機械メーカーのためのサイバーセキュリティ
機械は今、コントローラー、ディスプレイ、テレマティクスユニット、コンパニオンアプリを搭載して出荷され、その多くはサプライヤーがビルドしたものです。2027年からは機械規則とCyber Resilience Actの両方が、各機械にどのソフトウェアが載っているかを把握し、それを何年も安全に保つことを求めます。CRACIは、すべてのソフトウェアビルドに何が入るかを記録します。
2つの規則、1つの問い：機械にどのソフトウェアが載っているか
2027年からは、コントローラー、オペレーター用ディスプレイ、データ接続のいずれかを備えた機械は、2つのEU規則の対象になります。どちらも同じ問いから始まります。この機械にはバージョンごとにどのソフトウェアが載っていて、その中には何が入っているのか、という問いです。
- 積極的に悪用されている脆弱性と重大インシデントに関するCyber Resilience Actの報告義務が適用されます。
- 機械規則（EU）2023/1230が適用され、機械指令に置き換わります。
- Cyber Resilience Act（EU）2024/2847が全面的に適用されます。
機械規則
附属書IIIの必須安全衛生要件のうち、2つがサイバーセキュリティを扱っています。
- 1.1.9、改ざん・破損からの保護。別の機器を直接または遠隔で機械に接続しても、危険な状況につながってはなりません。機械が必須安全衛生要件に適合するうえで重要なソフトウェアとデータは、特定したうえで、偶発的または意図的な改ざん・破損から保護しなければなりません。機械は、安全に動作するために必要なインストール済みソフトウェアを識別し、その情報を常に提供しなければなりません。さらに、そのソフトウェアやその設定に対する正当または不正な介入の証拠を収集しなければなりません。
- 1.2.1、制御システムの安全性と信頼性。制御システムは、危険な状況につながる第三者による合理的に予見可能な悪意ある試みに耐えなければなりません。1.2.1(f)により、機械の上市後にアップロードされた安全ソフトウェアのバージョンと介入について、アップロードから5年間、追跡ログを保持しなければなりません。
Cyber Resilience Act
データ接続を備えた機械、または単体で販売されるその部品は、デジタル要素を含む製品です。製造業者は、組み込むサードパーティーのコンポーネントについてデューデリジェンスを行い、少なくともトップレベルの依存関係を網羅するSBOMを作成し、サポート期間中は脆弱性に対処しなければなりません。サポート期間は、製品の想定使用期間がそれより短い場合を除き、少なくとも5年です。技術文書は少なくとも10年間、またはサポート期間のいずれか長い方の期間保管します。
| 要件 | 機械規則 | Cyber Resilience Act | ソフトウェア側に必要なもの |
|---|---|---|---|
| インストール済みソフトウェアの把握 | 1.1.9：機械は安全な動作に必要なソフトウェアを常に識別する | 少なくともトップレベルの依存関係を網羅するSBOM | 各ソフトウェアバージョンのすべてのコンポーネントの記録 |
| 改ざん・破損からの保護 | 1.1.9と1.2.1：安全ソフトウェアを保護し、悪意ある試みに耐える | 製品に対する必須サイバーセキュリティ要件 | 把握済みのコンポーネントと、汚染された依存関係が入り込めないビルド |
| 変更とバージョンの記録 | 1.2.1(f)：上市後にアップロードされた安全ソフトウェアのバージョンのログ | 上市した製品の技術文書 | ビルドごと、リリースごとのバージョン履歴 |
| 脆弱性への対処 | そのような名称では規定されていない | サポート期間中の脆弱性対応、2026年9月11日からの報告 | 出荷したコンポーネントの新たなアドバイザリに対する監視 |
| 記録の保管 | 追跡ログ：各アップロードから5年間 | 技術文書：少なくとも10年間またはサポート期間 | 技術文書にエクスポートしたSBOM |
CRAへの適合で機械規則もカバーできますか？
自動的には満たしません。Cyber Resilience Actは、機械規則への適合推定を与えていません。その前文53は、CRAの必須要件を満たすことで、改ざん・破損からの保護と制御システムの安全性・信頼性に関する機械規則の要件への適合が容易になり得るとしています。同時に、製造業者がそれを、たとえばリスクアセスメントの後に整合規格を適用することで実証しなければならないこと、そして両規則の適合性評価手続きが引き続き適用されることも述べています。
