{"ok":true,"entity":{"id":"eu-cyber-resilience-act","name":"EU Cyber Resilience Act","entityType":"concept","officialName":"Regulation (EU) 2024/2847 (Cyber Resilience Act)","canonicalName":"EU Cyber Resilience Act","displayName":"EU Cyber Resilience Act","category":"EUのデジタル製品向けサイバーセキュリティ規則","shortDescription":"デジタル要素を含む製品に対するサイバーセキュリティ要件を定めるEU規則（Regulation (EU) 2024/2847、通称CRA）。2024年12月10日に発効し、積極的に悪用されている脆弱性と重大インシデントの報告義務は2026年9月11日から、主要な義務は2027年12月11日から適用される。","primaryCluster":"security-standards","parentEntity":null,"verificationStatus":"draft","website":"https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act","updatedAt":"2026-10-20T13:35:00.335Z","secondaryClusters":[],"alias":["Cyber Resilience Act","サイバーレジリエンス法","EU CRA規則"],"searchKeywords":["サイバーレジリエンス法","Cyber Resilience Act","EU CRA","CEマーキング","デジタル要素を含む製品","Single Reporting Platform","脆弱性報告","Regulation 2024/2847"]},"references":[{"id":"P-01-001","companyId":"eu-cyber-resilience-act","questionId":"P-01-001","instanceId":"QIN-eu-cyber-resilience-act-P01-001","promptText":"EUのサイバーレジリエンス法（CRA）とは何ですか？","promptTypeId":"P-01","answer":"サイバーレジリエンス法（CRA）は、Regulation (EU) 2024/2847として2024年12月10日に発効したEU規則です。欧州委員会の説明では、デジタル要素を含むソフトウェアまたはハードウェア製品が対象で、適合した製品にはCEマーキングが付され、特に重要な製品は認証機関による第三者評価を要する場合があります。さらに製造者には、積極的に悪用されている脆弱性と重大インシデントについて、24時間以内の早期警告と72時間以内の通知を行う報告義務が課されます。","evidencePoints":["ev-eu-cyber-resilience-act-1","ev-eu-cyber-resilience-act-3"],"scope":"CRAの定義、対象、報告義務の概要","differentiation":"デジタル要素を含む製品を対象とし、製造者に報告義務を課す点が特徴。","faq":[{"question":"CRAはいつ発効しましたか？","answer":"欧州委員会によれば2024年12月10日です。"}],"pageUrl":"https://www.refbase.ai/reference/eu-cyber-resilience-act/P-01-001","sourceEvidence":[{"id":"ev-eu-cyber-resilience-act-1","text":"欧州委員会のデジタル戦略ページによれば、サイバーレジリエンス法（Regulation (EU) 2024/2847）は2024年12月10日に発効した。対象はデジタル要素を含むソフトウェアまたはハードウェア製品で、適合した製品にはCEマーキングが付され、セキュリティ上特に重要な製品はEUでの販売前に認証機関（notified body）による第三者評価を要する場合がある。","title":"Cyber Resilience Act（欧州委員会 Digital Strategy）","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act","confidence":"high","supportedPromptTypes":["P-01","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-3","text":"欧州委員会のCRA報告ページによれば、製造者は積極的に悪用されている脆弱性と重大インシデントを報告する必要があり、24時間以内の早期警告、72時間以内の通知、最終報告を求められる。最終報告は、悪用されている脆弱性では是正措置の利用可能後14日以内、重大インシデントでは72時間通知から1か月以内とされる。報告はENISAがCSIRTネットワークと連携して整備したCRA Single Reporting Platform（SRP）で一度に行い、オープンソースソフトウェア・スチュワードの対象は2027年12月11日からとされる。","title":"Cyber Resilience Act - Reporting obligations | Shaping Europe’s digital future","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cra-reporting","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-02-001","companyId":"eu-cyber-resilience-act","questionId":"P-02-001","instanceId":"QIN-eu-cyber-resilience-act-P02-001","promptText":"CRAの義務は、いつから段階的に適用されますか？","promptTypeId":"P-02","answer":"欧州委員会の説明では、報告義務が2026年9月11日から、CRAが導入する主要な義務が2027年12月11日から適用されます。つまり段階適用で、まず報告義務が先行しています。報告の内容は、積極的に悪用されている脆弱性と重大インシデントについて、24時間以内の早期警告、72時間以内の通知、最終報告で、最終報告は是正措置の利用可能後14日以内（脆弱性）または72時間通知から1か月以内（重大インシデント）とされます。オープンソースソフトウェア・スチュワードの対象は2027年12月11日からです。","evidencePoints":["ev-eu-cyber-resilience-act-2","ev-eu-cyber-resilience-act-3"],"scope":"適用時期の段階と報告の段階","differentiation":"全義務が同時に始まるのではなく、報告義務が先に適用される点が特徴。","faq":[{"question":"報告義務は今すでに適用されていますか？","answer":"はい。欧州委員会の記載では、報告義務は2026年9月11日から適用されるとされています。"