EUサイバーレジリエンス法で装置メーカーが見誤りやすい5つの点

装置メーカーは、この法律のもとで二つの位置に同時に立ちます。装置という完成品の製造者であり、その装置に組み込む製品を調達する側でもあります。思い違いの多くは、この二つを別々の話だと考えるところから生まれます。

準備を始めた装置メーカーほど、途中でつまずきます。非IPなら対象外。組み込んだ部品の区分に装置が引きずられる。リモートアクセスの方式を変えれば負担が減る。適合は上位プランで売ればいい。保証期間があれば足りる。どれも一見もっともで、条文に当たると足元が崩れます。この5つは、Secomeaの欧州本社が顧客との対話で繰り返し聞いてきた思い違いです。

この記事の要点

• 通信方式で適用の有無は決まらない。直接か間接か、論理か物理かを問わず、データ接続を含む製品が対象になる
• リモートアクセス製品の分類が装置全体の分類を決めるわけではない。ただし完成品の製造者は部品を含む全体に責任を負う
• 非VPNというラベルで規制上の責任は減らない。リモートアクセスを外しても義務は残り、果たすための手段が現場作業に置き換わる
• 必須のセキュリティ要件は製品が市場に出るための条件であり、下位の構成がそれを欠いたまま上位契約で満たす構造は規則の構造と整合しない
• サポート期間は原則5年以上とされ、想定使用期間が長い装置にはそれに応じた期間が求められる

1. 非IP接続なら対象外になるのか

適用範囲を定める第2条は、意図された用途または合理的に予見可能な使用に、機器やネットワークへのデータ接続を含む製品を対象としています。条文はその接続を、直接的または間接的な、論理的または物理的な接続と書いています。通信方式を名指しした規定はどこにもありません。インターネットプロトコルかどうかは、適用の判断に出てきません。

では、何がデータ接続にあたるのか。欧州委員会が2026年7月に公表したガイダンスは、二進形式で情報を伝送する能力を基準に置きます。電気信号を機能の起動や給電にだけ使い、デジタル符号化された情報を運ばない場合は、接続に当たらないとしています。裏返せば、シリアル通信でも独自プロトコルでも、デジタル情報をやり取りする限り、方式を理由に除外されるわけではありません。

産業用の装置はこの点で無関係ではいられません。PLC、HMI、エンジニアリング端末、シリアル機器、ゲートウェイが組み合わさり、装置そのものにインターネット機能がなくてもゲートウェイ経由で上位に届く。珍しい構成ではないはずです。規則は、直接ではなく、直接つながりうるより大きなシステムの一部として行われる接続を、間接的な接続として定義しています。装置メーカーが見るべきは個々の部品の通信方式ではありません。装置全体の中でデータがどこからどこへ流れ、運転中や保守中にどの口が外から届くかです。

2. リモートアクセスの選択は装置の分類を決めるのか

規則は製品を既定、重要、重大の区分に分け、区分によって適合性評価の経路が変わります。分類の基準は、その製品自身の中核機能が附属書IIIや附属書IVのカテゴリーに当たるかどうかです。ここで装置メーカーが気にするのは、装置に組み込むリモートアクセス製品が厳しい区分に入っていたら、装置全体も引きずられるのではないか、という点でしょう。

第7条がこれに直接答えています。重要製品のカテゴリーに当たる中核機能を持つ製品を組み込んでも、そのこと自体では、組み込み先の製品が重要製品の評価手続に服することにはならない。条文にそう明記されています。リモートアクセス製品にはそれ自身の分類と義務があり、装置には装置の分類がある。片方がもう片方を決めることはありません。

ただし、責任まで切れるわけではありません。完成品の製造者は、第三者から調達した部品を組み込む際に相当の注意を払い、部品の脆弱性を知ったときには報告と対処を行う義務を負います。部品が単体で適合していても、装置全体の評価は省けません。

ここから、装置メーカーは部品を調達する位置へ移ります。問いの立て方も変わります。リモートアクセスが装置の分類をどう動かすかではなく、リモートアクセスが装置のセキュリティにどう効くか。誰が接続でき、どの資産に届き、必要なときだけ開き、後から確認できる形で記録されているか。そしてその供給者が、装置の適合作業を支える文書とライフサイクルの情報を出せるかどうかです。

3. 非VPNなら負担は軽くなるのか

装置メーカーが供給者から聞かされるのは、非VPN、クラウド型、ゼロトラスト型といった呼び名です。どれで呼ばれていても、それだけで規制上の責任が減ることはありません。規則が求めるリスク評価は、製品が何をするか、どう使われることが意図され、あるいは合理的に予見されるか、そのリスクをどう管理するかで行われます。呼び名は評価の対象に入っていません。

意味のある問いは、もっと実務的なものです。利用者をどう識別するか。誰がアクセスを承認するか。どの機器に届くか。時間を区切り、必要最小限の権限にしているか。セッションは記録されるか。アクセスの仕組み自体に脆弱性が見つかったとき、どう扱われるか。VPNか非VPNかという二択は、これらの問いのどれにも答えていません。

同じ思い違いには、もう一つの顔があります。リモートアクセスを装置から外してしまえば、その分の責任が減るという考えです。外しても義務は残ります。変わるのは、義務を果たすための手段です。脆弱性の調査、ファームウェアの更新、PLCのパッチ適用、暫定対処、顧客への支援。統制された遠隔の経路がなければ、これらは現場作業と調整に置き換わり、設置台数が多いほど時間と人手を食います。