1.1.9のために作成中の整合規格は、EN 50742（Safety of machinery – Protection against corruption）です。2026年11月時点では最終草案FprEN 50742の段階にあり、1.1.9と1.2.1の関連項目を扱っています。最終版の参照がEU官報に掲載されるまでは、適合推定を与えません。EN ISO 12100のリスクアセスメントとIEC 62443のセキュリティの考え方を組み合わせ、IEC 62443-4-1、IEC 62443-3-3、IEC 62443-4-2を一貫して適用することを、保護目標を満たす同等の方法として認めています。IEC 62443-4-2は、制御システムのコンポーネントに対する技術的セキュリティ要件を、セキュリティ能力レベルごとに定めた規格です。ドイツでは、2026年7月の試験原則GS-IFA-M25が、改ざん・破損からの保護を66の試験基準に落とし込み、prEN 50742の用語を使っています。そのひとつT46は、製品が求めに応じて、インストールされたソフトウェアのバージョンと構成を提示できることを求めています。すべての構成についてこれに答えるには、各ソフトウェアバージョンに何が含まれているかの記録が必要です。
機械規則には独自の推定があり、それは別の経路を通ります。サイバーセキュリティ法、規則（EU）2019/881に基づいて採択されたEUサイバーセキュリティ認証スキームです。そのようなスキームに基づく証明書または適合声明は、1.1.9と1.2.1の要件をカバーする範囲で、それらへの適合を推定させます。
つまり、1つのリスクアセスメントと1組のエビデンスで両規則に対応できますが、適合はそれぞれに対して示します。機械にデータ接続があるなら、両方を見据えて計画してください。SBOM、脆弱性の記録、アップデート履歴といったソフトウェアのエビデンスが、両者に共通する部分です。
2026年1月、機械業界の団体は1.1.9と1.2.1(f)の延期を求め、2026年3月にはCRAの適用日である2027年12月11日からの適用を求めました。これは要望であって法律ではありません。2026年11月時点で延期は採択されていません。このページの日付は、規則に定められた日付です。
対象となる機械とソフトウェア
- 建設機械、マテハン機器、鉱山機械、産業機械は機械規則の対象となり、機械またはその部品にデータ接続がある場合はCRAの対象にもなります。
- 農林業用トラクターのうち規則（EU）No 167/2013の対象となるものは、搭載される機械を除き、機械規則の対象外です。CRAの除外リストにはこの規則が挙げられていないため、コネクテッドなトラクターはCRAの対象になり得ます。
- 道路車両のうち規則（EU）2019/2144に基づいて型式認証されたものは、CRAの対象外です。
- 単体で販売されるコンポーネント。CRAは、個別に上市されるソフトウェアとハードウェアのコンポーネントにも適用されます。ECUやテレマティクスユニットを単体で販売するサプライヤーは、それ自体がCRA上の製造業者です。ユニットが機械に組み込まれるだけの場合は、機械メーカーが機械全体について義務を負い、サプライヤーのコンポーネントについてデューデリジェンスを行わなければなりません。
これは一般的な情報であり、法的助言ではありません。自社製品の分類はご自身で確認してください。
1台の機械の中でも、ソフトウェアの出どころはさまざまで、その中身を確実に言えるのは、そのソフトウェアをビルドするチームだけです。機械メーカーから聞くところでは、ベアメタルのECUにはオープンソースがほとんど含まれない一方、Linux、Android、Windowsのソフトウェアには多く含まれています。
| ソフトウェア | 典型的な出どころ | オープンソースの割合 | 信頼できるSBOMを作れるのは誰か | CRACIの役割 |
|---|---|---|---|---|
| 機械コントローラーのアプリケーション | 自社またはサプライヤー | さまざま | それをビルドするチーム | Linux上のGitHub Actionsでビルドする場合 |
| ECUファームウェア（油圧、ステアリング、動力） | サプライヤー | 通常は低い：プロプライエタリなコードとモデルから生成されたコード | サプライヤー | 直接は対象外：CRACIに追加したサプライヤーのSBOMを通じて |
| LinuxのディスプレイまたはHMIのイメージ | 自社またはサプライヤー | 高い | イメージをビルドするチーム | 対象：Yoctoをはじめとする組み込みLinuxのビルド |
| テレマティクスゲートウェイ | 自社またはサプライヤー | 高い | それをビルドするチーム | 対象：GitHub Actionsでビルドする場合 |
