EU CRA報告義務開始 ― 日本のメーカーが選ぶべき「コーディネーターCSIRT」は？
NEW2026年09月15日
EUのサイバーレジリエンスアクト（CRA: Regulation (EU) 2024/2847）では、積極的に悪用されている脆弱性（AEV）および重大なインシデント（SI）の報告義務が2026年9月11日から適用され、報告はENISAが構築・運用する単一報告プラットフォーム（Single Reporting Platform: SRP）（portal.cra-srp.enisa.europa.eu）を通じて行うことが法律上定められています。
このとき報告の宛先となるのが、各国のコーディネーターとして指定されたCSIRT（CDaC:List of CSIRTs Designated as Coordinators | ENISA））です。ENISAは「どの国のCSIRTに報告すべきかはCRA第14条(7)に基づきメーカー自身が特定する責任を負う」としており、誤ったCSIRTを選択した場合は通知が無効化され、正しい宛先への再提出が必要になることが、ENISAのFAQに明記されています。ここでは、第14条(7)が定める対象国の特定方法を、最初の分岐（EU内に事業所があるか）から順に説明します。
|
本稿のポイント ■ 通知先CSIRT（CDaC）の特定はメーカーの責任。誤選択は通知の無効化・再提出につながる |
本ニュースは法規情報の概要をお伝えするものであり、法的解釈ではありません。個別の案件については必ず一次情報（ENISA・欧州委員会の公式ページ）のご確認をお願いいたします。
1. 最初の分岐：EU内に事業所があるか
第14条(7)は、報告先の国を、EU内に事業所があるメーカーとそうでないメーカーとで別々の方法で決めています。
EU内に事業所（子会社・支店など従業員を伴う拠点）があるメーカーは、「製品のサイバーセキュリティに関する意思決定が主として行われる加盟国」を主たる事業所の所在国とします。その国を特定できない場合は、EU内で従業員数が最も多い事業所の所在国を主たる事業所とみなす、という規定が働きます。
よくある質問が「セキュリティの最終判断は日本本社が持っているので、EU側の拠点は報告先とは無関係ではないか」というものです。同条の規定は意思決定国が特定できない場合に従業員数が最多のEU内事業所の所在国として扱われるため、EU内に事業所が一つでもあれば、報告宛先の国はいずれかの形でEU側に決まります。ドイツに販売子会社を持つメーカーで、セキュリティ方針の決定が日本本社にあるケースでも、この規定の適用により報告先は子会社所在国のCSIRT（ドイツならCERT-Bund）です。
2. EU内に事業所がない場合：認定代理人から順に確認する
EU内に主たる事業所がない（=事業所を一切持たない）メーカーは、次の順序で該当国を決めます。上から順に見て、該当する段階が見つかったら、その国のCSIRTが報告先です。
|
① 認定代理人 |
自社製品のうち最も多くをカバーする認定代理人（CRA第18条の書面による委任に基づく者。Authorised Representative）の所在国 |
|
② 輸入者 |
自社製品を最も多く上市（placing on the market）する輸入者の所在国 |
|
③ 流通者 |
自社製品を最も多く利用可能にする（making available）流通者の所在国 |
|
④ ユーザー数 |
把握している情報に基づきユーザー数が最多の加盟国 |
「最も多く」の判定には、EU域全体の正確な統計は要求されません。条文は「メーカーが把握する情報に基づく」としており、手元の販売実績・代理店契約・保守契約などの合理的な特定で足りる、と読むのが自然です。ただし、どのデータでどの国を選んだかは、後日（誤選択が疑われた場合や社内監査時の）説明の材料として残しておくべきです。④で選んだ場合は、以後のAEV/SIの通知を初回と同じCSIRTへ提出し続けられます。
3. よくある事業形態と報告先の例
■ ドイツに販売子会社（EU内で最多従業員）・セキュリティ判断は日本本社 → ドイツのCSIRT（CERT-Bund）
■ EU内に事業所なし。オランダの認定代理人サービスと契約 → オランダのCSIRT（NCSC-NL）
■ EU内に事業所なし。ドイツの独占輸入代理店経由で上市 → ドイツのCSIRT（CERT-Bund）
■ EU内に事業所なし。EC向けにOEM/ODM供給（輸入者はEU顧客） → 最も多く引き取る輸入者の所在国
■ 認定代理人も輸入者も特定できず、オンライン直販中心 → ④ユーザー数が最多の加盟国
4. 事前に確認しておくべきこと
■ EU内事業所の一覧と従業員数、セキュリティ意思決定の実態（誰が承認するか）の文書化
■ 認定代理人の委任状の有無・対象製品範囲・所在国の確認（第14条(7)の認定代理人は、CRA第18条の書面による委任を受けた者を指します）
■ 輸入者・流通者に該当する契約相手の洗い出し（上市と利用可能化の別は契約上の役割で決まる）
■ ④に該当する場合の最多ユーザー国の判定データと抽出時点の保存
■ 選定根拠を脆弱性対応プロセス（CVD/PSIRT）に組み込み、初回報告から一貫した宛先を維持すること
報告先の選定を誤ると、24時間・72時間の期限を守って提出しても通知が無効化され、再提出の手間が発生します。期限管理と並行して「宛先の正当性」を先に固めておくことが、SRP対応の実務上の要です。
SGSの支援サービス
■ デジタル機器向けサイバーセキュリティサービス（RED-DA,CRA,MRなど）
SGSグループは、CRAやJC-STARをはじめ世界各国で施行・強化されるセキュリティ法規制への対応を支援します。RE指令（Article 3.3サイバーセキュリティ要件）のNBがModule B・Module Hに対応するほか、脆弱性スキャン・ペネトレーション試験、CRAセミナー、EN 18031セミナー、実務運用定着ワークショップ（リスクアセスメント基準策定・SBOM運用体制構築など）をワンストップで提供します。SRP報告体制の前提となる脆弱性対応プロセス（CVD/PSIRT）の構築支援もご相談いただけます。
■ 欧州サイバーレジリエンスアクト（CRA）プロセス対応支援
CRAセミナー、CRA関連Q&Aワークショップ（対応方針検討）、IEC62443教育・プロセス構築支援・プロジェクト適用支援・CEマーキング支援と組み合わせたワンストップの提供も可能です。
CRAの報告先特定を含む対応方針の検討、報告体制の構築、関連規格への適合のご検討の際は、ぜひお気軽にお問い合わせください。
▼関連サイト▼
コーディネーター指定CSIRT（CDaC）一覧
List of CSIRTs Designated as Coordinators | ENISA
SRPポータル本体（AR／CSIRT利用者選択画面）
https://portal.cra-srp.enisa.europa.eu/
ENISA SRP FAQ（どのCSIRTに報告すべきか＝質問18、2026年9月11日更新）
コーディネーター指定CSIRT（CDaC）一覧（2026年9月10日更新・27か国）
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/list-of-csirts-designated-as-coordinators
CRA規則本文（EUR-Lex・第14条(7)が報告先特定の根拠条文）
https://eur-lex.europa.eu/eli/reg/2024/2847/oj
ENISA CRA Single Reporting Platform（SRP）メインページ
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
ENISA「CRA SRP Guidance - AR User Registration」（2026年9月10日更新）
https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/cra-srp-guidance-ar-user-registration
欧州委員会「FAQs on the CRA Implementation」（直接リンク）
https://ec.europa.eu/newsroom/dae/redirection/document/122331