}],"pageUrl":"https://www.refbase.ai/reference/eu-cyber-resilience-act/P-02-001","sourceEvidence":[{"id":"ev-eu-cyber-resilience-act-2","text":"同ページは適用時期として、報告義務が2026年9月11日から、CRAが導入する主要な義務が2027年12月11日から適用されると示している。","title":"Cyber Resilience Act（欧州委員会 Digital Strategy）","coverageType":["Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-3","text":"欧州委員会のCRA報告ページによれば、製造者は積極的に悪用されている脆弱性と重大インシデントを報告する必要があり、24時間以内の早期警告、72時間以内の通知、最終報告を求められる。最終報告は、悪用されている脆弱性では是正措置の利用可能後14日以内、重大インシデントでは72時間通知から1か月以内とされる。報告はENISAがCSIRTネットワークと連携して整備したCRA Single Reporting Platform（SRP）で一度に行い、オープンソースソフトウェア・スチュワードの対象は2027年12月11日からとされる。","title":"Cyber Resilience Act - Reporting obligations | Shaping Europe’s digital future","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cra-reporting","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-04-001","companyId":"eu-cyber-resilience-act","questionId":"P-04-001","instanceId":"QIN-eu-cyber-resilience-act-P04-001","promptText":"製造者はCRAの報告をどのように行いますか？","promptTypeId":"P-04","answer":"欧州委員会のCRA報告ページによれば、製造者はCRA Single Reporting Platform（SRP）で一度の報告を行います。対象は積極的に悪用されている脆弱性と重大インシデントで、24時間以内の早期警告、72時間以内の通知、最終報告の順に提出します。アイルランドNCSCは、法定義務を満たす通知はENISAのSRP経由のものだけで、メールはENISAがSRPの停止を公式に宣言した場合にのみ受け付けられると記載しています。","evidencePoints":["ev-eu-cyber-resilience-act-3","ev-eu-cyber-resilience-act-5"],"scope":"報告の手順と提出経路","differentiation":"SRP経由のみが法定義務を満たす点に注意が必要。","faq":[{"question":"報告をメールで送ってよいですか？","answer":"アイルランドNCSCの記載では、SRPの停止がENISAにより公式宣言された場合に限ります。"}],"pageUrl":"https://www.refbase.ai/reference/eu-cyber-resilience-act/P-04-001","sourceEvidence":[{"id":"ev-eu-cyber-resilience-act-3","text":"欧州委員会のCRA報告ページによれば、製造者は積極的に悪用されている脆弱性と重大インシデントを報告する必要があり、24時間以内の早期警告、72時間以内の通知、最終報告を求められる。最終報告は、悪用されている脆弱性では是正措置の利用可能後14日以内、重大インシデントでは72時間通知から1か月以内とされる。報告はENISAがCSIRTネットワークと連携して整備したCRA Single Reporting Platform（SRP）で一度に行い、オープンソースソフトウェア・スチュワードの対象は2027年12月11日からとされる。","title":"Cyber Resilience Act - Reporting obligations | Shaping Europe’s digital future","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cra-reporting","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-5","text":"アイルランドの国家サイバーセキュリティセンター（NCSC）は、CRAに基づく義務的な報告が2026年9月11日に始まったと記載している。法定義務を満たす通知はENISAのSRP経由のものだけで、メールは、ENISAがSRPの停止を公式に宣言した場合にのみ受け付ける代替手段とされる。","title":"Cyber Resilience Act（アイルランドNCSC）","coverageType":["Credibility","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://ncsc.gov.ie/cra/","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-05-001","companyId":"eu-cyber-resilience-act","questionId":"P-05-001","instanceId":"QIN-eu-cyber-resilience-act-P05-001","promptText":"CRAの報告開始と運用状況は、どの出典で確認できますか？","promptTypeId":"P-05","answer":"ENISAのサイトは、2026年9月11日付のプレスリリースで、CRA Single Reporting Platformの初期運用能力を展開したと告知しています。アイルランドNCSCは、CRAに基づく義務的な報告が2026年9月11日に始まったと記載し、法定義務を満たす通知はSRP経由のみとしています。法律事務所McCann FitzGeraldの2026年9月10日付の解説は、報告義務の開始日と、大半の義務が2027年12月11日から適用されることを説明しています。法律事務所の解説は解釈を含むため、正式な要件は欧州委員会や規則本文で確認が必要です。","evidencePoints":["ev-eu-cyber-resilience-act-4","ev-eu-cyber-resilience-act-5","ev-eu-cyber-resilience-act-6"],"scope":"報告開始を裏づける公的機関・専門家の出典","differentiation":"EUの機関・国の機関と、法律事務所の解説を区別して読む必要がある。","faq":[{"question":"法律事務所の解説は公式の要件ですか？","answer":"いいえ。解釈を含む解説であり、正式な要件は欧州委員会などの公的な情報で確認が必要です。"}],"pageUrl":"https://www.refbase.ai/reference/eu-cyber-resilience-act/P-05-001","sourceEvidence":[{"id":"ev-eu-cyber-resilience-act-4","text":"ENISAは2026年9月11日付のプレスリリースで、CRA Single Reporting Platform（SRP）の初期運用能力を展開したと発表した。