単一報告プラットフォーム（SRP）

単一報告プラットフォーム（Single Reporting Platform、SRP）は、サイバーレジリエンス法（Cyber Resilience Act、CRA）が求める通知、つまり自社製品に影響する、悪用されている脆弱性と重大インシデントの通知を製造業者が送るためのウェブポータルです。EUサイバーセキュリティ機関であるENISAが、規則（EU）2024/2847の第16条に基づいて運営しています。CRAの報告義務が適用され始めた2026年9月11日に運用を開始しました。

何を、いつまでに通知するか

製造業者が通知するのは2種類の事象です。デジタル要素を持つ製品における悪用されている脆弱性と、そうした製品のセキュリティに影響する重大インシデントです。どちらも規則で定義されています。それぞれ3段階で進みます。

段階	期限	対象
早期警告	認識してから24時間以内	両方
通知	認識してから72時間以内	両方
最終報告	修正または緩和策が利用可能になってから14日以内	悪用されている脆弱性
最終報告	通知から1か月以内	重大インシデント

期限はポータルではなくCRA第14条が定めており、ENISAのSRP FAQもそれを繰り返しています。この義務は、CRAが全面適用された後に市場に出る製品だけでなく、すでに市場にある製品にも及びます。第14条は、影響を受けるユーザーへの通知も製造業者に求めており、これは製造業者自身が行います。プラットフォームが届くのは当局であり、顧客ではありません。

通知を受け取るのは誰か

製造業者は各通知を一度だけ提出します。通知は、製造業者の主たる事業所がある加盟国で調整役に指定されたCSIRTとENISAに、特に例外的な状況を除いて同時に届きます。調整役は、製品が流通している他の加盟国のCSIRTに通知を転送します。ENISAは指定された調整役の一覧をSRPのページで公開しています。

通知された脆弱性が修正されると、ENISAは製造業者と合意のうえで、欧州脆弱性データベース（EUVD）で公開することがあります。EUVDとCVE IDの関係はCVEの項目で説明しています。

アクセスの仕組み

製造業者は、Assigned Representatives（AR）を通じてプラットフォームを利用します。各ARは、多要素認証を有効にした個人のEU Loginアカウントでサインインします。製造業者ごとにPrimary ARが1人おり、最大20人のSecondary ARを招待でき、これらのARが製造業者の通知を提出・更新できます。複数のグループ会社を持つ製造業者は、どの事業体の通知を誰が行うかを社内で調整します。

プラットフォームがまだできないこと

2026年11月時点で、SRP FAQによれば次のとおりです。

• APIはありません。 初期リリースにはアプリケーションプログラミングインターフェースがないため、通知はウェブインターフェースから入力します。ENISAは、APIは今後の段階で検討される可能性があり、組織は自社内の報告ワークフローを自動化できるとしています。
• 任意の報告はまだできません。 第15条に基づく任意の通知（たとえば悪用されていない脆弱性の通知）は、今後の段階で予定されています。現時点では義務的な通知のみを受け付けています。

ENISAはこの初期版を初期運用能力と位置づけ、拡張する予定です。運用開始の発表によれば、オープンソースソフトウェアのスチュワード（open-source software stewards）の報告義務は2027年12月11日から適用されます。

通知に備える

24時間は悪用を認識した時点から始まるため、作業の大半は誰かがログインする前に行われます。

• 必要になる前にAssigned Representativesを登録し、別のタイムゾーンに代理を置きます。
• 脆弱性を「悪用されている」とみなす判断を誰がどれだけ速く下すかを、事前に決めておきます。
• 製品ごと、バージョンごとにコンポーネントの記録を持ち、影響を受ける製品とバージョンを数時間以内に特定できるようにします。ビルド時SBOMとそのCVEの影響を受けているかを参照してください。
• プラットフォームは送信しないため、影響を受けるユーザーへの通知文を準備しておきます。
• 提出した文面とタイムスタンプを自社の記録として保管します。

CRACIはCRA通知（早期警告、通知、最終報告）の内容を準備します。提出は製造業者の担当者がSingle Reporting Platformを通じて行います。

規則全体については、CRAとは、CRAガイド、用語集のCRAを参照してください。製品セキュリティチームが日々これにどう対応するかはPSIRTで説明しています。