4. セキュリティ機能は上位プランに寄せられるのか

標準版と、セキュリティを強化した上位版を用意する。規則が求める部分は上位版で提供する。装置にも、装置に組み込むリモートアクセス製品にも成り立ちそうな売り方です。第6条は、要件をどこに置くかを定めています。附属書Iの必須のセキュリティ要件を満たす場合にのみ、製品を市場に提供できる。要件は売り物ではなく、市場に出るための条件です。

対価について規則が明文で扱っているのは、セキュリティ更新です。遅滞なく無償で提供することを求めており、例外は、特定の事業者向けに個別に調整した製品について双方が明示的に合意した場合に限られます。脆弱性が見つかったときの修正を有償契約の後ろに置く形は、ここで直接ふさがれています。

では、更新以外のセキュリティ機能を上位版だけに載せるのはどうか。名指しで禁じる条文はありません。手がかりは、要件が製品ごとに掛かる点にあります。標準版と上位版を別々に売るなら、市場に出るのは二つの製品です。標準版もそれ自体が製品である以上、単体で必須要件を満たしていなければなりません。標準版を選んだ顧客だけが、要件を欠いた製品を使っている。この状態は、規則の構造と整合しません。

追加サービスに価値がない、という話ではありません。設置台数の監視、証跡の収集、更新の管理、セキュリティ状況の文書化、脆弱性対応の調整。どれもライフサイクルの運用を軽くします。分かれ目は、製品が最低限備えるべきものか、運用を助けるものかにあります。前者を追加料金の後ろへ移すと、市場に出る製品の側に欠けが生じます。

この見方は、販売する装置にも、調達するリモートアクセス製品にも同じように使えます。要件が製品ごとに掛かる以上、売る側に立っても買う側に立っても、確かめることは変わりません。どの機能が製品本来のセキュリティの一部で、どれが有効な契約に依存するのか。安全な運用、脆弱性の管理、証跡の収集、監査への対応を支える機能は、選べる付属品ではなく、製品のセキュリティモデルの一部として見ます。

5. 保証期間があれば足りるのか

商用の保証、保守契約、そして規則が定めるサイバーセキュリティのサポート期間は、期間も目的も違います。2年の保証は商取引上の問いに答えるものです。不具合のある機器をいつまで修理や交換の対象にするか、部品や訪問や応答時間の条件はどうか。ここまでは契約の話にとどまります。

規則が持ち込んだのは別の問いです。デジタル要素を持つ製品について、脆弱性の対処、更新や暫定対処の提供、利用者への周知、文書の維持、サポート終了の管理を、製造者がいつまで担うか。第13条はこの期間を、製品が使用されると見込まれる長さを反映して定めるよう求め、5年以上を下限に置いています。想定使用期間が5年に満たない製品はその期間に合わせられます。前文は逆方向も明確で、5年を超えて使われると合理的に見込まれる製品には、それに応じたより長い期間を確保すべきとしています。産業用の装置は商用保証をはるかに超えて、ときに数十年動き続けます。5年は下限であって、既定値ではありません。

この期間には、組み込んだ部品の脆弱性も含まれます。装置がソフトウェア、ファームウェア、リモートアクセスの経路、OS、ライブラリ、接続先のサービスに依存しているなら、それらのどこで見つかった脆弱性も、製造者が扱う対象になります。加えて、サポート期間の終了日は購入時に、少なくとも年月まで、明確でアクセスしやすい形で示すことが求められます。

何から手をつけるか

装置メーカーは、販売する装置と、その装置に組み込む機器・ソフトウェア、接続先のサービスを整理するところから始めてください。取り組む作業は次のとおりです。

1. 装置の用途と接続構成を基に、CRAの適用対象と製品分類を確認する。

2. 部品供給者から、対象製品の適合状況、サポート期間、更新方針、脆弱性情報の入手先を確認する。

3. 集めた情報を装置全体のリスク評価に反映し、必要な対策と適合性評価に使う文書を整える。

4. 脆弱性の受付・評価・対処、顧客への連絡、当局への報告を誰が行うか決める。

Secomea製品を採用する場合は、遠隔接続の権限、承認方法、記録の設定も確認してください。機能の有無に加えて、販売する装置でどう設定し、誰が運用するかを決める必要があります。

報告体制の整備は、ほかの準備が終わるまで待つ作業ではありません。対象となる報告義務は、すでに適用されています。

Secomeaが担う部分

Secomeaは、装置の遠隔保守に使うアクセス制御と接続記録を提供します。装置メーカーは、誰にどの装置への接続を許可するか、誰が承認するか、どの記録を残して確認するかを決め、運用に合わせて設定してください。

Secomeaの開発プロセスに関するIEC 62443-4-1の認証や、製品のIEC 62443-4-2への準拠を示す第三者監査資料は、組み込む製品の評価に活用できます。対象となる製品・版・評価範囲を確認し、装置全体の技術文書に反映してください。

Secomea製品を組み込んでも、装置全体のCRA対応が完了するわけではありません。装置メーカーによるリスク評価、適合性評価、脆弱性対応の体制整備が必要です。Secomea製品そのものに適用される製造者の義務はSecomeaが担います。個別製品の適合状況は、対象製品の資料で確認してください。

EU向けの装置にこれから取り組む段階でも、すでに設置台数を抱えている段階でも、装置のセキュリティモデルのどこにリモートアクセスを置くかから、ご相談ください。

FAQ

よくあるご質問

出典：Regulation (EU) 2024/2847（EUサイバーレジリエンス法）本文および前文。欧州委員会 Communication C(2026) 5252 および附属ガイダンス（2026年7月27日公表）。