CRA報告義務が適用開始 -ENISAがSRPおよびAR向けマニュアルを公開

2026年9月11日、EU Cyber Resilience Act（CRA）に基づく製造業者の報告義務が適用開始となりました。

CRAは2024年12月10日に発効し、2027年12月11日に全面適用となります。その中でも、脆弱性およびインシデントに関する報告義務は、本日から先行して適用開始となりました。

TUV-Rheinland-JP-CRA-Milestone-Image-JA

今回の適用開始に合わせて、ENISAは報告ポータルであるSRPを公開しました。あわせて、認定代理人であるAR（Assigned Representative）向けのマニュアル「AR User Manual」も公開し、登録方法や報告手順を確認できます。

公開された主な資料は以下のとおりです。

SRPは、CRAで規定される悪用された脆弱性（Actively Exploited Vulnerability）や重大インシデント（Significant Incident）について、CSIRTおよびENISAへ報告するための共通プラットフォームです。AR User Manualには、利用者登録、通知手順、報告フローなどが記載されています。

製造業者に求められる報告期限
CRAでは、悪用が確認された脆弱性や重大インシデントを認識した場合、製造業者は定められた期間内にSRPを通じて報告する必要があります。

TUV-Rheinland-JP-CRA-Reporting-Process-Image-JA

悪用が確認された脆弱性（Actively Exploited Vulnerability）

脆弱性を認識してから24時間以内に Early Warning を提出
脆弱性を認識してから72時間以内に Detailed Notification を提出
軽減策（Mitigation）が利用可能となってから14日以内に Final Report を提出

重大インシデント（Significant Incident）

インシデントを認識してから24時間以内に Early Warning を提出
インシデントを認識してから72時間以内に Detailed Notification を提出
72時間通知後1か月以内に Final Report を提出

これらの報告は、SRPを介してCSIRTおよびENISAへ提出されます。

今後求められる対応

初回報告期限は24時間以内と非常に短いため、製造業者には以下の対応が重要になります。

インシデントおよび脆弱性の検知体制の整備
PSIRTの構築・運用
報告可否を判断するプロセスの明確化ARの選定および登録

2027年12月11日のCRA全面適用に向けて、SBOM管理や脆弱性管理体制の整備を進めている企業は多くあります。一方で、本日から開始した報告義務は、CRA対応の第一歩となる重要なマイルストーンです。

特に、以下の点は早急に確認する必要があります。

24時間以内の初動報告体制を整備できているか
ARの登録準備が完了しているか
PSIRTや脆弱性管理プロセスが実務に対応しているか
社内で「認識」の起点や報告判断の責任者を明確にしているか

CRA対応の進め方に不安がある場合は、テュフラインランドジャパンへお問い合わせください。

テュフラインランドジャパンのサイバーセキュリティサービス

テュフラインランドジャパンでは、CRA対応に関するサービスを提供しています。CRA対応の整理、Self-Assessmentの可否判断など、状況に応じたサポートをします。制度の切り替え時期にあたるため、「自社製品がどの規制に該当するのか分からない」「今、何に対応すべきか判断できない」といった場合は、専門家による確認が有効です。ぜひ、お問い合わせください。