サイバーレジリエンス法（CRA）が企業の脆弱性管理に及ぼす影響
クラウドセキュリティアライアンス（CSA）は、欧州における「クラウドコンピューティングのためのセキュリティガイダンス」や「クラウドコントロールマトリックス（CSA CCM）」の実装・啓発活動を通じて、欧州連合サイバーセキュリティ庁（ENISA）と連携してきた。
2026年5月18日、CSAラボ・スペースは、「ENISA CVE Root：多国籍企業における二元的な脆弱性ガバナンスの構築」と題するブログ記事を公開した（関連情報：ENISA CVE Root: Dual Vulnerability Governance for Multinationals（ https://labs.cloudsecurityalliance.org/research/csa-research-note-enisa-cve-root-dual-governance-20260518-cs/））。CSAラボ・スペースは、コミュニティ内のメンバーやグループが、クラウドセキュリティアライアンス（CSA）と連携して展開したい独立したプロジェクトのために用意されたスペースである。
[要約] 2025年11月、ENISAは、脆弱性識別子「CVE」のプログラムにおいて「管理権限組織（Root）」に昇格し、欧州独自の脆弱性統治レイヤーを確立した。これにより多国籍企業は、従来の米国主導（MITRE/NIST）に加えて欧州主導（ENISA）の「二元的な脆弱性ガバナンス」への対応を迫られる。特に、2026年9月11日に先行適用開始となる「欧州サイバーレジリエンス法（CRA）」により、対象製品のメーカーは悪用された脆弱性を24時間以内にENISAの単一報告プラットフォーム（SRP）へ報告する義務が生じる。企業は、NISTとENISA双方のデータベース（EUVD）を相互参照し、異なる報告期限や脅威コンテキストを調整できる新たな運用ワークフローの構築が必要である。
・[要点1] ENISAの管理権限組織昇格による二元管理の発生
・[要点2] 欧州サイバーレジリエンス法（CRA）による厳格な報告義務
・[要点3] 運用ワークフローとデータベースの統合の必要性
ENISAのCVE管理権限組織への昇格がもたらす変化
本ブログ記事は、以下のような構成になっている。
・背景
・セキュリティ分析
-欧州における並行的な脆弱性管理権限
-欧州脆弱性データベース（EUVD）：設計の意図と現在の限界
-CRA（サイバーレジリエンス法）の報告義務：動かせない期限
-文化面および運用面における摩擦
・推奨事項
-即座に講ずべきアクション（即時対応）
-短期的な緩和策
-戦略的検討事項
・CSAリソースとの整合
・参考文献
本ブログ記事によると、従来のCVEプログラムは、クラウドセキュリティアライアンスと連携している米国MITREを頂点とする階層構造であり、EUの規制や制度的枠組みを反映していなかったため、米欧双方の規制に対応する企業にとってガバナンスの不一致が課題となっていたとしている。
このような状況に対しENISAは、2024年1月、まず欧州のコンピュータセキュリティインシデント対応チーム（CSIRT）等が発見・報告した脆弱性を対象とするCVE採番機関（CNA）に認定された。並行してNIS2指令に基づき、米国立脆弱性データベース（NVD）を補完する「欧州脆弱性データベース（EUVD）」の開発を進め、2025年5月に完全運用を開始して技術的基盤を整えた。そして2025年11月、ENISAは単なる採番機関を超え、傘下のCNAを育成・監督する「Root CNA」へと昇格した。これにより、欧州の国家機関やCSIRTネットワークに属するCNAの監督権限がMITREからENISAへと移管され、欧州独自の脆弱性管理体制が確立された。
さらにENISAは、意思決定機関であるCVEプログラム理事会への参画を見据え、最高位の「TL-Root CNA」への昇格も視野に入れている。この構造的変化は、MITREが全体統括を維持しつつも、EU市場で活動する多国籍企業やグローバルITベンダーの脆弱性管理プロセスに直接的な影響を与えている。
