EU市場に投入される「デジタル要素を含む製品」に義務付けられるサイバーセキュリティ要求。 ギャップ分析から製品分類、技術文書、脆弱性管理、テストまで一貫してご支援します。
欧州サイバーレジリエンス法（Cyber Resilience Act：Regulation (EU) 2024/2847）は、ソフトウェア・ハードウェアを問わず、「デジタル要素を含む製品」全般を対象として、製品分野を横断的に適用されるEUのサイバーセキュリティ規則です。EU市場への上市には、設計・開発段階からのセキュリティ確保、脆弱性ハンドリング、SBOMの整備、適合性評価とCEマーキングが求められます。
DNVでは、製品・開発プロセス・文書化の状況に応じて、製品分類判定、ギャップ分析、適合性評価・文書化支援、脆弱性管理・SBOM対応、セキュリティテストを組み合わせ、完全適用（2027年12月）までの計画的な対応をご支援します。
CRAは、直接的・間接的にネットワークやデバイスへ接続しうる製品（組込み機器、IoT機器、産業機器、ソフトウェア製品など）を広く対象とします。適用の基準はEU市場への上市であり、EU域外の製造者にも義務が及ぶ域外適用のため、日本からEUへ製品を展開する企業も対象です。
違反時には最大1,500万ユーロまたは全世界売上高2.5%の制裁金が規定されており、対応は経営課題そのものです。
CRAは2024年12月に発効済みです。2026年9月から重大インシデント等の報告義務が先行して適用され、2027年12月11日にはすべての義務が完全適用されます。開発リードタイムを踏まえると、対応の着手時期は「いま」です。
適合性評価の方式（自己宣言／第三者評価）は製品分類により異なります。日程・細則は整合規格・実施規則の整備状況により更新される場合があります。
CRAでは製品のリスクに応じて分類が定められ、重要製品クラスI／クラスII、重要インフラ向けのクリティカル製品では、整合規格の適用や第三者（ノーティファイドボディ）による評価が求められる場合があります。自社製品がどの分類に該当するかの判定が、対応計画の出発点です。
附属書I Part I：製品のセキュリティ要求（デフォルト設定、アクセス制御、暗号化、攻撃面の最小化など）
附属書I Part II：脆弱性ハンドリング要求（SBOM、パッチ無償提供、脆弱性開示ポリシーなど）
附属書II：ユーザー向け情報・説明書 附属書VII：技術文書の内容
対象範囲の広さと要求の多層性から、多くの企業で「どこから手を付けるか」が最初の壁になります。開発・品質保証・法務・サプライチェーンにまたがる横断課題です。
自社製品がCRAの対象か、どの分類（クラスI/II）に該当するか判断できていない。
附属書Iの必須要求事項と現行の開発プロセス・製品仕様のギャップを把握できていない。
SBOMの生成・管理体制がなく、OSS・サードパーティ部品の脆弱性を追跡できない。
サポート期間中のパッチ提供・脆弱性開示・インシデント報告の運用体制（PSIRT）が未整備。
適合性評価・CEマーキングに必要な技術文書・テスト証跡の水準がわからない。
RED・UN-R155・IEC 62443など他の法規・規格との重複対応を整理できず、工数が膨らむ。
完全適用までに計画的に対応を進めるための、組織が取り組むべき標準的な６つのステップを示しています。
自社製品がデジタル要素を備えた製品（PDE）に該当するかを棚卸しし、スマホアプリ等のソフトウェアを含むCRA適用可否と、EU域外事業者にも及ぶ域外適用の有無を確認する。
製品のサイバーセキュリティリスク評価を実施し、その結果を附属書I（Annex I）Part Iのa〜mに定める必須要求事項へ展開して、充足状況と対応方針を明確にする。
セキュアバイデフォルトの初期設定をはじめ、セキュリティアップデート機構、認証・アクセス制御、暗号化等の対策を製品のセキュア設計として実装する。
ソフトウェア部品表（SBOM）の生成・管理と、脆弱性開示ポリシー（VDP）に基づく報告受付窓口を整備し、PSIRTによる脆弱性監視・パッチ提供を継続的に運用する。
積極的に悪用される脆弱性や重大インシデントの認知から24時間以内の早期警告、72時間以内の届出、最終報告に至る当局報告フローと、社内の認知・エスカレーション体制を整備する。
附属書VIIに沿った技術文書とEU適合宣言書（DoC）を整備し、適合性評価を経てCEマーキング表示の準備を行う。
規制・認証の専門家と、組込み・IoT領域のセキュリティテスト実務者が連携し、分類判定から適合宣言まで一貫してご支援します。各サービスのSTEP タグは「05 / STEPS」の6つのステップとの対応を示します。
CRAの義務は製造者だけでなく、輸入事業者・販売事業者にも及びます。EU市場に関わるすべての企業をご支援します。
CRA対応の進め方に関する概要相談から、製品分類の判定、ギャップ分析、SBOM・脆弱性管理体制の構築、セキュリティテスト、技術文書・適合宣言の支援まで。まずはお気軽にお問い合わせください。