欧州サイバーレジリエンス法
理解とその対応

EU市場でデジタル要素を持つ製品を販売するメーカーに、新たな義務が課されます。欧州サイバーレジリエンス法（CRA）は、製品を安全な状態で市場に投入することに加え、販売後も脆弱性を発見・修正・報告し続ける体制をメーカーに求める規制です。実際に悪用されている脆弱性や重大インシデントについては、2026年9月11日からEU当局への報告義務が始まり、2027年12月11日には主要義務が全面適用されます。

本資料では、CRAの全体像を「製品を適合させる対応（A）」と「販売後の脆弱性・インシデント対応（B）」の2つに整理し、自社製品がCRA対象かどうかの判定方法から、製品区分ごとに必要となるアウトプット、EUへの報告基準と期限、対応スケジュール・体制づくりまでを解説します。

本資料でわかること

• CRAの目的・対象範囲と、規制の構成（本文とAnnexの関係）

• 自社製品がCRA対象か、Annex III／IVに該当するかの判定手順

• 販売後に求められる7つの義務と、EUへの報告が必要になる基準・期限

• 2026〜2027年の対応スケジュールと、社内外の役割分担の考え方

こんな方におすすめ

• EU向けにハードウェア・ソフトウェア製品を展開しているメーカーの事業責任者・品質保証・法務担当の方

• CRA対応をどこから始めるべきか、全体像を掴みたい方

• 脆弱性対応・インシデント報告の体制構築を検討している方