欧米双方で事業展開する企業に求められる脆弱性の二元管理
CVEエコシステムの権限階層は、フラットではなく「階層レイヤー構造」と捉えるのが正確である。最上位のTL-Rootである米国MITREが全体を統括し、その下にCISAやJPCERT/CC、そして新たに加わったENISAなどの「プログラムレベルRoot」が位置し、各ドメインやベンダー固有の「CNA」、さらに「Sub-CNA」を監督する仕組みによって、グローバルな規模拡大と識別子の一貫管理を両立している。
ENISAのRoot昇格は、この構造に欧州独自のレイヤーを挿入した。これにより、ENISAのスコープ内にある欧州のCNA（全510組織中90以上が該当）は、MITREからENISA Rootへ自発的に移管できるようになった。すでに数組織が移行を完了または新規加入しており、今後移行が進むにつれ、各CNAのエスカレーションや調整ワークフローは、MITREのデフォルト基準ではなく、欧州の規制カレンダーやENISAの運用ペースに同期していくと予想される。
このような変化は多国籍企業に「構造的な非対称性」をもたらす。米欧双方に導入されている製品で脆弱性が発生した場合、CVE識別子自体は共通であるものの、管理プロセスはMITRE主導とENISA主導という2つの異なるガバナンスチェーンに同時並行で組み込まれる。結果として、企業の主要拠点の位置や影響を受ける加盟国に応じて、開示義務、メタデータの付与、法的な規制通知などの対応が二分化されることになる。
ENISAが開発した「欧州脆弱性データベース（EUVD）」は、米国のNIST NVDと同様にCVEレコードを集約し、CVSSスコアや欧州独自の脅威インテリジェンス等を付加する仕組みである。NIS2指令下の組織にとっては、EUの通知義務やENISAの既知の悪用された脆弱性（KEV）リストに直結する規制上の公式な基準となる。
しかし、現在の運用上、EUVDは実績のあるグローバルな情報源に比べ大幅な網羅性の遅れが指摘されている。本ブログの分析によれば、主要APIにおいてNVD等より5万件以上もCVEデータが不足しており、企業のセキュリティチームが単一の情報源として依存するには不十分だと指摘されている。そのため、EUVDが成熟するまでは、NVDとEUVDの双方を照合する「デュアル・データベースモデル」の採用が実務的に評価されている。
この二元管理は運用に複雑性をもたらすことになる。欧州の研究者が報告した脆弱性はNVDと異なるメタデータが付与される可能性があり、欧州特有の脅威を反映した悪用フラグは米CISAのKEVカタログとも乖離する可能性がある。結果として、NVDで低優先度とされる脆弱性が、EUVDでは欧州インフラへの攻撃を理由に高緊急度と評価される事態も起こるため、セキュリティチームはこれら乖離したシグナルを統合・調整できるツールやプロセスを備える必要があるとしている。
欧州サイバーレジリエンス法（CRA）とNIS2による厳格な報告義務
しかしながら、欧米双方で事業展開する企業にとって最も差し迫った課題は、ENISAのCVE Root昇格そのものよりも、同機関が運営を担う欧州サイバーレジリエンス法（CRA）の通知フレームワークへの対応である。CRA第14条に基づき、EU市場にハードウェア、ソフトウェア、接続サービスなどの「デジタル要素を持つ製品」を販売する製造企業は、2026年9月11日より、以下のような期限設定で、悪用された脆弱性や重大な影響を及ぼすセキュリティインシデントを報告する法的義務を負う。
・24時間以内: 悪用された脆弱性を覚知した後の「早期警戒通知」
・72時間以内: 詳細を網羅した「完全な通知」
・14日以内: 是正措置（パッチ等）が利用可能になった後の「最終報告」
さらにENISAは、これらの通知を受け付ける「単一報告プラットフォーム（SRP）」を構築・運営する任務を負っている。提出された報告は、製造元がEU域内に置く主要拠点の国における「国家CSIRTコーディネーター」およびENISAに、同時で共有される。