| 診断アプリとコンパニオンアプリ | 自社 | 高い | アプリチーム | npm、PyPI、Go、Cargoのビルドは対象。GradleでビルドするAndroid、iOS、Windowsのアプリは現時点では対象外 |
| クラウドバックエンド | 自社 | 高い | サービスチーム | 対象：GitHub Actionsでのビルド |
機械がコンシューマー機器より難しい理由
少量多品種。機械メーカーは何百ものプラットフォームを市場に出し、それぞれを年に数台しか販売せず、多くの機械を受注生産で構成することがあります。構成ごとにソフトウェアの組み合わせが異なるため、製品ラインごとのSBOMよりも、ビルドごとのSBOMが重要になります。
長い製品寿命。機械は10年以上使われ続けますが、その間にサプライヤーは入れ替わり、廃業することもあります。ソフトウェアバージョンに何が入ったかの記録は、何年も後には再構成できないため、ビルド時に作成しておく必要があります。
サプライヤーのソフトウェアが大半を占め、そのSBOMの品質はしばしば低い。コンポーネントが欠けている、パッケージURLもCPEもない、ライセンスもハッシュもない、手書きでスキーマ検証に通らない、といったサプライヤーのSBOMの話を耳にします。書き込み済みのECUのバイナリ解析は一時しのぎにすぎず、中身を記録するのではなく推測します。
リスクはコネクテッドな層にある。ECUのロジックの多くはモデルから生成され、オープンソースはほとんど含まれません。オープンソースとネットワークへの露出は、Linux、コネクティビティ、アプリの層に集中しているため、まずそこに力を注いでください。
例として、架空のホイールローダーのプラットフォームのソフトウェアスタックを、クラウドからECUまで示します。
- クラウドバックエンドとコンパニオンアプリ自社開発。大部分がオープンソースで、ネットワークに面している。Cyber Resilience Act。
- テレマティクスゲートウェイ組み込みLinux、大部分がオープンソースで、モバイルネットワークに接続。Cyber Resilience Act、そしてリモート接続については1.1.9。
- オペレーター用ディスプレイUIフレームワークを含む組み込みLinuxイメージ、大部分がオープンソースで、機械のバスとサービスツールに接続。Cyber Resilience Actと1.1.9。
- 機械コントローラーサプライヤーのプラットフォーム上の自社アプリケーションで、安全に関わる。1.1.9と1.2.1、そして接続経由で到達できる場合はCyber Resilience Act。
- 油圧、ステアリング、エンジンのECUサプライヤーのファームウェアで、プロプライエタリかつモデルから生成され、オープンソースはわずかで、安全に関わる。1.1.9と1.2.1。Cyber Resilience Actは機械を通じて適用。
オープンソースとネットワークへの露出は上位3つの層にあり、通常は自社のビルドパイプラインがあるのもそこです。そこから始めてください。
準備の進め方
機械上でのソフトウェアの識別や介入ログといった機械の機能は、機械の設計の一部です。以下のステップは、その中に入るソフトウェアを対象とします。
- 機械プラットフォームごとにソフトウェアを棚卸しする. 各プラットフォームと構成に載るすべてのソフトウェアを一覧にし、安全に関わるものに印を付けます。これが、安全な動作に必要なソフトウェアを機械が識別することを求める1.1.9の出発点です。
- 自社でビルドするものと組み込むものを分ける. 自社のチームがビルドするソフトウェアと、サプライヤーから届くソフトウェアでは、必要なエビデンスの経路が異なります。前者は自社で記録を作成し、後者は要件を定めて受け取ったものを確認します。
- 自社ソフトウェアのすべてのリリースビルドを記録する. すべてのリリースビルドからSBOMを作成してバージョンごとに保持し、サポート期間全体を通じて新たな脆弱性を監視します。
- サプライヤーのSBOMに最低基準を設ける. パッケージURLまたはCPE、ライセンス、ハッシュなど、必要な形式とフィールドを取り決め、納品物はすべて検証し、通らなければ差し戻します。サプライヤーが顧客からのSBOM要求にどう応えるかをご覧ください。
- 機械の寿命に合わせて保管を計画する. CRAの技術文書は少なくとも10年間またはサポート期間のいずれか長い方の期間、1.2.1(f)の安全ソフトウェアのログは各アップロードから5年間保管します。プロジェクトの期間ではなく、機械の寿命に合わせて計画してください。
- 脆弱性対応と報告を運用する. 積極的に悪用されている脆弱性と重大インシデントに関するCRAの報告義務は、2026年9月11日から適用されています。誰が検出結果をトリアージし、誰が各修正を担当し、誰が報告するかを決めておきます。
