CRA

Cyber Resilience Act（CRA、欧州サイバーレジリエンス法）は、デジタル要素を含む製品に対するサイバーセキュリティ要件を定める欧州連合（EU）の規則です。

最終更新日：2026年11月11日

Cyber Resilience Actとは

Cyber Resilience Act（CRA、欧州サイバーレジリエンス法）は、デジタル要素を含む製品に対して義務的なサイバーセキュリティ要件を導入する、欧州連合（EU）の包括的な規則です。2024年に採択されたCRAは、ハードウェア製品とソフトウェア製品のセキュリティを、そのライフサイクル全体を通じて向上させることを目的としています。

主な目的

デジタル要素を含む製品を、設計段階から、かつデフォルトで安全なものにする
継続的なセキュリティアップデートと脆弱性管理のための枠組みを構築する
SBOM（ソフトウェア部品表、Software Bill of Materials）を含む透明性の要件を定める
製品のセキュリティについてメーカーに責任を負わせる

適用対象

CRAは、EU市場に投入されるデジタル要素を含む製品のメーカー、輸入業者、販売業者に適用されます。これにはソフトウェア、ハードウェア、IoTデバイスが含まれます。EUでこうした製品を販売・流通させる組織は、CRAの要件に準拠する必要があります。

タイムライン

CRAには、準拠のための移行期間が設けられています。組織は、期限までに要件を満たせるよう、今から準備を始める必要があります。主な期日には、適合性評価の義務や、段階的に適用される報告要件が含まれます。2026年9月11日以降、メーカーは悪用されている脆弱性と重大インシデントをSingle Reporting Platformを通じて報告しています。