EU CRAの整合規格、最終承認段階へ ～水平規格・垂直規格のPublic EnquiryとFormal Voteが2026年秋から集中～
2026年09月25日
2026年9月17日、リスボンで開催された説明会「CRA Standards Unlocked – EU Tour」（CYBERSTAND.eu／STAN4CRA.eu主催）で、欧州委員会、CEN-CENELEC、ETSIおよび各規格の策定担当者から、サイバーレジリエンスアクト（CRA）の整合規格開発の全体像と発行スケジュールが示されました。2026年秋から2027年春にかけてPublic Enquiry（公開照会）とFormal Vote（正式投票）が集中して行われます。
なお、積極的に悪用された脆弱性および重大インシデントの報告義務（第14条）は、2026年9月11日から既に適用されています。2027年12月11日の全面適用に向けて、規格の発行動向を押さえておく必要があります。
|
今回の要点 ■ 整合規格は、全製品共通の水平規格と、製品カテゴリ別の垂直規格に分かれる。標準化要請（M/606）で求められている41規格の策定が並行して進行中 |
規格体系の全体像 ― 水平規格と垂直規格
CRAの必須要件（Annex I）をサポートする整合規格は、すべてのデジタル製品に共通する水平規格と、製品カテゴリ別の垂直規格に分かれます。水平規格はCEN-CLC/JTC13/WG9が、垂直規格はETSI・CEN・CENELECの各技術委員会が分担しています。
| 層 | 規格（例） | 対象 |
|---|---|---|
| 水平規格 | prEN 40000-1-1（用語）／-1-2（原則・リスクマネジメント）／-1-3（脆弱性対応）／-1-4（一般セキュリティ要件） | 全デジタル製品共通 |
| 垂直規格（ETSI） |
EN 304 617 ブラウザ／618 パスワードマネージャ／619 アンチウイルス／620 VPN／622 SIEM／626 OS／627 ルータ・モデム・スイッチ 等（全18規格） |
重要製品クラスI・IIの各カテゴリ |
| 垂直規格（CEN/CENELEC） | prEN 40001-3〜40004-3（半導体・信頼済みチップ）／EN IEC 62443-4-1・4-2:prAA（OT）／prEN 50770-1〜6（ファイアウォール、NMS等） | 半導体、OT、産業機器等 |
発行スケジュール ― 2026年秋から2027年春が山場
| 時期 | 段階 | 対象規格 |
|---|---|---|
| 2026年9〜10月 | Public Enquiry | prEN 40000-1-4、prEN 40004-3（ASIC/FPGA） |
| 2026年11月 | Public Enquiry | prEN 50770-1（ファイアウォール/IDS/IPS） |
| 2026年秋〜2027年初め | Formal Vote | prEN 40000-1-1/-1-2（水平）、prEN 40001-3〜40003-3（半導体） |
| 2027年1〜2月 | Public Enquiry | prEN 50770-2〜6、スマートメーターゲートウェイ |
| 2027年春 | Formal Vote | prEN 18330、prEN 40000-10/-11、prEN 50770-1 |
Public Enquiryでは、各国の国家標準化機関を通じて規格案にコメントを提出できます（期間は8週間）。
製造者の実務 ― 規格の使い分けと適合プロセス
製品カテゴリ別の垂直規格と、全製品共通の水平規格では、実務での関わり方が異なります。まずはどちらの規格が自社製品に関係するかを確認し、それぞれの使い方に沿って進めることになります。
|
【垂直規格の使い方】対象: 重要製品・クリティカル製品の各カテゴリ（OS、ルータ、アンチウイルス等） 例: EN 304 617〜642（ETSI）、prEN 50770-1〜6、prEN 40001-3〜40004-3
垂直規格はすべて共通の構造（適用範囲→製品コンテキスト→セキュリティ要件→評価）です。通常の規格のように全頁を読んで全体を実装するのではなく、レストランでアラカルトを注文するように、5つのユースケース（料理）の中から自社製品に合うものを選び、それに対応する要件だけを適用します。
