サイバーレジリエンス法｜CEマーキングと日本企業への影響（No.２）

2025年1月、EUでついに「サイバーレジリエンス法（Cyber Resilience Act：CRA）」が発効しました。これは単なる規制強化ではなく、EU市場で流通するすべてのデジタル要素を含む製品・サービスに適用される「新たなCEマーキング」の仕組みです。

日本企業にとっても、EU向け製品輸出だけでなく、グローバル競争力やブランド信頼を左右する重要なテーマです。本記事では、適合性評価・標準規格・SBOM・技術文書・企業が取るべきアクションを徹底解説し、最新動向を踏まえて理解を深めます。

なぜ今、CRAが注目されるのか？

サイバー攻撃は年々高度化しており、製品出荷後の脆弱性が深刻な社会的影響を及ぼしています。

こうした状況を受けて、EUは製品のライフサイクル全体にセキュリティを義務化。これは医療機器規制（MDR）や機械規則と同等の「製品安全規制」として機能する点が重要です。

CRA第3章で定められた「適合性評価」は、製品が必須セキュリティ要件を満たしているかを確認する仕組みです。複雑に見えますが、要点は以下の3つです。

みなし推定（Presumption of Conformity）
EUが定める「整合規格」に準拠すれば、適合していると自動的にみなされる。
ISO/IEC・EN規格への準拠が「最短ルート」
共通仕様（Common Specifications）
整合規格でカバーできない部分は、欧州委員会が発行する共通仕様で補完。
新しい技術（AI搭載IoTなど）では当面必須となる可能性大
リスクベースの柔軟対応
- 低リスク製品：自己適合宣言
- 中リスク製品：設計・製造プロセス評価
- 高リスク製品：第三者認証必須

「自社製品がどのリスク区分か」を早期に把握することが最重要です。

CRA対応において注目すべき標準・認証スキームは次のとおりです。

これら標準を早期導入する企業ほど、EU市場での信頼を獲得しやすくなります。

CRAではメーカーにEU適合宣言（Declaration of Conformity: DoC）提出が義務化されています。

DoCは単なる提出書類ではなく、「企業の説明責任」を可視化するツールです。投資家・顧客への信頼性確保に直結します。

CRAの付属書VIIでは、技術文書（Technical Documentation）の作成が義務付けられています。

SBOM（Software Bill of Materials）
- ソフトウェア構成要素を一覧化し、脆弱性を追跡可能にする仕組み
- 2023年以降、米国（NIST SBOM指針）でも導入が加速
リスクアセスメント
- 設計・製造・運用段階ごとにリスク評価を文書化
- 監査対応だけでなく、取引先との契約条件として利用されるケース増

透明性の高い技術文書とSBOMは「顧客から選ばれる条件」に変わりつつあります。

CRAでは以下の「評価モジュール」が規定されています。

「どのモジュールが自社製品に該当するか」を見極め、認証機関との調整を計画的に行う必要があります。

CRAは「規制対応のコスト」ではなく、国際市場で信頼を得るための投資と捉えるべきです。

CRAを「負担」ではなく「競争優位の武器」として活用できるかが、今後の分かれ道です。

MSDコンサルタント