ENISA（欧州連合サイバーセキュリティ機関）は2026年7月31日、EUサイバーレジリエンス法（CRA）に基づく単一報告プラットフォーム（SRP: Single Reporting Platform）について、FAQを改訂し、あわせて利用者登録と報告提出の手順を説明する2つのページを新たに公開しました。

CRAでは、積極的に悪用されている脆弱性（actively exploited vulnerability）と重大インシデントの報告義務が、2026年9月11日から適用されます。これまでSRPについては「9月11日までに稼働予定」とされるにとどまり、登録の方法や入力項目は公表されていませんでした。そのため、「準備を進めたくても、何から手をつければよいか分からない」というご相談を多くいただいてきました。

今回の公開により、画面の遷移から入力項目、提出後のステータスの変化に至るまで、実務レベルの情報がそろいました。適用開始まで残り40日ほどとなった今、日本の製造業者が特に確認しておきたい3つのポイントを解説します。

なお、ENISAは新たに公開された2ページの冒頭で、記載内容が変更される可能性がある旨を明記しています。SRPの公開URLも、本稿執筆時点では未公表です。実際の対応にあたっては、必ず最新版をご確認ください。

🚨ポイント1　報告先のCSIRTは「EU域内の授権代理人の所在地」で決まる

改訂されたFAQでは、報告先となる各国CSIRTをどのように特定するかが、改めて整理されています。原則として製造業者の主たる事業所の所在地によって決まりますが、EU域内に事業所を持たない場合は、授権代理人（Authorised Representative）の所在地によって決まります（CRA第14条7項）。

日本の製造業者の多くは、後者に該当します。つまり、代理人をどの加盟国に置くかという判断が、そのまま「どの国のCSIRTに報告するか」を決めることになります。

さらにFAQでは、登録した利用者がその製造業者を代理する立場にあるかどうかの確認を、指定CSIRTが行うものとしています。その手続きはCSIRTごとに異なり得るとも説明されており、代理人の所在国によって、必要な書類ややり取りの進め方が変わる可能性があるということです。

授権代理人については、これまで技術文書の保管や当局対応の窓口という役割で捉えられることが多かったのではないでしょうか。報告体制という観点からも、一度整理しておくことをお勧めします。

🚨ポイント2　24時間・72時間・最終報告は、別々の3つの報告ではありません

提出手順のページを読むと、SRPでの報告が、1件の通知を段階的に確定させていく仕組みであることが分かります。まずダッシュボードで新規の通知を作成し、早期警告のタブに入力して提出します。72時間の通知は早期警告が提出済みであることが前提となり、同じ通知を開いて該当するタブに入力します。最終報告も、その前の2段階が済んでいることが前提です。

この仕組みを踏まえると、実務上押さえておきたい点が2つあります。

1. 各段階で下書き保存ができることです。下書きは提出するまで自分にしか表示されません。

　24時間という限られた時間の中で、分かっている範囲から書き始めておくことができます。

2. 最終報告を提出すると、その通知が編集できなくなる点です。

　最終報告の前であれば内容を修正でき、その都度、指定CSIRTやすでに配信を受けている関係者へ自動的に通知が届きます。

つまり最終報告は、「もう修正することはない」と判断できる段階まで待つべきものです。14日あるいは1ヵ月という期限はありますが、前倒しで提出する必要はありません。

社内の手順書を作成する際は、3つの報告を独立した作業として並べるのではなく、1件の案件が段階的に確定していく流れとして設計する方が、実際の動きと合います。

🚨ポイント3　登録は「必要になってから」でよいのか

FAQでは、指定CSIRTの確認作業が過度に増えることを避けるため、実際に報告が必要になった時点で登録と確認手続きを開始することが推奨されています。確認は初回アクセスの後に報告と並行して行われるため、完了していなくても通知は提出できるとされています。

制度の設計としては合理的ですが、日本の製造業者の立場から見ると、そのまま受け取ってよいか検討したい点もあります。

SRPの利用にはEU Loginアカウントが必要です。利用者は、主担当と、主担当からの招待によって登録する副担当の2階層に分かれます。招待リンクは7日を過ぎると失効します。また現時点ではAPI連携が提供されないため、報告は画面からの入力になります。

日本と欧州には時差があり、社内の承認手続きや英語での文書作成にも時間がかかります。24時間の時計が動き始めてからアカウントの取得に着手するのは、余裕のある進め方とは言えないでしょう。SRP上での登録と確認申請はENISAの推奨に従うとしても、EU Loginアカウントの取得と主担当・副担当の指名までは先に済ませておくことが、現実的な進め方ではないでしょうか。

また、ENISAはSRPの稼働開始前に利用方法に関するウェビナーの開催を予定しており、9月上旬の実施が見込まれます。

まとめ

今回の公開は準備に関するアップデートです。手順が分からないために手をつけられなかった部分に、取りかかれる状態になりました。

あわせてENISAは、報告義務の対象となる定義、3段階の期限、報告先CSIRTの考え方、提出後の情報共有の流れを2ページに整理したファクトシート（Factsheet）も公開しています。1ページ目では、社内で取り掛かるために必要なすべての情報を紹介しています。追加の更新や関連資料は、数週間以内に後期される予定です。

9月11日に向けて、社外への確認と社内の合意形成を伴いますので、早めに動かれることをお勧めします。

👉詳細は、以下のENISAによる公開ページをご確認ください。

• Single Reporting Platform (SRP)（FAQ、2026年7月31日更新）

• CRA SRP - AR User registration（利用者登録の手順）

• CRA SRP - AR Notification submission and update（報告の提出・更新の手順）

• ENISA_CRA_SRP_Factsheet_v1.0（SRPのファクトシート）

✉️ CRAに関するお問い合わせはこちら E-Mail: Cybersecurity@jpn.tuv.com

＜関連ブログ＞