Cyber Resilience Act
製造業者向け準備チェックリスト
報告義務はすでに適用 2026年9月11日から
残りの義務 2027年12月11日から
デジタル要素を含む製品をCRAに対応させる準備の中で、担当者を割り当て、エビデンスを集めるためにこのチェックリストをご活用ください。
Cyber Resilience Actガイド
CRAの要件をステップごとに解説
デジタル要素を含む製品を開発するチームのための実践的なロードマップです。やるべきこと、担当者、保管すべきエビデンスをまとめています。法律の内容については、Cyber Resilience Actとはをご覧ください。メーカーにコンポーネントを供給している場合は、サプライヤー向けSBOMガイドをお読みください。
最終更新日：2026年10月15日
現在の状況
- 報告義務はすでに適用されています。 2026年9月11日以降、製造業者は、すでに市場に出ている製品も含めて、積極的に悪用されている脆弱性と重大インシデントを報告する必要があります。
- それ以外の義務はすべて2027年12月11日から適用されます。 それより前に市場に出された製品は、大幅な変更が加えられた場合にのみ、CRAのその他の規定の対象となります。
- ガイダンスが公表されています。 2026年7月27日付の欧州委員会による法的拘束力のないガイダンスC(2026) 5252が、適用範囲、大幅な変更、サポート期間、報告について説明しています。また、実施規則（EU）2025/2392が重要製品と重大製品のカテゴリーを定めています。
What the Cyber Resilience Act asks manufacturers to do
規則(EU) 2024/2847の適用範囲、施行日、報告期限、そしてSBOMと脆弱性対応の義務がどこに定められているかを解説します。
Kubernetes Community Days Helsinki 2026でのPetteri Pulkkinen、Erika Marttinen、SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chainsの8:03～15:20。
ロードマップ：10のステップ
ステップはおおむね順番に進みますが、すでに市場に出ている製品では、報告義務がすでに適用されているため、ステップ5〜8が最優先です。
- 1
適用範囲と自社の役割を確認する
EU市場で提供するデジタル要素を含む製品を、単体で販売するソフトウェアや製品の動作に必要なクラウドバックエンドも含めてすべて洗い出します。それぞれについて、適用除外（医療機器、車両、航空、船舶用機器、防衛）に該当しないこと、そして自社が製造業者、輸入業者、販売業者のいずれに当たるかを確認します。
CRA Checkerで製品を確認 → - 2
各製品を分類する
ほとんどの製品はデフォルトカテゴリーに該当します。自社製品を重要製品（附属書III）と重大製品（附属書IV）のリストと照らし合わせてください。これらの技術的な説明は実施規則（EU）2025/2392に記載されています。カテゴリーによって、自己評価が認められるか、ノーティファイドボディ（認証機関）による評価や認証が必要かが決まります。
- 3
サイバーセキュリティリスクを評価する
製品ごとにサイバーセキュリティリスク評価を作成します。この評価によって附属書Iの必須要件の適用方法が決まり、評価は技術文書に含めます。製品や脅威が変化したら更新してください。
- 4
サポート期間を設定する
各製品の脆弱性に対応する期間を決めます。製品の想定使用期間がそれより短い場合を除き、少なくとも5年です。サポート終了時期をユーザーに伝え、各セキュリティアップデートを少なくとも10年間入手可能な状態に保ちます。
- 5
すべてのリリースビルドからSBOMを作成する
CRAは、一般的に使われている機械可読形式で、少なくとも最上位の依存関係を網羅したソフトウェア部品表を求めています。手作業で一度作るのではなく、リリースを生成するビルドの中で作成すれば、実際に出荷したものと一致し続けます。
CRACIが役立つところ： CRACIは各ビルドの実行中に、推移的依存関係やキャッシュから復元されたパッケージを含めてSBOMを記録し、CycloneDXまたはSPDXでエクスポートします。
- 6
出荷したものを監視し、遅滞なく修正する
サポート期間を通じて、メインブランチだけでなくリリース済みのバージョンについても新たな脆弱性を監視します。脆弱性は遅滞なく修正し、セキュリティアップデートは無償で、可能な場合は機能アップデートとは分けて提供します。
CRACIが役立つところ： CRACIは出荷後も監視対象のSBOMを新たな脆弱性と照合し直し、セキュリティチームは検出結果をトリアージして修正を担当するチームに送ります。ポリシーゲートで、検出結果に応じてビルドをブロックできます。
- 7
脆弱性開示ポリシーを公開する
研究者や顧客が脆弱性を報告するための連絡先と、協調的な脆弱性開示ポリシーを用意します。アップデートが提供されたら、それによって修正された脆弱性に関する情報を公開します。
- 8
24時間以内の報告を訓練する
2026年9月11日以降、積極的に悪用されている脆弱性や重大インシデントについては、Single Reporting Platformを通じて24時間以内の早期警告、72時間以内の通知、最終報告が必要です。積極的な悪用を確認する担当者、報告を提出する担当者、ユーザーに知らせる担当者を指名してください。難しいのは、脆弱なコンポーネントを含む製品とリリースを数時間以内に把握することです。
