EUサイバーレジリエンス法で装置メーカーが見誤りやすい5つの点

• 通信方式で適用の有無は決まらない。直接か間接か、論理か物理かを問わず、データ接続を含む製品が対象になる
• リモートアクセス製品の分類が機械全体の分類を決めるわけではない。ただし完成品の製造者は部品を含む全体に責任を負う
• 非VPNというラベルで規制上の責任は減らない。リモートアクセスを外しても義務は残り、果たすための手段が現場作業に置き換わる
• 必須のセキュリティ要件は製品が市場に出るための条件であり、下位の構成がそれを欠いたまま上位契約で満たす構造は規則の構造と整合しない
• サポート期間は5年以上とされ、想定使用期間が長い機械にはそれに応じた期間が求められる

適用範囲を定める第2条は、意図された用途または合理的に予見可能な使用に、機器やネットワークへのデータ接続を含む製品を対象としています。条文はその接続を、直接的または間接的な、論理的または物理的な接続と書いています。通信方式を名指しした規定はどこにもありません。インターネットプロトコルかどうかは、適用の判断に出てきません。

では、何がデータ接続にあたるのか。欧州委員会が2026年7月に公表したガイダンスは、二進形式で情報を伝送する能力を基準に置きます。電気信号を機能の起動や給電にだけ使い、デジタル符号化された情報を運ばない場合は、接続に当たらないとしています。裏返せば、シリアル通信でも独自プロトコルでも、デジタル情報をやり取りする限り、方式を理由に除外されるわけではありません。

産業機械はこの点で無関係ではいられません。PLC、HMI、エンジニアリング端末、シリアル機器、ゲートウェイが組み合わさり、機械そのものにインターネット機能がなくてもゲートウェイ経由で上位に届く。珍しい構成ではないはずです。規則は、直接ではなく、直接つながりうるより大きなシステムの一部として行われる接続を、間接的な接続として定義しています。装置メーカーが見るべきは個々の部品の通信方式ではありません。機械全体の中でデータがどこからどこへ流れ、運転中や保守中にどの口が外から届くかです。

規則は製品を既定、重要、重大の区分に分け、区分によって適合性評価の経路が変わります。分類の基準は、その製品自身の中核機能が附属書IIIや附属書IVのカテゴリーに当たるかどうかです。ここで装置メーカーが気にするのは、機械に組み込むリモートアクセス製品が厳しい区分に入っていたら、機械全体も引きずられるのではないか、という点でしょう。

第7条がこれに直接答えています。重要製品のカテゴリーに当たる中核機能を持つ製品を組み込んでも、そのこと自体では、組み込み先の製品が重要製品の評価手続に服することにはならない。条文にそう明記されています。リモートアクセス製品にはそれ自身の分類と義務があり、機械には機械の分類がある。片方がもう片方を決めることはありません。

ただし、責任まで切れるわけではありません。完成品の製造者は、第三者から調達した部品を組み込む際に相当の注意を払い、部品の脆弱性を知ったときには報告と対処を行う義務を負います。部品が単体で適合していても、機械全体の評価は省けません。

ここから、装置メーカーは部品を調達する位置へ移ります。問いの立て方も変わります。リモートアクセスが機械の分類をどう動かすかではなく、リモートアクセスが機械のセキュリティにどう効くか。誰が接続でき、どの資産に届き、必要なときだけ開き、後から確認できる形で記録されているか。そしてその供給者が、機械の適合作業を支える文書とライフサイクルの情報を出せるかどうかです。

装置メーカーが供給者から聞かされるのは、非VPN、クラウド型、ゼロトラスト型といった呼び名です。どれで呼ばれていても、それだけで規制上の責任が減ることはありません。規則が求めるリスク評価は、製品が何をするか、どう使われることが意図され、あるいは合理的に予見されるか、そのリスクをどう管理するかで行われます。呼び名は評価の対象に入っていません。

意味のある問いは、もっと実務的なものです。利用者をどう識別するか。誰がアクセスを承認するか。どの機器に届くか。時間を区切り、必要最小限の権限にしているか。セッションは記録されるか。アクセスの仕組み自体に脆弱性が見つかったとき、どう扱われるか。VPNか非VPNかという二択は、これらの問いのどれにも答えていません。

同じ思い違いには、もう一つの顔があります。リモートアクセスを機械から外してしまえば、その分の責任が減るという考えです。外しても義務は残ります。変わるのは、義務を果たすための手段です。脆弱性の調査、ファームウェアの更新、PLCのパッチ適用、暫定対処、顧客への支援。統制された遠隔の経路がなければ、これらは現場作業と調整に置き換わり、設置台数が多いほど時間と人手を食います。

標準版と、セキュリティを強化した上位版を用意する。規則が求める部分は上位版で提供する。機械にも、機械に組み込むリモートアクセス製品にも成り立ちそうな売り方です。第6条は、要件をどこに置くかを定めています。附属書Iの必須のセキュリティ要件を満たす場合にのみ、製品を市場に提供できる。要件は売り物ではなく、市場に出るための条件です。

対価について規則が明文で扱っているのは、セキュリティ更新です。遅滞なく無償で提供することを求めており、例外は、特定の事業者向けに個別に調整した製品について双方が明示的に合意した場合に限られます。脆弱性が見つかったときの修正を有償契約の後ろに置く形は、ここで直接ふさがれています。

