欧州サイバーレジリエンス法（CRA）の報告義務をめぐるPCIRTとCCIRTの関係
2026年9月10日、CSAラボ・スペースは、「欧州サイバーレジリエンス法（CRA）の報告時計が動き出す」と題するリサーチノートを公開した（関連情報：EU Cyber Resilience Act’s Reporting Clock Starts（https://labs.cloudsecurityalliance.org/research/csa-research-note-eu-cra-vulnerability-reporting-20260910-cs/））。CSAラボ・スペースは、コミュニティ内のメンバーやグループが、クラウドセキュリティアライアンス（CSA）と連携して展開した独立したプロジェクトのために用意されたスペースである。
[要約] 欧州サイバーレジリエンス法（CRA）第14条に基づき、2026年9月11日よりデジタル製品の製造事業者は悪用された脆弱性や深刻なインシデントの報告義務を負う。必須要件等の本格適用（2027年12月11日）に先立ち報告体制が稼働するため、初期評価で「合理的な確信」を得た時点から24時間以内の報告が要求される。調査やパッチ完了を待つのは違法となる。単一報告プラットフォーム（SRP）は事前登録を推奨しないため、事業者は事前に個人用「EU Login」を作成し、社内エスカレーションフローを整備することが重要となる。
・[要点1] 製品セキュリティ要求に先行する脆弱性報告義務の開始
・[要点2] 単一報告プラットフォーム（SRP）の稼働と運用上の制限
・[要点3] 企業の準備不足と迅速な対応態勢の整備が求められる
「欧州サイバーレジリエンス法（CRA）の報告時計が動き出す」は、以下のような構成になっている。
・主要なキーメッセージ
・背景
・セキュリティ分析
・推奨事項・対策
・CSAリソースとの整合性
・参考文献
【主要なキーメッセージ】
EUのサイバーレジリエンス法（Regulation (EU) 2024/2847：CRA）第14条に基づく「インシデントおよび脆弱性の報告義務」が、2026年9月11日より正式に適用開始となった。EU市場に向けてデジタル要素を含む製品（ハードウェアおよびソフトウェア）を製造・供給する企業は、悪用されている脆弱性や重大なセキュリティインシデントを認知してから24時間以内に報告しなければならない。
しかし、この報告義務（第14条）の適用は、製品設計段階からのセキュリティ確保（Secure by Design）をはじめとする「本質的セキュリティ要件」の全面適用日である2027年12月11日よりも15か月以上前倒しで開始された。この結果、企業は「脆弱性を未然に防ぐエンジニアリング体制やプロセスの構築（法的義務化）が完了する前に、自社製品の問題を規制当局へ迅速に開示しなければならない」という、実務上の大きな乖離に直面している。
さらに、報告窓口となる欧州連合サイバーセキュリティ庁（ENISA）の単一報告プラットフォーム（SRP: Single Reporting Platform）の本格運用開始は2026年8月中旬と土壇場まで遅れ、未検証のアカウントに対して通知回数上限が設定されるなど、運用の制約も発生している。
EU市場にネットワーク接続型機器やソフトウェアを提供する企業の最高情報セキュリティ責任者（CISO）は、単なる中長期的な安全設計開発の枠組みを超え、CSIRT（コンピューター緊急対応チーム）への事前登録、24時間以内の一次評価およびエスカレーション体制の確立に緊急で取り組む必要がある。
【背景】
サイバーレジリエンス法（CRA）の法的位置づけと対象範囲
2024年12月に発効したCRAは、EUにおけるハードウェアおよびソフトウェア製品を対象とした初の「横断的サイバーセキュリティ規制」である。NIS2指令が重要インフラ等、コーポレートレベルのセキュリティインシデント対応チーム（CSIRT）が窓口となる「事業者の運用セキュリティ」を規制するのに対し、CRAは製品セキュリティインシデント対応チーム（PSIRT）が窓口となる「製品そのものの安全性」を規制対象としている。
CRAの対象製品および除外対象製品は以下の通りである。
・対象製品：コンシューマー向けIoT機器、ウェアラブル端末、OS、ブラウザ、ネットワーク機器、ルーター、モバイルアプリ、パスワードマネージャー、VPN/ファイアウォール、サプライチェーン管理プラットフォーム、組み込みマイコン/コントローラーなど、EU市場で流通しネットワーク等に接続可能なほぼ全てのデジタル製品。
・除外対象：商業的に提供されていないオープンソースソフトウェア、SaaS（Software as a Service）、および医療機器や航空分野など既存の分野別法規制でカバーされている製品。ただし、商用製品内にオープンソース部品が組み込まれている場合、製造業者はそのコンポーネントに対するデューデリジェンス義務を負う。なお、SaaSプロバイダーは、NIS2指令上の「デジタルプロバイダー」に該当し、NIS2指令の各種規制を受けるので、注意が必要である。