- ビルドそのものを堅牢にする. 各ビルドを、必要なソースにしか到達できない隔離された環境で実行し、侵害された依存関係がソースコード、シークレット、リリースに到達できないようにします。
CRACIの役割
CRACIは、GitHub Actionsのビルドを自社のランナーで実行し、それぞれに何が入るかを記録します。機械メーカーにとっては、自社のチームがビルドするソフトウェアと、収集したサプライヤーのSBOMが対象になります。
自社でビルドする機械ソフトウェアのビルド記録
コントローラーのサービスや、LinuxのディスプレイとテレマティクスのイメージをYoctoをはじめとする組み込みLinuxのビルドも含めて、x86-64またはネイティブARM64、最大32vCPUのCRACIのGitHub Actionsランナーで実行できます。ビルドの実行中、CRACIは、どのレシピやロックファイルにも載らない隠れた依存関係を含め、ビルドが取り込むすべてのパッケージとファイルを記録し、各ジョブのSBOMに完全性の状態を付けます。core-image-satoのビルドでは、CRACIのSBOMにはYocto自身のSBOMに含まれるすべてのコンポーネントに加え、Yoctoが見逃した88件が含まれ、653個のRustクレートバージョンそれぞれにパッケージURLが付いていました。CRACIでのYoctoビルドについて詳しくはこちら。
サプライヤーのSBOMも自社のものと並べて
ECU、ディスプレイ、テレマティクスのサプライヤーのSBOMを追加すれば、購入したコンポーネントも自社でビルドしたソフトウェアと並べて監視されます。サプライヤーのLinuxスタックに新たな脆弱性が見つかったときも、自社のものと同じ記録に表示されます。
技術文書のためのエビデンス
CRACIは、技術文書に必要なソフトウェアサプライチェーンのエビデンスを提供します。推移的依存関係、宣言されたライセンス、コンポーネントで見つかった脆弱性を含むCycloneDXまたはSPDX形式でエクスポートするビルド時SBOM、そして脆弱性の記録とビルド履歴です。CRAの対象となる機械については、CRACIがCRA通知の内容を準備し、お客様の社内の担当者がSingle Reporting Platformを通じて提出します。適合性評価、EU適合宣言、CEマーキングは、製造業者であるお客様の役割として残ります。
必要な接続先にしか到達できないビルド
各ジョブは独自の隔離された仮想マシンで、ジョブ開始前に検証されフェイルクローズするエグレスポリシーのもとで実行されます。デフォルト拒否のポリシーなら、ビルドが到達できるのは自社のパッケージソースだけで、それ以外のホストへの接続はブロックされてアラートが上がります。
ECU、ディスプレイ、テレマティクスユニットのサプライヤーの方へ
機械メーカーは今や、購入するソフトウェアについて、パッケージURLまたはCPE、ライセンス、ハッシュ、検証を通る形式などのSBOM要件を定め、通らないファイルは差し戻しています。GitHub Actionsでビルドしているなら、CRACIはビルドそのものからSBOMを作成するため、ロックファイルに載らないコンポーネントも含め、実際にリリースに入ったものが、すべてのコンポーネントのパッケージURLと宣言されたライセンスとともに一覧になります。エクスポートは、顧客が求めるフィールドの一覧全体と照らし合わせて確認してください。顧客からのSBOM要求への対応について詳しくはこちら。
CRACIが適さない場合
CRACIは自社でビルドするソフトウェアに適しています。次のような場合には適しません。
- サプライヤーのECUを組み込むだけで、自社ではソフトウェアをビルドしない機械メーカーには向きません。CRACIはビルドを記録するもので、他者がビルドしたバイナリのSBOMは作成できません。ソフトウェアのほぼすべてがサプライヤーのハードウェアに書き込まれた状態で届くなら、必要なのはサプライヤーへのSBOM要件、SBOMの検証、そして一時しのぎとしてのバイナリ解析ですが、CRACIはバイナリ解析を行いません（バイナリ解析とビルド記録の比較を参照）。CRACIは、サプライヤーのビルドを通じて、またサプライヤーから受け取ったSBOMを監視することで役立ちます。
- GitHub Actions以外でビルドされる、またはWindowsやmacOSでビルドされるベアメタルやRTOSのファームウェアには向きません。CRACIは現在、LinuxランナーでGitHub Actionsのジョブを実行しています。GitLab CIやJenkinsなどの他のCIシステム、そしてWindowsとmacOSのランナーはロードマップに掲載されています。