報告を受け取った国家CSIRTは、その製品が流通している他のEU加盟国のCSIRTや、関連する市場監視当局に対して遅滞なく情報を共有・分散する義務がある。ただし、特に機微な報告についてはセキュリティ上の理由から初期の共有を保留することが認められており、その場合もENISAに通知され、リスクがシステム全体に及ぶと判断されれば、ENISAの権限でより広範な共有を推奨することができる。
EU域内に「製品の製造基盤」と「自社のインフラ」の両方を持つ多国籍企業にとって、CRAの報告義務と、並行して走る「ネットワークおよび情報システム指令2（NIS2指令）」（第23条）の要件との相互作用は、運用の複雑さをさらに増大させることになる。
NIS2では、重要主体に対し、重大なインシデントの発生から24時間以内の初期報告と72時間以内の包括的評価を求めており、このタイムラインはCRAの製品脆弱性報告の時計とほぼ重なり合う。企業は発生した事象が、CRA（製品レベルの脆弱性、SRP経由でENISAへ）に該当するのか、NIS2（組織レベルのインシデント、加盟国の指定CSIRT経由）に該当するのか、あるいはその双方に同時に該当するのかを即座に判断し、どちらの報告チェーンも遅延させない仕組みを確立しなければならない。
これら2つの法的枠組みは、以下の通り、それぞれ独立していながらも相互に補完し合う強力なペナルティ構造を敷いている。
・NIS2指令：重要主体に対し、最高1,000万ユーロ、またはグローバル年間総売上高の2%のいずれか高い方の制裁金。
・サイバーレジリエンス法（CRA）：核心的義務（第14条の報告義務を含む）に違反した場合、最高1,500万ユーロ、またはグローバル年間総売上高の2.5%のいずれか高い方の制裁金。
この極めて高いペナルティの上限は、欧州一般データ保護規則（GDPR）の構造を模したものであり、EUの立法府が脆弱性の開示遵守を、単なる管理上の手続きではなく、最高レベルの規制義務として重く捉えている明確なシグナルと言えるとしている。
文化面および運用面の摩擦への対応がグローバル脆弱性管理の課題に
ENISAの権限昇格は、単なる組織構造や法規制の次元を超えて、EUが「脆弱性開示」という行為そのものをどのように捉えるかという、現在進行形の大きな文化的シフト（意識改革）を反映している。これに伴い、EU市場に関わるすべての組織は、その姿勢の根本的な転換を迫られることになる。
これまで多くの伝統的な産業セクターにおいて、脆弱性の開示は「防御的」あるいは「消極的」に扱われてきた。企業の法務チームは、企業のレピュテーションリスクや法的責任・損害賠償リスクへの懸念から、セキュリティ上の欠陥を公に認めることに対して極めて慎重であり、結果として形式的な脆弱性開示ポリシー（VDP）すら存在しないか、あっても形骸化しているケースが一般的であった。
しかし、NIS2指令および欧州サイバーレジリエンス法（CRA）の登場によって、この構図は一変した。これらの法制により、「協調的な脆弱性開示（CVD）」を、単なる推奨されるベストプラクティスから「明確な法的義務」へと昇格させた。特にCRAにおいては、附属書I（Annex I）に規定される必須のサイバーセキュリティ要件の一部として、製品の製造元に対し「協調的な脆弱性開示に関するポリシーを策定し、確実に実施・強制すること」を明確に義務付けている。
ENISAが2026年4月に発表した見解（関連情報：New CVE Numbering Authorities Under ENISA Root（https://www.enisa.europa.eu/news/new-cve-numbering-authorities-under-enisa-root））の中でも、この文化的・組織的な移行には相応の時間がかかることが認められている。特に、これまでセキュリティ研究者（ホワイトハッカーなど）のコミュニティと密接な関わりを持ってこなかったセクターにおいては、そのギャップが顕著になっている。具体的には、金融サービス、医療、産業用制御システム（ICS/OT環境）、そしてその他の重要インフラ分野が該当する。これらのセクターに属する企業の多くは、NIS2指令において「重要主体（必須または重要な組織）」に指定されており、インフラ運用者としての義務を負うと同時に、製品のサプライヤーとしてCRAの適用も受けるという、二重の網をかけられた状態にある。