段階的適用のタイムラインと「非対称性」
CRAは段階的に施行され、以下のような適用タイムラインが設定されている。
・2026年6月：適合性評価機関（Conformity Assessment Bodies）の受付開始。
・2026年9月11日（今回）：第14条に基づく「インシデント・悪用された脆弱性の報告義務」の適用開始。
・2027年12月11日：セキュリティ・バイ・デザイン（設計段階からの安全確保）、脆弱性管理プロセス、サポート期間中の修正パッチ提供などの「本質的セキュリティ要求事項」の全面的適用。
2026年9月の第14条に基づく脆弱性報告義務の適用開始と、2027年12月の全条文の適用開始の間に15か月のズレが存在するため、企業は防衛体制が不十分な段階で「自社製品の問題を報告する責任」のみを先行して負わされることになる。
【セキュリティ分析】
1.第14条における報告メカニズムと厳格な時間制限
サイバーレジリエンス法第14条の報告義務は、製造業者が「悪用された脆弱性」または「重大なインシデント」について合理的な確信を得た時点からカウントダウンが始まる。
・早期警戒（Early Warning）：24時間以内
影響を受ける製品の特定および通知タイプの報告。
・初期通知（Notification）：72時間以内
初期的な技術分析、および修正措置のステータス報告。
・最終レポート（Final Report）：脆弱性は14日以内、インシデントは1か月以内
修正措置完了後、CVE/EVD識別子、重大度評価、詳細な技術的修正内容を含む網羅的報告。
このタイムラインは内部の調査完了や相手先CSIRTからの応答を待つことなく進行する。
2.プラットフォーム（SRP）運用の現状とアカウント制約
すべての報告は、ENISAが管理する単一報告プラットフォーム（SRP）を介して一括で行われ、そこから製品が展開されている加盟国のCSIRTへと自動展開される。しかし、SRPは、適用開始直前の8月中旬にようやくリリースされ、運用を始めた段階であり、以下のような実務的障壁が存在する。
・二要素認証を施した「EU Login」アカウントの取得が必須。
・代表者（Primary Assigned Representative）1名と、最大20名までの代理送信者（Secondary Representatives）の事前設定が必要。
・未検証アカウントの制限: 2026年8月14日のENISAガイドライン更新により、未検証の製造事業者アカウントによる通知は「累計10件」までに制限された。多種多様な製品群を扱う企業にとっては大きなボトルネックとなる。
- 業界の成熟度不足と既存規制（NIS2）との整合
ENISAが31の加盟国・194組織（主に中小企業：SME）を対象に実施した調査（2026年7月分析）によると、以下の課題が明確になっている。
・中小企業の66%はCRAの存在を知っているものの、「インシデント対応」および「製品ライフサイクル管理」の分野が最も成熟度が低いと判定された。
・70%以上の事業者が、規制文書ではなく「実践的なテンプレート」や財政支援を求めている。
・クラウド・ネットワーク機器・ソフトウェア事業者など、「NIS2」と「CRA」の両方の対象となる事業者の場合、両規制で報告義務の発生条件や報告先、期限の定義が微妙に異なるため、プレイブックの一体化・調整が不可欠である。
- 罰則リスクと既存製品（レガシー製品）への適用
CRAの罰則は、以下の通り極めて厳格である。
・基本要件違反・インシデント報告義務違反：最大1,500万ユーロ、または前年度の全世界売上高の2.5%のいずれか高い方。
・その他の規定違反：最大1,000万ユーロまたは前年度の全世界売上高の2%。
・市場監視当局の権限：金銭的罰則に加え、製品の回収（リコール）や市場からの撤去命令を発出する権限を有する。
特に留意すべきは、この報告義務が「現在EU市場で流通・サポートされている既存製品（CRA制定前に出荷された製品を含む）」にも即座に適用される点である。
【推奨事項・対策】
CSAは企業が取るべき対策を3つのフェーズに分けて提示している。
＜即時対応策＞
・対象製品および拠点の確定：自社製品がEU市場で販売・稼働しているか確認し、自社の主要拠点が存在する加盟国の担当CSIRTを特定する。
・SRPアカウント登録の完了: EU Login（2FA）を設定し、主担当者（Primary Representative）および副担当者（Secondary Representatives）のアカウントを事前に登録・紐付けする。
・24時間報告の机上演習（Tabletop Exercise）： 「合理的な確信（認知）」の判断基準は技術的判断ではなく法的判断を伴うため、関係者で机上訓練を実施しておく。
＜短期的な緩和策＞
・トリアージ（優先度判定）ワークフローの構築：獲得した脅威情報からSRPの各報告フォーマット（24時間・72時間・14日/1か月）に必要なデータ項目を抽出する仕組みを明文化する。
・代替報告ルート（フォールバック）の確保：SRPの障害やアカウント制限に備え、指定の自国CSIRTへ直接連絡・エスカレーションできる予備手段を準備する。
