EU CRAの報告義務が2026年9月11日から適用 ― 単一報告プラットフォーム（SRP）の使い方
NEW2026年09月11日
EUのサイバーレジリエンスアクト（CRA: Regulation (EU) 2024/2847）では、CRAの適用範囲に入るデジタル要素を備えた製品をEU市場に上市するメーカーに対し、積極的に悪用されている脆弱性（AEV）および重大なインシデント（SI）の報告義務が2026年9月11日（本日）から適用されます。
報告はENISAが構築・運用する単一報告プラットフォーム（Single Reporting Platform: SRP）を通じて行うことが法律上定められており、同プラットフォームも本日から運用を開始しました。本稿では、ENISAが公表している公式資料（FAQ・Assigned Representative（AR）向けガイダンス・ユーザーマニュアル・利用規約）の内容を、報告実務の流れに沿ってまとめます。
本稿のポイント
■ 報告義務は本日2026年9月11日から。以降の義務通知はSRP経由が必須
■ 期限は「24時間の早期警告」「72時間以内の通知」「最終報告」の3段構造
■ 事前のアカウント整備（EU Login＋多要素認証）だけは平時に済ませておくべき
■ 2027年12月11日より前に上市した製品（CRA適用前の上市品を含む）も、CRAの適用範囲に該当すれば対象
■ オープンソースソフトウェアスチュワードの報告義務は2027年12月11日から
1. 報告期限の3段構造
メーカーがAEVまたはSIを認識した時点から起算され、遅滞なく、いかなる場合も以下の期限内に報告する必要があります。
|
早期警告（Early Warning） |
認識後24時間以内。認識した旨と初期情報 |
|
72時間通知 |
認識後72時間以内。一般情報と初期評価 |
|
最終報告（Final Report） |
AEVは是正措置（パッチ等）の提供後14日以内、SIは72時間通知後1か月以内 |
なお、現行リリースのプラットフォーム上の72時間カウンタは「早期警告の提出から48時間後」を期日として表示する実装のため、法定期限より早く「期限超過」表示が出ることがあります。カウンタはあくまで目安であり、法上の義務期限の代わりにはなりません。
2. 通知先のCSIRT（CDaC）はメーカー自身が特定する
SRPで通知を提出する際、メーカーはコーディネーターとして指定されたCSIRT（CDaC）を自らの責任で選択します。原則はEU内の主たる事業所（製品のサイバーセキュリティに関する意思決定が主として行われる場所）の所在国のCSIRTです。主たる事業所が特定できない場合はEU内で従業員数が最多の事業所の所在国、EU内に主たる事業所がない場合は、授権代表（Authorised Representative）→輸入者→流通者→ユーザー数の順で該当国を決定します。誤ったCSIRTを選択した場合、通知が無効化される可能性があり、正しいCSIRTへの再提出が必要になることがあります。ENISAサイト上に各国CDaC（27か国）の連絡先一覧が公表されています。
3. 事前準備：EU Loginアカウントと多要素認証
SRPへの登録にはEU Loginアカウント＋多要素認証（MFA）の有効化が必須です。EU Loginは個人単位のため、通知を提出する担当者（SRP上はAssigned Representative: ARと呼ばれます）各自がアカウントを保有する必要があります。ENISAは「実際に通知が必要になった時点で登録すればよい（CSIRTの検証負荷の観点から事前登録は勧めない）」としていますが、EU Loginの作成とMFAの有効化だけは平時に済ませておくことを強くお勧めします。緊急時の24時間期限に間に合わせるための前提整備だからです。
ARには、メーカーごとに1名のPrimary AR（管理権限を持つ。通知の全件閲覧が可能。関連付けの検証済み（Verified）状態のPrimary ARのみ副ARを招待可能）と、最大20名のSecondary AR（自分が提出した通知のみ閲覧・更新）があります。ARとメーカーの関連付けの検証（Verification）はCSIRTが行いますが、これは報告提出の前提ではなく並行して進み、未検証の状態でも当該メーカーにつき最大20通まで通知を提出できます。
4. 報告のワークフロー
ダッシュボードで「Submit new notification」を選択し、通知タイプ（AEV/SI）を選ぶと、以降の入力フィールドがタイプに応じて変化します。早期警告→72時間通知→最終報告のタブを順に提出します。早期警告の段階で任意だった項目が、72時間通知や最終報告では必須になる場合があります。各フィールドの意味・書式・必須/任意の別は、ENISAの「SRP Glossary」が公式の逐次解説であり、常に最新版の参照が必要です。通常時は通知がCDaCとENISAに同時に利用可能になり、CDaCが他国の関係CSIRTへ伝播します（PEC適用時などはENISAへの全文提供や伝播が遅延・限定される場合があります）。最終報告の提出後は通知が編集不可となる点も実務上重要です。