これらの組織にとって、CRAが求める運用上の開示要件を満たすためには、単にITシステムや手順書をアップデートするだけでは不十分である。社内におけるセキュリティインシデントの上層部への報告や承認のプロセス自体に、本質的な変革を起こす必要がある。
従来のトリアージ（優先度判定）やインシデント対応のワークフローでは、外部への一切の通知・開示を行う前に、まず法務チームや広報（PR）チームによる綿密なリーガルチェックおよび対外コミュニケーションのレビューを挟むことが一般的であり、ここに多くの時間が費やされていた。しかしCRAの体制下では、脆弱性を覚知してから「24時間以内」に、ENISAのプラットフォームへ第一報（早期警戒通知）を送信完了していなければならない。
したがって企業は、従来の「リスクを隠蔽・遅延させる承認プロセス」を完全に排し、法的リスクを管理しつつも、24時間の時間制限内に自動的かつ確実にENISAへの通知を出力できる、極めて迅速でダイレクトな内部トリアージ体制を再設計することが求められるとしている。
欧米進出企業の運用ワークフローと脆弱性データベースの統合に向けて
最後に本ブログ記事では、多国籍企業が2026年9月の欧州サイバーレジリエンス法（CRA）先行適用までに講ずべき対策と戦略の推奨事項として、以下のように提示している。
・即時対応策
EU市場に上市している全製品の棚卸しを行い、SaaSなどの対象範囲を確認する。報告先となる国家CSIRTを決定するため、EU域内の「主要拠点」を早期に確定させる必要がある。また、脆弱性管理ツールを改修し、網羅性に遅れのあるEUVDとNVDの双方を相互参照して、データの乖離を検知できる体制を整える。
・短期的な緩和策
24時間以内の早期警戒通知に対応できるよう、従来の数日かかる承認フローを排したCRA準拠の協調的脆弱性開示ポリシー（VDP）を策定する。インシデント対応の手順書を更新し、NIS2（組織レベル）とCRA（製品レベル）の報告基準を明確に区別させ、法務や広報、セキュリティ部門間で承認権限を事前に合意しておく。また、欧州ベンダーのCNAがENISA Rootへ移管するかどうかも注視する。
・戦略的検討事項
EUVDの成長に伴い依存度を高める計画を策定する。さらに、ENISAが最高位の「TL-Root」へ昇格すれば、世界の脆弱性管理の基準自体が欧州主導で変化する可能性があるため、長期的な動向を追跡する必要がある。
なお、ENISAのCVE Root昇格と欧州の脆弱性ガバナンスの拡大に関しては、クラウドセキュリティアライアンスの基盤的なフレームワークと直接的に連動している。具体的には、以下の通りである。
・AIコントロールマトリクス（AICM）：
欧州サイバーレジリエンス法（CRA）の適用で新たなコンプライアンスの課題が生じやすい「AI製品やサービス」を対象に、サプライチェーンの整合性や脆弱性管理の管理策を提供する。脆弱性開示義務がAIモデルやインフラに拡大する中、AICMはCRAの技術要件とCSAのAIセキュリティ基準の双方を満たしているかを監査する構造的基盤となる。
・STAR（Security Trust Assurance and Risk）プログラム：
NIS2指令に準拠した管理策をカバーしており、CRAの適合性を証明する第三者保証メカニズムとしての活用が評価されている。企業はSTARレジストリを参照することで、CRA第14条の開示要件を満たす脆弱性管理の成熟度を確認できる。
・ゼロトラストガイダンス：
「侵入を前提（Assume Breach）」とし、継続的な検証を行う原則は、CRAが求める「後手に回らない積極的な脆弱性監視」に合致し、24時間・72時間以内の迅速な報告の実現を支える。
CSAジャパン関西支部メンバー
DevSecOps／サーバーレスWGリーダー
笹原英司