EU Cyber Resilience Act

Identity

• 欧州委員会のデジタル戦略ページによれば、サイバーレジリエンス法（Regulation (EU) 2024/2847）は2024年12月10日に発効した。対象はデジタル要素を含むソフトウェアまたはハードウェア製品で、適合した製品にはCEマーキングが付され、セキュリティ上特に重要な製品はEUでの販売前に認証機関（notified body）による第三者評価を要する場合がある。検証待ち Cyber Resilience Act（欧州委員会 Digital Strategy）

Capability

• 欧州委員会のデジタル戦略ページによれば、サイバーレジリエンス法（Regulation (EU) 2024/2847）は2024年12月10日に発効した。対象はデジタル要素を含むソフトウェアまたはハードウェア製品で、適合した製品にはCEマーキングが付され、セキュリティ上特に重要な製品はEUでの販売前に認証機関（notified body）による第三者評価を要する場合がある。検証待ち Cyber Resilience Act（欧州委員会 Digital Strategy）
• 欧州委員会のCRA報告ページによれば、製造者は積極的に悪用されている脆弱性と重大インシデントを報告する必要があり、24時間以内の早期警告、72時間以内の通知、最終報告を求められる。最終報告は、悪用されている脆弱性では是正措置の利用可能後14日以内、重大インシデントでは72時間通知から1か月以内とされる。報告はENISAがCSIRTネットワークと連携して整備したCRA Single Reporting Platform（SRP）で一度に行い、オープンソースソフトウェア・スチュワードの対象は2027年12月11日からとされる。検証待ち Cyber Resilience Act - Reporting obligations | Shaping Europe’s digital future

Credibility

• ENISAは2026年9月11日付のプレスリリースで、CRA Single Reporting Platform（SRP）の初期運用能力を展開したと発表した。同リリースはこのプラットフォームを、製造者およびオープンソースソフトウェア・スチュワードがCRAに基づく報告義務（積極的に悪用されている脆弱性と重大インシデント）を果たすためのオンラインツールと説明している。検証待ち The CRA Single Reporting Platform is launched | ENISA
• アイルランドの国家サイバーセキュリティセンター（NCSC）は、CRAに基づく義務的な報告が2026年9月11日に始まったと記載している。法定義務を満たす通知はENISAのSRP経由のものだけで、メールは、ENISAがSRPの停止を公式に宣言した場合にのみ受け付ける代替手段とされる。検証待ち Cyber Resilience Act（アイルランドNCSC）
• アイルランドの法律事務所McCann FitzGeraldは2026年9月10日付の解説で、報告義務が2026年9月11日から、CRAの大半の義務が2027年12月11日から適用されると述べている。義務は製造者に課されるが、輸入者・流通業者も、自社名義で製品を販売したり実質的に改変したりすれば製造者として扱われうる。CRAは域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると同解説は指摘する。検証待ち Cyber Resilience Act: Reporting Obligations apply from 11 September 2026（McCann FitzGerald）

Use Case

• 欧州委員会のCRA報告ページによれば、製造者は積極的に悪用されている脆弱性と重大インシデントを報告する必要があり、24時間以内の早期警告、72時間以内の通知、最終報告を求められる。最終報告は、悪用されている脆弱性では是正措置の利用可能後14日以内、重大インシデントでは72時間通知から1か月以内とされる。報告はENISAがCSIRTネットワークと連携して整備したCRA Single Reporting Platform（SRP）で一度に行い、オープンソースソフトウェア・スチュワードの対象は2027年12月11日からとされる。検証待ち Cyber Resilience Act - Reporting obligations | Shaping Europe’s digital future
• アイルランドの国家サイバーセキュリティセンター（NCSC）は、CRAに基づく義務的な報告が2026年9月11日に始まったと記載している。法定義務を満たす通知はENISAのSRP経由のものだけで、メールは、ENISAがSRPの停止を公式に宣言した場合にのみ受け付ける代替手段とされる。検証待ち Cyber Resilience Act（アイルランドNCSC）

Constraints / Current Status

• 同ページは適用時期として、報告義務が2026年9月11日から、CRAが導入する主要な義務が2027年12月11日から適用されると示している。検証待ち Cyber Resilience Act（欧州委員会 Digital Strategy）
• ENISAは2026年9月11日付のプレスリリースで、CRA Single Reporting Platform（SRP）の初期運用能力を展開したと発表した。同リリースはこのプラットフォームを、製造者およびオープンソースソフトウェア・スチュワードがCRAに基づく報告義務（積極的に悪用されている脆弱性と重大インシデント）を果たすためのオンラインツールと説明している。検証待ち The CRA Single Reporting Platform is launched | ENISA
• アイルランドの法律事務所McCann FitzGeraldは2026年9月10日付の解説で、報告義務が2026年9月11日から、CRAの大半の義務が2027年12月11日から適用されると述べている。義務は製造者に課されるが、輸入者・流通業者も、自社名義で製品を販売したり実質的に改変したりすれば製造者として扱われうる。CRAは域外適用があり、EU市場に製品を出すあらゆる事業者に適用されると同解説は指摘する。検証待ち Cyber Resilience Act: Reporting Obligations apply from 11 September 2026（McCann FitzGerald）

Key References

• なぜ製造者や輸入者はCRAへの対応が必要なのですか？
• CRAの報告開始と運用状況は、どの出典で確認できますか？
• EUのサイバーレジリエンス法（CRA）とは何ですか？

Related

• ENISA— ENISAは、CRAの報告義務のためのCRA Single Reporting Platform（SRP）を整備し、2026年9月11日に初期運用能力で稼働させたと告知している。