【2026年7月更新版】CRA報告義務2026年9月開始と整合規格prEN 40000最新動向
NEW2026年07月27日
欧州サイバーレジリエンス法（Cyber Resilience Act：CRA）は、EU市場で提供される「デジタル要素を含む製品」に対し、設計・開発・製造段階から上市後の脆弱性対応まで、ライフサイクル全体でのサイバーセキュリティ対応を求める規則です（EU Regulation 2024/2847）。
CRAの主要要件は2027年12月11日から全面適用されますが、第14条（脆弱性および重大インシデントの報告義務）は2026年9月11日より早期適用されます。そのため、メーカー各社は報告義務の開始時期を見据え、社内体制の整備を早期に進めておくことが重要です。
1. 2026年9月11日から始まる報告義務（CRA第14条）への対応
CRA第14条では、メーカーが「積極的に悪用されている脆弱性」または「製品のセキュリティに影響を与える重大インシデント」を認識した場合、ENISAが運用するSingle Reporting Platform（SRP）を通じた段階的報告が義務付けられます。
報告プロセス（CRA第14条）
|
段階 |
期限 |
報告先 |
内容 |
|
早期警告 |
24時間以内 |
CSIRT / ENISA |
通知種別・通知段階、製造者名、製品名、題名、提供先加盟国（情報がある場合）。重大インシデントでは、違法または悪意ある行為に起因する疑いの有無 |
|
通知 |
72時間以内 |
CSIRT / ENISA |
一般情報、影響範囲・初期評価、講じた是正・緩和措置、ユーザーが取り得る措置、情報の機微性（該当情報がある場合） |
|
最終報告（脆弱性） |
是正措置の提供後14日以内 |
CSIRT / ENISA |
脆弱性の説明、影響および是正措置 |
|
最終報告（インシデント） |
72時間のインシデント通知の提出後1か月以内 |
CSIRT / ENISA |
インシデントの説明、影響および対応結果 |
SRPでは、製造者の主たる事業所の所在地に基づき報告先CSIRTが決まります。EU域内に事業所がない製造者は、授権代理人の所在地加盟国のCSIRTが報告先となります。
社内体制として確認しておきたい事項
24時間以内の初期報告に対応するためには、事前に判断基準、責任者、情報収集手順を明確にしておく必要があります。
- 脆弱性・重大インシデントの検知・判断プロセス（誰が、何をトリガーに判断するか）
- 24時間以内の初期報告を可能にする責任者とエスカレーションルート
- CSIRT / PSIRT / 品質保証 / 法務 / 製品開発部門の役割分担
- 報告に必要な技術情報・製品情報・影響範囲・是正措置情報の収集手順
- 既存インシデント管理手順とCRA報告義務の整合確認
2. 整合規格の策定状況と適用スケジュール
CRA対応において、整合規格（Harmonised Standards）への適合は「適合の推定（Presumption of Conformity）」を与える重要な手段です。欧州委員会の標準化要求 M/606 に基づき、CEN / CENELEC / ETSI が水平規格・垂直規格の策定を進めています。2026年7月時点では、EN 40000シリーズを含むCRA整合規格のEU官報引用は確認されておらず、CRA第27条の適合の推定はまだ利用できません。
ENISAは2026年7月17日にSRP FAQを更新し、Q16で24時間・72時間・最終報告における入力項目を示しました。Q16の表は、各データ項目を段階別に必須・任意・条件付き必須等に区分しています。EU Loginは事前に作成できますが、ENISAはSRPへの登録・検証を実際に通知が必要になった時点で開始するよう推奨しています。SRPは2026年9月11日までに運用開始予定で、開始前にテスト期間が予定されています。公開URLは後日案内されます。
CRA 主要マイルストーン
|
時期 |
マイルストーン |
|
2026年6月5日 |
EN IEC 62443 Verticals（工業オートメーション向け垂直規格）の意見募集締切 |
|
2026年6月11日 |
適合性評価機関（CAB）に関する規定の適用開始（CRA第4章） |
|
2026年9月11日まで |
報告プラットフォーム（SRP）の運用開始。開始前にテスト期間を予定 |
| 2026年8月30日（M/606） | 水平成果物No.1（リスクに基づく設計・開発・製造）およびNo.15（脆弱性対応）の2件について、ESOsによる標準化成果物の採択・提出期限。規格発行日・EU官報引用日ではありません |
|
2026年9月11日 |
報告義務（CRA第14条）の適用開始 |
|
2026年10月30日（M/606） |
重要製品・クリティカル製品向け製品別成果物No.16～41の26件について、ESOsによる標準化成果物の採択・提出期限。規格発行日・EU官報引用日ではありません |
