認ください。