では、更新以外のセキュリティ機能を上位版だけに載せるのはどうか。名指しで禁じる条文はありません。手がかりは、要件が製品ごとに掛かる点にあります。標準版と上位版を別々に売るなら、市場に出るのは二つの製品です。標準版もそれ自体が製品である以上、単体で必須要件を満たしていなければなりません。標準版を選んだ顧客だけが、要件を欠いた製品を使っている。この状態は、規則の構造と整合しません。

追加サービスに価値がない、という話ではありません。設置台数の監視、証跡の収集、更新の管理、セキュリティ状況の文書化、脆弱性対応の調整。どれもライフサイクルの運用を軽くします。分かれ目は、製品が最低限備えるべきものか、運用を助けるものかにあります。前者を追加料金の後ろへ移すと、市場に出る製品の側に欠けが生じます。

この見方は、自社の機械にも、調達するリモートアクセス製品にも同じように使えます。要件が製品ごとに掛かる以上、売る側に立っても買う側に立っても、確かめることは変わりません。どの機能が製品本来のセキュリティの一部で、どれが有効な契約に依存するのか。安全な運用、脆弱性の管理、証跡の収集、監査への対応を支える機能は、選べる付属品ではなく、製品のセキュリティモデルの一部として見ます。

商用の保証、保守契約、そして規則が定めるサイバーセキュリティのサポート期間は、期間も目的も違います。2年の保証は商取引上の問いに答えるものです。不具合のある機器をいつまで修理や交換の対象にするか、部品や訪問や応答時間の条件はどうか。ここまでは契約の話にとどまります。

規則が持ち込んだのは別の問いです。デジタル要素を持つ製品について、脆弱性の対処、更新や暫定対処の提供、利用者への周知、文書の維持、サポート終了の管理を、製造者がいつまで担うか。第13条はこの期間を、製品が使用されると見込まれる長さを反映して定めるよう求め、5年以上を下限に置いています。想定使用期間が5年に満たない製品はその期間に合わせられます。前文は逆方向も明確で、5年を超えて使われると合理的に見込まれる製品には、それに応じたより長い期間を確保すべきとしています。産業機械は商用保証をはるかに超えて、ときに数十年動き続けます。5年は下限であって、既定値ではありません。

この期間には、組み込んだ部品の脆弱性も含まれます。機械がソフトウェア、ファームウェア、リモートアクセスの経路、OS、ライブラリ、接続先のサービスに依存しているなら、それらのどこで見つかった脆弱性も、製造者が扱う対象になります。加えて、サポート期間の終了日は購入時に、少なくとも年月まで、明確でアクセスしやすい形で示すことが求められます。

5つの思い違いには共通点があります。VPNか非VPNか、IPか非IPか、標準か上位か。どれもラベルや商慣行に判断を預けています。装置メーカーが確かめるべきは、その裏にある統制とプロセス、そしてそれを裏付ける証跡です。

出発点は、機械のセキュリティモデルの中でリモートアクセスがどこに位置するかを描くことです。安全な運転にどの構成要素とサービスが要るか。アクセスはどう承認され、制限され、記録され、監視され、失効するか。脆弱性はどう扱われ、更新や暫定対処はどう届き、サイバーセキュリティのサポートはいつまで続くか。この絵があると、顧客にも、監査にも、同じ言葉で説明できます。

供給者に求めるものも、早めに確かめておく価値があります。つながるかどうかの先にあるもの、つまり文書化された統制、開発プロセスの裏付け、明確なサポート条件、脆弱性対応の手順、セキュリティアドバイザリ、是正の手順、ライフサイクルの情報が出てくるか。契約が終わると何が失われるのかも、そのときに確かめます。これらは機械の適合作業と、顧客との会話の両方を支えます。

同じ問いは、納入先の工場からも返ってきます。納品後に誰が機械へアクセスできるのか。承認と記録はどうなっているのか。脆弱性はどう知らされ、更新はどう扱われ、どの文書が出てくるのか。サポートが終わると何が失われるのか。装置メーカーは、この問いに答えられる状態で商談に臨むことになります。

この絵の中で、Secomeaが担うのはリモートアクセスの部分です。装置メーカーが顧客と監査に示す必要があるのは、誰がいつ機械につながり、何をしたかを説明できる状態です。作業のときだけ接続が確立し、それ以外は現地の機器と外部がつながりません。到達できる範囲は機器と用途ごとに定義した単位で決まり、公開していない機器は同じネットワークの中にあっても到達しません。接続の記録は現場の側から独立して残り、利用者が消すことはできません。Secomeaのリモートアクセスは、この統制を装置メーカーの製品セキュリティの説明に組み込める形で提供します。

供給者の開発プロセスの裏付けについても、示せる事実があります。Secomeaは製品開発プロセスについてIEC 62443-4-1の認証をTÜVから取得し、製品のセキュリティ要件を定めるIEC 62443-4-2については第三者監査により準拠を実証しています。機械の適合作業で供給者に求められる文書とライフサイクルの情報を、根拠とともに出せる立場にあります。

はっきりさせておきたいのは、Secomeaを組み込めば機械がこの法律に適合する、という話ではないことです。適合は機械全体の製造者の仕事であり、部品の供給者が肩代わりすることはできません。Secomeaが提供するのは、その説明を支える統制と文書です。

EU向けの機械にこれから取り組む段階でも、すでに設置台数を抱えている段階でも、機械のセキュリティモデルのどこにリモートアクセスを置くかから、ご相談ください。

出典：Regulation (EU) 2024/2847（EUサイバーレジリエンス法）本文および前文。欧州委員会 Communication C(2026) 5252 および附属ガイダンス（2026年7月27日公表）。