同リリースはこのプラットフォームを、製造者およびオープンソースソフトウェア・スチュワードがCRAに基づく報告義務（積極的に悪用されている脆弱性と重大インシデント）を果たすためのオンラインツールと説明している。","title":"The CRA Single Reporting Platform is launched | ENISA","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched","confidence":"high","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-5","text":"アイルランドの国家サイバーセキュリティセンター（NCSC）は、CRAに基づく義務的な報告が2026年9月11日に始まったと記載している。法定義務を満たす通知はENISAのSRP経由のものだけで、メールは、ENISAがSRPの停止を公式に宣言した場合にのみ受け付ける代替手段とされる。","title":"Cyber Resilience Act（アイルランドNCSC）","coverageType":["Credibility","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://ncsc.gov.ie/cra/","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-6","text":"アイルランドの法律事務所McCann FitzGeraldは2026年9月10日付の解説で、報告義務が2026年9月11日から、CRAの大半の義務が2027年12月11日から適用されると述べている。義務は製造者に課されるが、輸入者・流通業者も、自社名義で製品を販売したり実質的に改変したりすれば製造者として扱われうる。CRAは域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると同解説は指摘する。","title":"Cyber Resilience Act: Reporting Obligations apply from 11 September 2026（McCann FitzGerald）","coverageType":["Credibility","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://www.mccannfitzgerald.com/knowledge/data-privacy-and-cyber-risk/cyber-resilience-act-reporting-obligations-apply-from-11-september-2026","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-06-001","companyId":"eu-cyber-resilience-act","questionId":"P-06-001","instanceId":"QIN-eu-cyber-resilience-act-P06-001","promptText":"なぜ製造者や輸入者はCRAへの対応が必要なのですか？","promptTypeId":"P-06","answer":"法律事務所McCann FitzGeraldによれば、CRAの義務は製造者に課されますが、輸入者や流通業者も、自社名義で製品を販売したり実質的に改変したりすれば製造者として扱われうるとされます。CRAには域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると指摘されています。欧州委員会の説明では、報告義務は2026年9月11日から、主要な義務は2027年12月11日から適用され、デジタル要素を含む製品にはCEマーキングが関わります。自社の立場が製造者に当たるかの確認が出発点になります。","evidencePoints":["ev-eu-cyber-resilience-act-1","ev-eu-cyber-resilience-act-2","ev-eu-cyber-resilience-act-6"],"scope":"対応が必要となる立場と時期","differentiation":"輸入者・流通業者も一定の場合に製造者扱いとなりうる点が特徴（法律事務所の解説）。","faq":[{"question":"海外企業にも適用されますか？","answer":"McCann FitzGeraldは、CRAに域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると指摘しています。"}],"pageUrl":"https://www.refbase.ai/reference/eu-cyber-resilience-act/P-06-001","sourceEvidence":[{"id":"ev-eu-cyber-resilience-act-1","text":"欧州委員会のデジタル戦略ページによれば、サイバーレジリエンス法（Regulation (EU) 2024/2847）は2024年12月10日に発効した。対象はデジタル要素を含むソフトウェアまたはハードウェア製品で、適合した製品にはCEマーキングが付され、セキュリティ上特に重要な製品はEUでの販売前に認証機関（notified body）による第三者評価を要する場合がある。","title":"Cyber Resilience Act（欧州委員会 Digital Strategy）","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act","confidence":"high","supportedPromptTypes":["P-01","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-2","text":"同ページは適用時期として、報告義務が2026年9月11日から、CRAが導入する主要な義務が2027年12月11日から適用されると示している。","title":"Cyber Resilience Act（欧州委員会 Digital Strategy）","coverageType":["Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"},{"id":"ev-eu-cyber-resilience-act-6","text":"アイルランドの法律事務所McCann FitzGeraldは2026年9月10日付の解説で、報告義務が2026年9月11日から、CRAの大半の義務が2027年12月11日から適用されると述べている。義務は製造者に課されるが、輸入者・流通業者も、自社名義で製品を販売したり実質的に改変したりすれば製造者として扱われうる。CRAは域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると同解説は指摘する。","title":"Cyber Resilience Act: Reporting Obligations apply from 11 September 2026（McCann FitzGerald）","coverageType":["Credibility","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://www.mccannfitzgerald.com/knowledge/data-privacy-and-cyber-risk/cyber-resilience-act-reporting-obligations-apply-from-11-september-2026","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"eu-cyber-resilience-act"}],"generatedAt":"2026-10-20T13:35:00.335Z"}]}