なお、AEVの72時間通知に限り、CRA第16条(2)および2025年12月の委任規則が定める条件を満たしCDaCが伝播遅延を認める場合に、特別例外的事由（Particular Exceptional Circumstances: PEC）を適用でき、適用するとENISAには全文ではなく限定的な情報のみが送信されます。
5. 適用範囲に関する留意点
■ 本日（2026年9月11日）より前に上市された製品（CRA適用前の上市品を含む）も、CRAの適用範囲に該当する製品であればAEV/SIの報告義務の対象
■ ただし、本日より前に「悪用を既に認識していた」AEVの遡及報告は不要。本日以降に認識した場合は、脆弱性自体が以前から存在・既知だった場合でも報告義務が発生
■ 第三者コンポーネント由来のAEVも、自社製品に含まれる限り報告対象（欧州委員会FAQ 5.4参照）
■ APIは初期リリースになく、提出はプラットフォーム画面からのみ
■ プラットフォームが一時利用不可の場合は復旧を待ってSRPから提出。CSIRTへの直接連絡は可能だが、復旧後のSRP提出は依然必須
SGSの支援サービス
当社では、CRAの報告義務対応を含む欧州サイバーセキュリティ規制への対応を以下のサービスで支援しています。
CRAセミナー、CRA関連Q&Aワークショップ（対応方針検討）、IEC62443教育・プロセス構築支援・プロジェクト適用支援・CEマーキング支援と組み合わせたワンストップの提供も可能です。
■ EN 18031（RE指令）試験・認証
RE指令のサイバーセキュリティ要件（委任規則(EU) 2022/30で有効化された第3.3条d・e・f項）に対応するEN 18031シリーズの適合性試験・認証は、Notified BodyであるSGS FIMKO（EU NANDOデータベース登録 NB 0598）が担います。CRA製品試験・技術支援、脆弱性スキャン、ペネトレーション試験などのメニューはポータルのデジタル機器向けサイバーセキュリティサービス（頁修正中）をご確認ください。
■ CRA Notified Body Services（SGS Brightsight）
SGSグループのセキュリティ評価専門機関であるBrightsightは、オランダ認定評議会（RvA）よりCRAモジュールB（EU型式試験）に係るISO/IEC 17065認定を取得（2026年8月26日発表）し、通知担当機関（Notified Body）の指定に向けた手続きを進めています。なお、CRAのNB制度は2026年6月11日に適用が開始されたばかりで、現時点ではEUのNANDOデータベースに登録された指定機関はまだありません。指定完了までは、既存の技術エビデンスの評価と適合ギャップの特定を行うCRAリーディネス／ギャップ評価を提供しています。
CRAへの対応方針の検討、報告体制の構築、関連規格への適合のご検討の際は、ぜひお気軽にお問い合わせください。
▼関連サイト▼
ENISA CRA Single Reporting Platform（SRP）メインページ
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
SRP FAQ（2026年9月10日更新）
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions
CRA SRP ARユーザーマニュアル v1.1（2026年9月9日・PDF）
https://www.enisa.europa.eu/sites/default/files/2026-09/CRA SRP -- AR User Manual.pdf
SRP利用規約 v1.0（2026年9月10日・PDF）
https://www.enisa.europa.eu/sites/default/files/2026-09/Terms and conditions CRA SRP v1.0 20260910.pdf
SRP Glossary（データ項目別の公式解説）
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-glossary2
コーディネーター指定CSIRT（CDaC）一覧
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
欧州委員会 報告義務に関する解説ページ
https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
欧州委員会「FAQs on the CRA Implementation」（直接リンク）
https://ec.europa.eu/newsroom/dae/redirection/document/122331
CRA規則本文（EUR-Lex）
https://eur-lex.europa.eu/eli/reg/2024/2847/oj
SGSジャパン「SGS Brightsight、CRAモジュールB適合性評価に向けたISO/IEC 17065認定を取得」（2026年8月28日）
https://sgsjapan-portal.jp/news_detail.php?id=321
Brightsight公式発表（2026年8月26日）
https://www.brightsight.com/news/post/brightsight-achieves-iso-iec-17065-accreditation-for-cra-module-b