・NIS2とCRAのマッピング：両方の適用を受ける組織は、通知義務の発生条件と時間軸を並行比較した統合プレイブックを作成する。
・製品インベントリの整備：EU内で展開中の製品リスト（ソフトウェアコンポーネント含む）を速やかに完成させる。
＜戦略的検討事項＞
・2027年12月要件への準備期間活用：15か月のギャップ期間を猶予と捉えず、ソフトウェア部品表(SBOM）の自動生成や設計段階からのセキュリティプロセスの組み込みを前倒しで進める。
・サプライチェーンリスク管理の強化：CRAは他社製コンポーネントを組み込んだ場合も製造業者の責任を免除しないため、供給元（サードパーティ）のCRA対応成熟度を評価・監視する。
・経営陣・ボードメンバーの認識統一：「報告の遵守」は可視性の確保に過ぎず、製品そのものの安全性を保証するものではないことを役員会レベルで周知し、2027年に向けた開発投資を継続させる。
最後に、「CSAのリソースとの整合性」では、本リサーチノートとクラウドセキュリティアライアンス（CSA）が提供する各種フレームワークとの相互補完関係について、以下のように説明している。
・「ENISAの中小企業成熟度モデルが浮き彫りにするサイバーレジリエンス法への準備不足」は、本リサーチノートのセキュリティ分析セクションで参照されているENISAの調査データをより深く考察し、5つの成熟度ドメインをサイバーレジリエンス法（CRA）の具体的な法的義務と対比させて分解するとともに、リソースが限られた製造事業者に向けた段階的なロードマップを提示している（関連情報：ENISA’s SME Maturity Model Exposes a CRA Readiness Gap（https://labs.cloudsecurityalliance.org/research/csa-research-note-enisa-cra-sme-maturity-20260715-csa-styled/））。本リサーチノートが指摘するフォレンジックおよびプロセスのギャップ（何を出荷したか、そして製品の問題を組織がいつ認識したかについての把握）は、ENISAの調査で最も低いスコアとなった2つの成熟度ドメイン（インシデント対応および製品ライフサイクル管理）に共通して現れるため、サードパーティ・リスク管理プログラムにおいてサプライヤーの準備状況を評価するすべての組織は、本ドキュメントと併せてこの資料を読むべきである。
・「AI Controls Matrix (AICM) v1.1 [10]」は、本リサーチノートで指摘されている脆弱性およびパッチ管理、ならびにガバナンスおよびドキュメンテーションのギャップに対処するための統括的なコントロール・フレームワークを提供している（関連情報：AI Controls Matrix (AICM) v1.1（https://cloudsecurityalliance.org/artifacts/ai-controls-matrix-v1-1））。AICMの「脅威および脆弱性管理」ドメインでは、脆弱性処理の前提条件として、資産およびコンポーネントの継続的かつ最新のインベントリ管理を求めている。これこそが、サイバーレジリエンス法（CRA）の24時間および72時間のタイムリミット（報告期限）に対応できる組織とできない組織を分ける「SBOM（ソフトウェア部品表）の最新性確保機能」にほかならない。また、同マトリクスの「監査およびアシュアランス」ドメインは、組織がいつ問題（障害や脆弱性）を認知したかを事後的に正確に証明するために必要なドキュメンテーションの厳格さを提供する。CRAへの準備プログラムを構築する組織は、ゼロから作成したCRA専用のチェックリストではなく、AICMに準拠したコントロール評価をより持続可能な基盤として扱うべきである。なぜなら、その根本にある統制目標は、CRA以外の報告制度にも広く適用できるためである。
2026年9月11日から始まったCRAのインシデント報告義務は、単なる将来の法律ではなく「現時点でEU市場に存在する全製品に直ちに影響する即時遵守要件」である。2027年12月の本格適用を待つことなく、今すぐSRPアカウントの取得と24時間以内のインシデント判定・報告体制を立ち上げることが、最大1,500万ユーロの巨額な制裁金を回避するための緊急課題となっている。
加えて、EU域内で事業展開する企業の場合、Secure by Design、SBOM、CEマークなど、2027年12月に適用開始となるサイバーレジリエンス法の条項については、製品事業部門およびPCIRTが所管するのが一般的であるが、2026年9月に適用開始となる脆弱性・インシデント報告義務については、プライバシー保護要件を定めた一般データ保護規則（GDPR）や、重要インフラのサイバーセキュリティ要件を定めたNIS2指令と重なり合うケースがあるため、製品レベルのPCIRTと全社レベルのCSIRTが連携して、会社・組織としての対応態勢をあらかじめ整備しておく必要がある。
CSAジャパン関西支部メンバー
DevSecOps／サーバーレスWGリーダー
笹原英司