- GradleでビルドするAndroidのコンパニオンアプリやJavaのサービスには向きません。MavenとJavaはロードマップに掲載されており、現時点では対応していません。iOSアプリにはmacOSランナーが必要で、これもロードマップに掲載されています。
- 何年も前にビルドされたソフトウェアを載せて、すでに現場で稼働している機械には向きません。CRACIはビルドを実行時に記録します。
- 機械側の制御機能ではありません。機械上のインストール済みソフトウェアの識別、介入の証拠の収集、追跡ログの保持は、1.1.9と1.2.1に基づく機械の機能です。CRACIはそれらを提供せず、ファームウェアに署名せず、適合性評価も実施しません。
- 単独での長期アーカイブではありません。ビルド記録はプランの保持期間だけ保管されます。10年という期間に備えて、SBOMを技術文書にエクスポートしてください。
機械のサイバーセキュリティを解説
機械規則、CRA、機械に載るソフトウェアに関するよくあるご質問
EUの機械規則はいつから適用されますか？
2027年1月20日からです。規則（EU）2023/1230は、この日に機械指令に置き換わります。最初に公表された本文では2027年1月14日とされていましたが、正誤表で2027年1月20日に訂正されました。それ以降にEU市場に出される機械は、附属書IIIの1.1.9と1.2.1にあるサイバーセキュリティ関連の要件を含め、必須安全衛生要件を満たさなければなりません。
機械規則のサイバーセキュリティ要件とは何ですか？
附属書IIIの1.1.9、改ざん・破損からの保護：別の機器を接続しても危険を生じさせてはならず、安全上重要なソフトウェアとデータを保護し、機械は安全に関わるソフトウェアを常に識別し、介入の証拠を収集しなければなりません。附属書IIIの1.2.1：制御システムは合理的に予見可能な悪意ある試みに耐え、機械の上市後にアップロードされた安全ソフトウェアのバージョンについて追跡ログを保持しなければなりません。
Cyber Resilience Actは機械に適用されますか？
はい。機械またはその部品がデジタル要素を含む製品である場合、つまり実際にはデータ接続を備えている場合に適用されます。CRAは機械を除外していません。報告義務は2026年9月11日から適用されており、規則は機械規則の11か月後の2027年12月11日から全面的に適用されます。
機械がCRAに適合していれば、機械規則にも適合しますか？
自動的には適合しません。両者の間に適合推定はありません。CRAは、その要件を満たすことで1.1.9と1.2.1への適合が容易になり得るとしていますが、製造業者がそれを実証しなければならず、両方の適合性評価手続きが適用されます。機械規則独自の推定は、EUサイバーセキュリティ認証スキームを通じて得られます。1組のエビデンスで両方に対応できます。
機械メーカーにSBOMは必要ですか？
CRAの対象となる機械なら、必要です。CRAは、少なくともトップレベルの依存関係を網羅するSBOMの作成を製造業者に求めています。機械規則はSBOMを名指ししていませんが、1.1.9は安全な動作に必要なソフトウェアを機械が識別することを求めており、すべてのソフトウェアバージョンの記録がなければ、多くの構成にわたってそれを正確に保つのは困難です。
サプライヤーのECUに入っているソフトウェアの責任は誰にありますか？
役割は異なりますが、双方にあります。ECUを単体で上市するサプライヤーは、そのコンポーネントについてCRA上の製造業者です。機械メーカーは機械全体に責任を負い、組み込むコンポーネントについてデューデリジェンスを行わなければなりません。そのため、機械メーカーは今、定められた基準を満たすSBOMをサプライヤーに求めています。
トラクターは機械規則とCRAのどちらの対象ですか？
規則（EU）No 167/2013の対象となる農林業用トラクターは、搭載される機械を除き、機械規則の対象外です。CRAの除外にはこの規則が挙げられていないため、コネクテッドなトラクターはCRAの対象になり得ます。自社製品の分類はご自身で確認してください。これは一般的な情報であり、法的助言ではありません。
CRACIはどのCIシステムとビルドマシンに対応していますか？
CRACIは、x86-64とARM64、1〜32vCPUのLinuxランナーでGitHub Actionsのジョブを実行します。GitLab CIやJenkinsなどの他のCIシステム、そしてWindowsとmacOSのランナーはロードマップに掲載されています。
機械ソフトウェアのビルドに何が入るかを確認
デモを予約いただければ、コントローラー、ディスプレイ、テレマティクスのビルドが取り込むすべてのコンポーネントと、そのうちどれが脆弱かをお見せします
デモを予約