EUサイバーレジリエンス法（CRA）とは？製造業が今すぐ知っておくべき基礎知識

EUサイバーレジリエンス法（Cyber Resilience Act : CRA）とは、EU市場で販売されるデジタル要素を含む製品のサイバーセキュリティ要件を定めたEU規則です。2024年10月10日に成立し、2024年12月10日に発行しました。日本の製造業にとっても、EU向けに製品を販売・輸出している、またはEU域内に生産拠点を持つ企業であれば、直接対応がもとめられる法令です。

本記事では、CRAの概要・適用スケジュール・製造業への具体的な影響・対応のポイントを整理して解説します。

CRAは、ハードウェアおよびソフトウェア製品のライフサイクル全体に対して、EUのサイバーセキュリティに関する必須要件を導入する法的枠組みです。ノートパソコン、モバイル機器、センサー、カメラ、ルーター、ファームウェア、アプリなど、EU内で製造、輸入、流通されるデジタル要素を含む製品に適用されます。

これまでEUでは製品のサイバーセキュリティに関する統一的なルールが存在せず、欧州委員会の推計によると、市場に流入している60%もの製品に脆弱性があると言われていました。CRAはこうした状況を改善するために設けられた規制で、製造業者だけでなく輸入業者・販売業者にも義務を課します。

特に重要なのは、CRAは対象製品の準拠状況をCEマークに統合して管理し、CEマークの取得がない製品は欧州市場で販売できなくなるという点です。EU市場への参入条件そのものが変わるため、対岸の火事ではありません。

CRAは段階的に適用が開始されます。

2026年9月11日に第14条「製造者の報告義務」が適用開始され、2027年12月11日に第13条「製造者の義務」も含めてCRAは完全適用される予定です。

2026年9月の報告義務はすでに目前に迫っています。製品の脆弱性やセキュリティインシデントが発生した際に当局へ報告する体制を、今から整備しておくことが求められます。

CRAの適用対象は広く、デジタル要素を含む製品（他のデバイスやネットワークに接続されるもの）全般が対象となります。

産業分野で特に注目すべきは、産業用制御システムが付属書IIIクラスIIの「重要な製品」に分類されている点です。クラスIIに分類された製品は、より厳格な適合性評価手順（第三機関による審査）が求められます。PLCや産業用ネットワーク機器を扱う製造業・機器メーカーによっては特に重要な規定です。

なおCRAの定期用対象外となる主なものは以下の通りです。

• 商業活動のいちぶでないオープンソースソフトウェア
• クラウドサービス / SaaS (ソフトウェアとして提供されるサービス)
• 医療機器 / 自動車 / 航空機器など、別途十分なサイバーセキュリティ規制が存在する製品分野
  

CRAが製造業者に課す主な義務は以下の4点に整理されます。

製品の設計・開発段階からセキュリティを組み込む「セキュア・バイ・デザイン」の実践が求められます。デフォルト設定でのセキュリティ確保・既知の脆弱性を持たない状態での出荷などが含まれます。

製品販売後も、脆弱性が発見された場合のアップデート提供や修正対応を、製品のサポート期間全体にわたって行う義務があります。

積極的に悪用されている脆弱性や重大なセキュリティインシデントが発生した場合、ENISA（EUサイバーセキュリティ機関）および国内当局へ報告することが義務付けられます。

サイバーセキュリティ要件への適合を示すCEマークを製品に付与するとともに、適合性評価の記録・技術文書を整備・保管する義務があります。

CRAへ不適合は重大なビジネスリスクを伴います。

違反時には、最大で1,500万ユーロ（約25億円）またはグローバル年間売上高の2.5%のいずれか高い金額が課徴金として課されます。加えて、CEマークを取得できない製品はEU域内で販売ができなくなるため、EU市場そのものを失うリスクがあります。

CRAはEUの規制ですが、日本企業にとっても無関係ではありません。注意すべき主なポイントを整理します。

製造業として直接CRAの対象となります。EU市場での販売継続にはCRA準拠とCEマークの取得が必要です。

現地での販売・流通する製品についてCRAの義務を負います。グループ全体でのサイバーセキュリティマネジメント体制の整備が急務となります。

EU向け完成品メーカーがCRAに対応する際、サプライヤーに対してもコンポーネントのセキュリティ情報（SBOM：ソフトウェア部品表など）の提供を求めるケースが増えることが想定されます。

CRA対応は、組織の体制構築から装置単位のセキュリティ対応まで多岐にわたります。特にPSIRT（製品セキュリティインシデント対応チーム）の構築には通常数年を要するとされており、2026年9月の報告義務適用を見据えると、今すぐ着手することが不可欠です。

Rockwell AutomationはCRA要件に特化した対策・体制づくりを支援し、迅速かつ効率的なCRA対応を実現するために、以下の6つのサービスを提供しています。

1. ベンダーフリー
   特定ベンダーやプロトコルに依存しない仕組みを導入することで、将来の法規制や国際規格への対応、グローバル展開に柔軟に対応できます。現場に既存の設備が混在していても、メーカーを問わず対応できる点が強みです
2. 導入後の運用サポート
   エンジニア派遣やマネージドサービスにより、CRA対応プロセス導入後の社内リソースやPSIRTの負担を軽減し、運用体制の構築・維持を直接的に支援します。「導入して終わり」ではなく、継続的な運用まで一貫してサポートします。

PLCを選定する際に確認すべき主なポイントを整理します。

A. 全面適用は2027年12月11日からです。ただし、脆弱性。インシデントの報告義務（第14条）は2026年9月11日から先行して適用されます。早急に報告体制の整備を進めることが推奨されます。

A. EU市場向けにデジタル要素を含む製品を製造・輸出・販売している日本企業、またはEU域内に生産拠点・現地法人を持つ企業には直接適用されます。EU市場を持つ企業は自社製品がCRAの対象かどうかを確認することが急務です。

A. 対象となります。産業用制御システムCRAの付属書IIIクラスII（重要な製品）に分類されており、通所の製品よりも厳格な適合性評価（第三者機関による審査）が求められます。

A. CRAの適合を示すためにCEマークが使用されます。2027年12月11日以降、CRAに対応したCEマークを取得していない対象製品はEU域内で販売できなくなります。

A. まず自社製品がCRA対象かどうかを確認し（製品分類の確認）、次に現状のセキュリティ体制のギャップ評価（アセスメント）を行うことが出発点となります。2026年9月の報告義務適用が目前に迫っているため、体制整備を急ぐことが重要です。

A. 対応しています。Rockwell AutomationはCRA対応支援サービスを全行程で提供しており、リスク評価・セキュリティ体制構築・脆弱性管理・24時間監視まで一括して対応できるサービス体制を持っています。愛電株式会社を通じてご相談いただくことも可能です。

EUサイバーレジリエンス法（CRA）は、2024年12月に発効済みであり、2026年9月には報告義務、2027年12月には全面適用が迫っています。EU市場に製品を販売する製造業者・輸入業者・販売業者にとっては、CEマーク取得の可否がEU市場への参入条件に直結する重大な規制です。

産業用制御システムは特に厳格なクラスIIの重要製品に分類されており、製造現場でPLCや産業用ネットワーク機器を扱う企業は早急な対応が求められます。Rockwell AutomationのSecureOTおよびCRA対応支援サービスは、こうした課題に対して設計段階からライフサイクル全体をカバーする形で対応しており、既存のシステム環境を問わず活用できる点が特徴です。

CRA対応についてご不明な点や相談がある場合は、Rockwell Automation正規代理店の愛電株式会社までお気軽にお問い合わせください。