CRACIが役立つところ： CRACIのビルド履歴からは脆弱な依存関係を含んでいたビルドが、インベントリビューからはどのバージョンがどの製品にデプロイされているかがわかります。さらにCRACIが、お客様が提出するCRAの通知の内容を準備します。
- 9
必須要件を開発に組み込む
既知の悪用可能な脆弱性がなく、セキュア・バイ・デフォルトの構成で出荷し、データとアクセスを保護し、攻撃対象領域を限定し、セキュリティアップデートを可能にします（該当する場合はデフォルトで自動）。セキュリティのテストとレビューを定期的に行います。
CRACIが役立つところ： CRACIはビルドがダウンロードできる対象にエグレスポリシーを適用し、ポリシーゲートで検出結果に応じてビルドをブロックできます。
- 10
文書を整え、適合性評価に合格する
附属書VIIに記載された技術文書をまとめ、カテゴリーに応じた適合性評価を実施し、EU適合宣言書を作成してCEマーキングを貼付します。文書と宣言書は、少なくとも10年間またはサポート期間のいずれか長い方の期間保管します。
CRACIが役立つところ： CRACIはSBOMを、そのコンポーネントで見つかった脆弱性を含めてCycloneDXまたはSPDXでエクスポートし、APIから技術文書用のSBOM、ネットワークトレース、来歴を取得できます。適合性評価と宣言は引き続きお客様のプロセスです。
要件とその裏付けとなるエビデンス
市場監視当局は技術文書の提出を求めることができます。各要件によって残すべきものと、CRACIがビルドからそれを記録する箇所をまとめました。
| 要件 | 根拠 | 保管すべきエビデンス | CRACIから |
|---|---|---|---|
| サイバーセキュリティリスク評価 | 第13条、附属書I | 製品ごとに文書化した評価 | お客様のプロセス |
| リリース時に既知の悪用可能な脆弱性がないこと | 附属書I 第I部 | リリースビルドの脆弱性の状況 | リリースビルドのSBOMをアドバイザリと照合、ポリシーゲート |
| ソフトウェア部品表 | 附属書I 第II部 | リリースごとの機械可読なSBOM | すべてのビルドから記録、CycloneDXまたはSPDX |
| サポート期間中の脆弱性対応 | 第13条、附属書I 第II部 | 検出結果、トリアージの判断、修正、アドバイザリ | 継続的な再評価、トリアージ、VEX |
| サードパーティ製コンポーネントのデューデリジェンス | 第13条 | 購入したソフトウェアを含むコンポーネントの記録 | ベンダーのSBOMを自社のものと一緒に監視、宣言ライセンス |
| 悪用された脆弱性と重大インシデントの報告 | 第14条 | 早期警告、通知、最終報告 | 提出する通知の内容を準備 |
| サポート期間 | 第13条 | 公開したサポート終了日 | お客様のプロセス |
| 技術文書と適合宣言 | 第13条、附属書VII | 10年間またはサポート期間にわたり保管 | 文書用のSBOMエクスポートとAPIデータ |
CRAの要件に関するよくあるご質問
CRAへの対応を始めるチームからよく寄せられる実務上の質問
製造業者に対するCRAの主な要件は何ですか？
サイバーセキュリティリスク評価に基づいて附属書Iの必須要件を満たすこと、SBOMを保持すること、少なくとも5年のサポート期間にわたって脆弱性に対応すること、積極的に悪用されている脆弱性と重大インシデントを報告すること、技術文書を保管すること、適合性評価に合格してCEマーキングを貼付することです。
何から始めればよいですか？
適用範囲と報告からです。CRAの対象となる製品を把握したうえで、積極的に悪用されている脆弱性について24時間以内の早期警告に対応できるようにしてください。報告義務は2026年9月11日から、すでに市場に出ている製品も含めて適用されています。それ以外の義務は2027年12月11日から適用されます。
CRAの技術文書には何を含めますか？
附属書VIIに記載されています。製品のサイバーセキュリティリスク評価、SBOM、製造業者による脆弱性対応に関する情報などが含まれます。少なくとも10年間またはサポート期間のいずれか長い方の期間保管し、市場監視当局から要求があれば提出します。
SBOMは公開しなければなりませんか？
いいえ。SBOMは技術文書の一部であり、市場監視当局から要求があった場合に提出するものです。規則は公開を義務付けていません。
CRAの適用に関する公式ガイダンスはありますか？
はい。2026年7月27日、欧州委員会は67の実例を含む法的拘束力のないガイダンスC(2026) 5252を公表しました。リモートデータ処理、フリーおよびオープンソースソフトウェア、大幅な変更、サポート期間、報告、リスク評価を扱っています。重要製品と重大製品のカテゴリーについては、実施規則（EU）2025/2392に記載されています。
小規模企業は異なる扱いを受けますか？
義務は同じですが、零細企業と小企業は24時間以内の早期警告の期限を守れなかった場合でも制裁金を科されません。また、欧州委員会のガイダンスは零細企業と中小企業を念頭に置いて作成されています。
ツールを導入すればCRAに準拠できますか？
いいえ。CRAへの対応は、リスク評価、適合性評価、宣言を含め、製造業者自身のプロセスです。CRACIは、そのプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。すべてのビルドからのSBOM、リリース後の脆弱性トラッキング、そしてCRAの通知です。
CRA対応に必要なエビデンスを手に入れる
CRACIがすべてのビルドからSBOMを記録し、出荷したものを監視し、お客様が提出するCRAの通知を準備する仕組みをご覧ください