この記事の著者：プライバシーエキスパート 栗原 宏平
【免責事項】 本記事は筆者個人の見解に基づき執筆したものであり、筆者は弁護士資格を有しておりません。法律上のアドバイスを目的としたものではありませんので、あらかじめご了承ください。
はじめに
2024年10月23日に欧州サイバーレジリエンス法（以下、EU CRA）が成立しました。この法律は、欧州域内でデジタルエレメント（通信）に接続する製品がサイバーセキュリティに求められる要求を満たしていることを求めるように設計されています。
欧州に製品を展開する企業にとっては、サイバーセキュリティに関するルールが変更されることになるため、今後のスケジュールを確認した上で、対応すべき項目を整理する必要があります。特に9月11日以降は報告義務が発生するため、まずは初期対応が必要な内容について確認することが大切です。
サイバーレジリエンス法の施行背景と今後のスケジュール
法律が成立した背景としては、欧州域内で特定の製品に適用した制度は定められていたものの、横断的に法適用を求める制度は存在しなかったため、2013年1月15日成立したLカテゴリ枠組み規則、2019年6月20日に成立した欧州市場監視規則、そして2020年11月25日に成立した消費者団体訴訟指令を修正する形で、EU CRAが成立することになりました。
企業がEU CRAを注視すべきポイントとして、本法律についてはデータ及び消費者保護とも連動する点がいくつか見受けられるというということです。2024年11月20日に発行された欧州連合官報によると、サイバーセキュリティ対策を講じることによって、消費者や組織の個人データを保護することになり、個人のプライバシーを守ることにも言及しています。
一見すると、サイバーセキュリティ強化の法律のように見える部分もありますが、市場を監督する規制当局はデータ保護の規制当局とも連携して監督を行うとも明記されており、製品を利用する消費者の観点からサイバーセキュリティ対策を検討することも求められます。
2027年12月11日の施行に向けて、標準化を含めた環境整備が進んでいます。今後のスケジュールについては、 i46 s.r.o.社が公開しているサイトを参考に筆者が時系列でタイムラインを作成しました。
※本タイムラインは現時点での予測スケジュールであり、必ずしもこのスケジュール通りに進められるとは限りません。
想定のタイムラインに沿って考えると、年内には凡その標準開発が進み、施行前には製品標準に限定せず、横断的な標準開発も進んでいくことが予測されます。まずは、9月11日から開始される「レポート義務への適用」をゴールとし、順次対策を進めていくことが妥当だろうと考えられます。
報告義務への適用で求められること
EU CRAでは第14条で製造業者に対して、CSIRTをコーディネーターとして脆弱性に関する状態についてENISAへ報告義務について定めています。第14条では、報告義務を履行する目的に沿った上で、ENISAが提供するSRPを通じて以下の内容の報告を求めています。
※CSIRTとはComputer Security Incident Response Teamの略称であり、「一般社団法人日本シーサート協議会」によると、「コンピュータセキュリティにかかるインシデントに対処するための組織の総称です。インシデント関連情報、脆弱性情報、攻撃予兆情報を常に収集、分析し、対応方針や手順の策定などの活動」をするTeamであると紹介しています。
※表については欧州連合官報で公表されている情報を下に、筆者が作成
また、製品に関する脅威となるセキュリティインシデントについても報告義務について定めています。第14条では、報告義務を履行する目的に沿った上で、ENISAが提供するSRPを通じて以下の内容の報告を求めています。
※表については欧州連合官報で公表されている情報を下に、筆者が作成
脆弱性及びインシデント報告の届け先となるCSIRT（コーディネーター）は、製造業者がサイバーセキュリティに関する意思決定を主に行っている欧州域内の拠点（主たる事業所）が所在する加盟国のCSIRTとなります。なお、報告のために欧州拠点の設置そのものが義務付けられているわけではありません。製造業者が欧州域内に主たる事業所を持たない場合には、以下の優先順位に従って管轄となる加盟国（CSIRT）が決定されます。
※表については欧州連合官報で公表されている情報を下に、筆者が作成
当該製造業者は製品の脆弱性や脅威のあるセキュリティインシデントについて、適切に消費者に対して通知を行う必要があります。通知内容については、脆弱性かインシデントであるかということに加えて、リスクの低減策や修正対応についても通知することが求められます。加えて、消費者自身で脆弱性やインシデントに対応できるように、構造化され、機械が読み解くことができる仕様を持って通知することが必要になります。
製造業者が直接消費者へ通知ができない場合には、CSIRTをコーディネーターに指定して、消費者に対して適切な通知を行います。
ENISAが提供するSingle Reporting Platformへの対応
ここまで紹介してきた報告義務をシステム上で簡易に対応するために、サイバーレジリエンス法の第16条ではENISAがSRPを設置することを定めています。SRPの設計や管理はENISAが行い、電子通知で報告を実施できるように設計される予定です。
※ENISAの公表資料を下に “Single Reporting Platform（SRP）” の全体像を筆者で作成
SRPから報告通知が行われた後に、当該欧州市場のCSIRTへ通知が届くことに合わせて、ENISAにも同様の通知が届くことになります。また、CSIRTを通じて当該国の市場監察当局へ報告が届き、執行を行うか否かの判断が行われます。
前述のスケジュール通り、2026年9月11日よりSRPを利用した報告義務の適用が開始されるため、事前に報告の有無を含めて、対応状況を整理しておく必要があります。
Single Reporting Platform（SRP）の登録手順
ここからは9月11日以降に利用ができるようになるSRPの登録手順について、順番に紹介していきます。
1. 代理人となる担当者を選定し、EUログインへ登録する
SRPを利用するにあたり、Assigned Representativeと呼ばれる代理人（以下、AR）を立てて報告を行うことが必要になります。ARは事前にメールとパスワードを用いてEUログインを行い、登録情報を書き込みます。
※筆者が登録したEUログインのページ
事前にARを登録し、登録内容を検証しておくことで製造業者又は、オープンソーススチュワードはARを通して報告を行うことができるようになります。ARについては、 CSIRTによって検証が行われる（報告を行う場合の義務ではない）ことになりますが、当該対象国のCSIRTによって検証プロセスが異なるので特別に通知を行う必要がある場合については、製造業者やオープンソーススチュワード側で検証を行うことが求められます。
2. SRPに登録する
SRPに登録するにあたり、フォーム登録の手順に沿って必要な情報を記載する必要があります。
