はじめに
近年、サイバー攻撃は世界的に深刻化しており、企業や消費者に大きな被害を与えています。
特にIoT機器やソフトウェアを介した攻撃は、日常生活から産業システムまで幅広く影響を及ぼしています。
こうした状況を受けて、欧州連合（EU）はサイバーセキュリティ強化を目的とした新たな規制「欧州サイバーレジリエンス法（Cyber Resilience Act, CRA）」を制定しました。
これはGDPRが個人データ保護を統一したのと同様に、EU域内で流通する製品のサイバーセキュリティ要件を統一する初の法律です。
本記事では、欧州サイバーレジリエンス法の概要や対象範囲、企業が取るべき対策について解説します。
欧州サイバーレジリエンス法とは
欧州サイバーレジリエンス法（CRA）は、2023年9月に欧州議会と理事会で合意され、2024年に正式に採択された新しい規制です。
目的は、EU市場に出回るすべてのハードウェア製品やソフトウェアに最低限のサイバーセキュリティ要件を義務付け、利用者を保護すると同時に、EU内市場の信頼性を高めることにあります。
これまでEUでは、製品の物理的な安全性についてはCEマーキングなどで規制されてきましたが、サイバーセキュリティに関しては統一されたルールが存在しませんでした。
欧州サイバーレジリエンス法は、このギャップを埋め、全ての企業に共通の基準を課すことを狙いとしています。
欧州サイバーレジリエンス法の概要
欧州サイバーレジリエンス法は、主に以下の要件を定めています。
セキュリティ・バイ・デザインの導入
製品は設計段階からサイバーセキュリティを組み込み、出荷後も安全に利用できるようにしなければなりません。脆弱性管理の継続
製品ライフサイクルを通じて、脆弱性を発見・修正し、必要なアップデートを提供する義務があります。インシデント報告義務
サイバー攻撃や重大な脆弱性が発見された場合、24時間以内に欧州サイバーセキュリティ庁（ENISA）に報告する必要があります。罰則規定
違反した場合、最大で全世界売上高の4％または1500万ユーロという、GDPR並みに厳しい罰金が科されます。
なお、2024年に発効後、企業には約24か月の移行期間が与えられ、2026年頃から実際に適用される予定です。
欧州サイバーレジリエンス法の対象
欧州サイバーレジリエンス法は、幅広い製品が対象となります。
IoT機器：スマート家電、ウェアラブルデバイス、スマートフォン周辺機器など
ソフトウェア：PC用ソフトウェア、モバイルアプリ、業務システム
産業機器：センサー、ネットワーク機器、工場の制御システム
セキュリティ関連機器：ファイアウォール、暗号化装置など
製品はリスクレベルに応じて分類されます。
標準製品（低リスク）：メーカー自身が適合宣言（DoC）を作成すれば販売可能。事前申請は不要。
重要製品（高リスク）：第三者認証機関（Notified Body）による審査が必要。
この区分により、企業は製品のリスクレベルに応じた準拠プロセスを選択することになります。
欧州サイバーレジリエンス法の対策
日本企業を含むすべてのメーカーが、EU市場に製品を投入するためには次のような対策が求められます。
対象製品の確認
自社製品がCRAの対象に含まれるかどうかを精査する。IoTやソフトウェア機能を持つ場合はほぼ対象となる。
脆弱性管理体制の構築
セキュリティアップデートやパッチを継続的に提供できる体制を準備する。
技術文書と適合宣言（DoC）の作成
製品がCRAに準拠していることを示す技術文書を整備し、DoCを作成する。
必要に応じた第三者認証
高リスク製品の場合はNotified Bodyに審査を依頼し、認証を受ける。
社内教育・コンプライアンス強化
開発部門や法務部門に対して欧州サイバーレジリエンス法の内容を周知し、全社的に対応できる体制を整える。
CEマーキングと現地責任者の必要性
欧州サイバーレジリエンス法は、CEマーキング制度の一部として運用されます。そのため、EU域外のメーカー（日本企業など）が製品を欧州市場に出す場合、現地責任者（EU Responsible Person / Authorized Representative）を設置する必要があります。
現地責任者の主な役割は以下の通りです。
技術文書と適合宣言の保管：当局の要求に応じて提示する義務。
市場監視当局との窓口：苦情や事故があった場合の一次対応。
表示内容の確認：CEマーク、製造者名、EU責任者の名前・住所を正しく表示しているかをチェック。
セキュリティ関連の通報：脆弱性やインシデント発生時に、ENISAなどの当局へ迅速に報告。
このため、日本企業がCRAに対応するには、製品のセキュリティ設計＋CEマーキング＋EU責任者の設置が三位一体で求められることになります。
日本企業への影響
日本企業にとって、欧州サイバーレジリエンス法は大きな影響をもたらします。たとえば、家電メーカーが欧州向けにスマート家電を輸出する場合、単なる電気安全基準だけでなく、サイバーセキュリティ要件にも適合する必要があります。さらに、医療機器やヘルスケア分野のIoT製品、業務用ソフトウェアを提供するIT企業も対象です。
これにより、日本企業は製品設計段階から欧州規制を意識し、サイバーセキュリティを組み込む必要があります。対応が遅れると、EU市場への参入が困難になり、競合に後れを取るリスクが高まります。
まとめ
欧州サイバーレジリエンス法は、EU市場でのソフトウェア・ハードウェア製品の販売において必須の新ルールです。
2026年の適用開始までに、企業は製品の対象確認から脆弱性管理体制の整備、技術文書の作成、必要に応じた第三者認証の取得、そして現地責任者の設置までを計画的に進める必要があります。
GDPRやCEマーキングと並び、今後EUでの事業展開に欠かせない規制となるため、早期の準備が競争優位性を確保する鍵となるでしょう。