■ コンテキスト特定（Clause 4）: 自社製品の機能とユースケース（UC）を定義 ■ 要件の選択（Clause 5）: 特定したUCに対応するセキュリティ要件のみを選択。UCに当てはまらない場合は、規格附属書のリスク手法でセキュリティプロファイル（SP: 最小／中／高）を決定し、そのSPに対応する要件を選択 ■ 実装と評価（Clause 6）: 選んだ要件を製品に実装し、共通構造の評価（試験・文書確認・エビデンス提示）で立証 ■ 例外の明記: 該当しない要件は「不適用（Does not apply）」としてリスク評価の根拠とともに論理的に除外
例えばアンチウイルス規格案（EN 304 619）では、家庭向けはUC2／SP中、企業向けはUC3以上／SP高といった対応になります。 |
|
【水平規格の使い方】対象: すべての製品（垂直規格が用意されていない製品を含む） 例: prEN 40000-1-1（用語）／-1-2（原則・リスクマネジメント）／-1-3（脆弱性対応）／-1-4（一般セキュリティ要件）
CRA対象製品の約9割を占めるのが、Annex III（重要製品）・Annex IV（クリティカル製品）のいずれにも該当しない「デフォルト製品」です。この区分は法律上の正式分類ではなく実務上の作業ラベルである点に注意が必要です。デフォルト製品はNotified Bodyの関与なしに自己宣言（Annex VIII Module A）で適合性を証明できます。ただしAnnex Iの必須要件は免除されず、リスク評価に基づいて適用を判断します。不適用とする場合は、その根拠を技術文書に示す必要があります。第三者チェックがない分、技術文書と試験結果による立証責任はすべて製造者側にあります。
実務の進め方は概ね次の6ステップです。 ① 意図された目的と合理的に予見可能な使用（IPRFU）の文書化とスコープ判定 ② 機密性・完全性・可用性・真正性（CIAA）に基づくリスク評価（全活動の起点となる最重要文書） ③ 水平規格（prEN 40000-1-4等）の活用による基本機能・開発プロセスの実装 ④ 技術文書（Annex VII）の整備。「脅威→要求事項→管理策→証拠」を1行で横断するトレーサビリティ行列が中核 ⑤ EU適合性宣言（Annex V）の発行とCE表示 ⑥ 出荷後の脆弱性管理と単一報告プラットフォーム（SRP）への報告 |
適合経路の全体像として、CRA対象製品の約9割は自己評価とEU適合性宣言（DoC）で市場に出せます。重要製品クラスIは、整合規格、共通仕様、または欧州サイバーセキュリティ認証スキーム（保証レベル「substantial」以上）を全面的に適用した場合に限り、自己評価によるDoCが可能です。一部のみの適用や未適用の場合は、Notified Bodyによる第三者評価が必要です。クラスIIとクリティカル製品はNotified Bodyによる第三者評価（EU型式試験等）が必要です*。
* SGS BrightsightはCRAモジュールB適合性評価に向けたISO/IEC 17065認定を2026年8月に取得しており、Notified Body指定に向けた準備を進めています。
なお、デフォルト製品という分類は固定ではありません。欧州委員会は委任規則（delegated acts、第7条第3項・第8条。手続は第61条）により、特定カテゴリをAnnex III等へ追加・移行させる権限を持っています。OJEU（欧州連合官報）の動向を継続的に監視する体制が必要です。
留意点として、整合規格による適合性の推定が得られるのは、規格が正式に発行され、OJEUに引用掲載された後です。現段階の規格案に「準拠」していても適合の根拠にはならず、販売・宣伝で「CRA認証済み」などと表示すれば、市場監視上のリスクになり得ます。また、重要製品クラスIの製品は、整合規格が引用掲載される前の段階では、原則としてNotified Bodyによる第三者評価が必要となります。
一方で、prEN 40000シリーズなど策定中の規格案をもとに要求事項を把握し、自社製品への影響を評価しておくことは、今から進められる実務上の準備です。
なお、発行は標準化要請のスケジュールに沿って進められていますが、時期が前後する可能性があるため、最新の公式情報をご確認ください。