2026年9月11日より、EUサイバーレジリエンス法（CRA）の最初の義務要件適用が開始されました。製造事業者は、実際に悪用されている脆弱性および重大なセキュリティインシデントについて、EUのReporting Platform（単一報告プラットフォーム）を通じて所定の期限内に報告する必要があります。

多くの企業にとって、これがCRA対応状況を実際に試される最初の機会となります。ここで改めてどのような準備が必要か、注意すべきポイント等をおさらいします。

必要な対応は？

CRA第14条に基づく報告義務では、企業に対して以下が求められます。

責任範囲やコミュニケーション経路、文書化された手順が不明確な場合、インシデント発生時の対応が遅れ、規制上、運用上、およびレピュテーション上のリスクが高まる可能性があります。

対象となる企業

本報告義務は、EU市場でデジタル製品を提供するすべての製造事業者に適用されます。特に以下の企業が対象となります。

• ソフトウェアメーカー

• IoT機器およびスマートデバイスメーカー

• 外部ネットワークへの接続有無を問わず、デジタル機能を備えた機械メーカー

• Industry 4.0関連コンポーネントメーカー

• ネットワーク機器および組込みシステムメーカー

🚨 何を報告しなければならないのか

　積極的に悪用されている脆弱性（Actively Exploited Vulnerabilities）

以下のすべてに該当する場合、報告が必要となります。

• 自社製品の脆弱性が判明した場合

• 当該脆弱性が脅威アクターによって積極的に悪用されている場合

• 製造事業者がその悪用を認識した場合

　重大なセキュリティインシデント（Severe Security Incidents）

製品のセキュリティに重大な影響を及ぼすインシデントも報告対象となる場合があります。

例：

• サプライチェーン攻撃

• ファームウェア更新の改ざん

• アップデートサーバーへの攻撃

• 製品を介したマルウェア配布

報告期限

CRAでは段階的な報告プロセスが定められています。

今すぐ実施すべき事項

新たな要件への対応に向けて、以下が整備されていることを確認してください。

• セキュリティインシデントの検知・評価プロセス

• 明確に定義された役割および責任

• 文書化された報告手順

• 必要な技術情報への迅速なアクセス体制

• インシデント対応プロセス

CRA対応に向けた支援

当社のCRA専門チームが以下を支援いたします。

✔　現状の対応状況およびコンプライアンス要件の評価

✔　Cyber Resilience Act要件の解釈支援

✔　既存プロセスのレビューおよび改善提案

✔　効果的な報告体制およびインシデント対応プロセスの構築

よくある誤解

✉️ CRAに関するお問い合わせはこちら E-Mail: Info@jpn.tuv.com

＜関連ブログ＞

CRA報告義務が適用開始 -ENISAがSRPおよびAR向けマニュアルを公開

製品のサイバーセキュリティ対策で企業が直面する共通課題

サイバーレジリエンス法とは

サイバーレジリエンス法 CRA －要求事項が明確に－

サイバーレジリエンス法 CRA－10月10日欧州評議会採択、数ヵ月以内に新規制発効予定

RE指令のサイバーセキュリティ要求整合規格－最新情報

テュフ ラインランドでは、サイバーセキュリティに関するご相談、セミナーや技術相談、ギャップ分析、サイバーセキュリティ試験などを通じて

お客様の製品安全をサポートしています。ご不明な点はテュフ ラインランドにお問い合わせください。

更新日 : 10/22/2026