※記事の寄稿時点では、SRPのウェブサイトが公開されていないため、ENISAが公開している登録ガイダンス（2026年7月31日公開・8月3日更新版）を参考に筆者が記載しています。ENISA自身が「内容は変更される可能性がある」としているため、実際の登録時には最新のガイダンスをご確認ください。
登録が完了し、承認されるとARが製造業者と連携したことになり、アカウントがアクティブになることに加えて、ARの主要な役割が任命されることになります。確認メールと共に、製造業者の情報を記載している場合には、製造業者の情報もSRPに登録されることになります。
※主要ARの登録が済んだ後に、サブ（主要ARがメインである場合のサブAR）のARに向けて招待メールを送って登録する場合もあります。この場合は主要ARから送られてきたメールをサブARが開封して、登録作業を行います。その際に、主要ARから招待がお送りされることになるため、サブAR招待を承諾し、登録が完了することになります。登録後は、サブARを主要ARバックアップユーザーとして活動することになります。
Single Reporting Platform（SRP）での報告手順
ARはSRPを通じて報告通知を行う必要があります。報告内容には脆弱性の報告（Actively Exploited Vulnerability。以下、AEV）及び脅威のあるインシデント（Severe Incident。以下、SI）の2種類があります。この報告は当該CSIRTにレビューを依頼し、今後の対応について検討することを目的としています。報告については、初期報告及び72時間、最終報告についてそれぞれ以下の手順で対応を行います。
※表についてはENISAのウェブサイトで公表されている情報を下に、筆者が作成
報告通知フェーズの手順に加えて、報告通知の修正期限に到達していない場合や最終報告が提出されていない場合については報告通知内容を修正することができます。
報告内容テンプレートを確認し、9月11日にSRPが公開されるまでに準備をしましょう
ここまで紹介してきたように、SRPを活用することによって簡易に報告通知を実施できるようになるので、事前に報告通知手順を確認した上で、9月11日の公開までに準備をしていくことが必要になります。
以下はENISAがFAQで公表している報告通知の際に記載すべき項目のテンプレートです。
※表についてはENISAのFAQで公表されている情報を下に、筆者が作成
A - 自動で記載（提出者には表示されない）
X - 必須項目
C - 前手順もしくは更新情報に関する報告内容のコピーがデフォルトで上書き対応
O - 選択項目
I - 情報を取得できていれば必須項目
この記事では、9月11日に向けて企業が準備すべきポイントについて順を追って紹介してきました。現地のARを誰に担ってもらうのかという問題や、SRPが公開された後に何を基準に準備すればいいのかお困りの方が多いのではないかと推測します。
SRPで報告を行うだけでも、事前に数多くの審査を行う必要があるため、まずは欧州で展開している製品を一度見直し、脆弱性と脅威のあるインシデントについては注視して確認しておくことが大切です。
その際には、インシデント対応で報告が必要な内容を事前テンプレートを参考に準備し、自社特有のポイントについては随時追加していきながら網羅的なドキュメントとして残しておくことが最適だと考えます。
また、2027年12月11日の完全施行に向けては時間的に余裕もあるため、引き続き、欧州側での発表や標準化動向等についても確認しておく必要があります。
参考資料
- REGULATION (EU) 2024/2847 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) No 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act)
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R2847 - REGULATION (EU) No 168/2013 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 15 January 2013 on the approval and market surveillance of two- or three-wheel vehicles and quadricycles
https://eur-lex.europa.eu/eli/reg/2013/168/oj/eng - REGULATION (EU) 2019/1020 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 20 June 2019
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32019R1020 - DIRECTIVE (EU) 2020/1828 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 25 November 2020 on representative actions for the protection of the collective interests of consumers and repealing Directive 2009/22/EC
https://eur-lex.europa.eu/eli/dir/2020/1828/oj/eng - Where the CRA stands today
https://www.cyberresilienceact.eu/state-of-play.html - 日本シーサート協議会とは
https://www.nca.gr.jp/outline/about.html - Single Reporting Platform (SRP)
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp - CRA SRP guidance - AR User registration
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration - Frequently Asked Questions
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
この記事の著者
プライバシーエキスパート 栗原 宏平
大学在学時に政治家の事務所で働き、卒業後は楽天に入社。2年間の営業経験を経て起業。国外のデジタルサービスの日本展開や国内のサービスの国外展開を支援。2017年より米国の非営利法人Government Blockchain Associationの日本代表を務める。
その後、スタートアップの創業に関わる傍ら、ユネスコを始めとした国際会議でブロックチェーン関連で登壇を経験。2020年に一般社団法人Privacy by Design Labを立ち上げ、プライバシーに関するアドボカシー活動を中心に国際的な場づくりに取り組む。専門領域は、データ保護（個人情報保護）、デジタルマーケティング、ブロックチェーン。国内外のプライバシー業界のリーダーへ直接お話を聞くインタビューメディア“Privacy Talk”を運営。