| 2027年10月30日（M/606） | 水平成果物No.2～14の13件について、ESOsによる標準化成果物の採択・提出期限。規格発行日・EU官報引用日ではありません |
|
2026年12月11日 |
十分な数の適合性評価機関を確保する目標時期 |
|
2027年12月11日 |
CRA完全適用（適合性評価・CEマーキング義務等） |
水平規格（prEN 40000-1-X シリーズ）の策定状況
CRAの水平規格は、全デジタル製品に共通して適用される prEN 40000-1-X シリーズとして策定が進んでいます（番号・構成は発行までに変更される可能性があります）。
|
規格（仮番号） |
内容 |
策定状況 |
|
prEN 40000-1-1 |
用語（Vocabulary） |
Public Enquiry終了（stage 40.60）後のコメント処理を終え、CCMCへの提出およびFormal Voteへの移行が予定されています。順調に進めば2026年秋以降の発行が想定されます。 |
|
prEN 40000-1-2 |
サイバーレジリエンスの原則（付属書Ⅰ Part1(1)対応） |
Public Enquiry終了（stage 40.60）後のコメント処理および欧州委員会コメントへの対応を経て、CCMCへの提出後、Formal Voteへ進む見通しです。発行時期は2026年秋以降が一つの目安とされています。 |
|
prEN 40000-1-3 |
脆弱性ハンドリング（付属書Ⅰ Part2対応） |
Public Enquiry終了（stage 40.60）後の最終内部レビュー段階にあります。残るコメント処理の後、欧州委員会レビューを経てFormal Voteへ進む計画であり、発行はprEN 40000-1-1および-1-2より後になる可能性があります。 |
|
prEN 40000-1-4 |
汎用セキュリティ要件（付属書Ⅰ Part I 2(a)～(m)対応） |
欧州委員会評価への提出が予定されており、コメント対応後にEnquiryへ進む見通しです。作業状況によっては、発行が2027年以降となる可能性があります。 |
上記は、CEN/CLC/JTC 13ワークプログラムおよび2026年7月時点で公開されているWG9関係者の情報に基づく見通しです。投票結果や欧州委員会レビューにより、予定投票日・発行時期は変更される可能性があります。
適合の推定は、整合規格がEU官報に引用された後、その規格が対象とする要件と適用範囲に限って成立します。製品に応じて水平規格と製品別規格を適用しますが、その組み合わせだけでCRA全要件への適合が自動的に成立するわけではありません。prEN 40000-1-3の最終的な対象範囲と適合の推定は、採択された規格本文とEU官報引用を確認する必要があります。
参考となる関連規格
- EN 18031-1 / -2 / -3：RED DA（無線機器指令委任規則）向けのサイバーセキュリティ整合規格。公開情報では、prEN 40000-1-4の基礎として再構成・拡張される方向が示されており、CRA対応における技術評価の参考として活用できます。ただし、それ単独でCRA適合の推定を与えるものではありません。
- EN ISO/IEC 30111 / 29147：脆弱性ハンドリングおよび脆弱性情報開示の参考規格
- IEC 62443-4-1：セキュアな製品開発ライフサイクルの参考規格
- IEC 62443-3-2：産業用オートメーション及び制御システムのセキュリティリスクアセスメントの参考規格
- IEC 62443-4-2：コンポーネントレベルのセキュリティ要件
3. CRA対応に向けた支援サービス
SGSジャパンでは、IEC 62443に精通した有資格者が、プロセス構築支援から、EN 18031シリーズおよびCRA整合規格を見据えた製品評価まで、プロセス面・製品面の両面からCRA対応を支援します。お客様の準備状況に応じて、トレーニング、簡易GAP分析、プロセス構築支援、リスクアセスメント支援、評価まで段階的に対応します。
4. メーカーが今から準備すべきこと
2027年12月の全面適用まで時間があるように見えますが、報告義務や開発プロセス整備には先行対応が求められます。
特に以下の点を早期に確認してください。
- 自社製品がCRA対象（「デジタル要素を含む製品」、CRA第2条）に該当するかの確認
- 付属書Ⅲ（重要製品クラスI / II）・付属書Ⅳ（クリティカル製品）への該当可能性の評価
- 第14条報告義務（2026年9月11日～）への対応体制の早期構築
- IEC 62443-4-1に基づくセキュア開発プロセス（SDL）の整備
- リスクアセスメント（IEC 62443-3-2 / CRA付属書Ⅰ Part1準拠）の実施
- SBOM、技術文書およびEU適合宣言について、CRAの要求に沿った作成・更新・保管体制の構築
- 整合規格のドラフトおよび標準化スケジュールの継続的なモニタリング
サイバーセキュリティサービスについて、ご不明な点がございましたら、お気軽にご相談ください。