規制・規格
EUサイバー
EUサイバーレジリエンス法（Cyber Resilience Act：CRA）への対応では、装置メーカーが販売する装置全体について、適用対象と製品分類を確認し、リスク評価、必要な対策、適合性評価を進めます。Secomea製品を採用する場合も、この作業は必要です。このページでは、装置メーカーが行う対応と、Secomeaの機能・製品情報を活用できる範囲を説明します。
なぜ EU 輸出メーカーに関係するのか
CRA は、製品が「市場に出られるか」を決める。
EU に製品を出すなら、製造地を問わず適用される。非適合は、EU 市場での販売不可——CE マークが取れないことを意味する。
| 時期 | 段階 | 内容 |
|---|---|---|
| 2024.12 | 発効 | CRA の発効 デジタル要素を持つ製品に、セキュリティ要件を市場投入の条件として導入。 |
| 2026.09 | 報告義務 | 報告義務の開始 現に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントの当局報告が義務になった（2026年9月11日から適用。2027年12月の本格適用より前に市場に出した製品も対象）。 |
| 2027.12 | 本格適用 | 本格適用 必須要件・適合性評価・CE マーキング・技術文書がすべて要求される。 |
| 期限後 | ゲートが閉じる | CE が取れない ＝ 販売不可 適合を示せない製品は、EU 市場に出せなくなる。 ＝ 受注・出荷の可否に直結 |
論点は「いつか対応」ではない。
報告義務への対応と、2027年12月11日からの主要な義務への準備を、並行して進める必要がある。
規制の概要
EUサイバーレジリエンス法（CRA）とは
CRA（規則 EU 2024/2847）は、デジタル要素を持つ製品（PDE：Product with Digital Elements）のサイバーセキュリティを市場投入の条件として義務化するEU規則です。ソフトウェアやハードウェア製品、およびその遠隔データ処理ソリューションが対象となります。
CRAはRegulation（規則）のため、NIS2指令（Directive）と異なり、EU各国の国内法転置を待たず直接適用されます。EU市場に製品を「入手可能な状態に置く」ことがトリガーとなります。
対象はEU向けに接続機能を持つ装置を出す日本メーカー（OEM）および EU顧客向け部品供給者です。日本国内のみで完結する製品は直接対象外ですが、EU向け輸出品・EU企業へのサプライチェーン供給があれば適用を検討する必要があります。
CRAは2024年12月10日に発効した。主要な義務の適用は2027年12月11日からであり、これに先立って、現に悪用されている脆弱性と重大なインシデントの報告義務が2026年9月11日から適用されている。報告義務は、2027年12月11日より前に市場に出した製品にも適用される（Article 69(3)）。
CRAが適用されるケース
- EU市場に接続機能を持つ製品・機器を出荷・販売する
- EU企業へ組み込みコンポーネントや部品を供給する
- EU向けソフトウェア製品・ファームウェアを提供する
- EU市場に出す製品の遠隔データ処理（製品の機能に必要で、製造者の責任で設計・開発されたクラウド機能など）を提供する
- EU域内で製品を製造・輸入・流通させる
製造地や企業本社の所在地を問わず、EUに製品を出す限り適用されます。
製品の分類
対象製品と製品クラス（Class I / Class II）
CRAでは、製品の主要機能に応じて適合性評価の手続きが変わります。一般の製品では内部管理による自己評価を選べますが、Annex IIIの「重要製品」はClass I・Class IIに分類されます。
Annex III・重要製品
Class I
主な例
VPN・ネットワーク管理・SIEM・OS・ルータ・スイッチなど。
適合性評価
該当する調和規格・共通仕様などを適用する場合は、条件を満たせば自己評価を選べます。適用しない、一部しか適用しない、または該当する規格等がない場合は、対象要件について第三者評価が必要です。
Annex III・重要製品
Class II
主な例
ファイアウォール・IDS/IPS・ハイパーバイザ・コンテナ実行環境・耐タンパ性を備えたマイクロプロセッサなど。
適合性評価
原則として第三者評価が必要です。適用可能なEUサイバーセキュリティ認証制度がある場合の手続きや、フリー／オープンソースソフトウェアの特則は、別途条件を確認します。
Class IIとは別に、Annex IVには「極めて重要な製品（critical products）」が定められています。施行規則2025/2392は製品カテゴリーの技術的説明を定めるもので、適合性評価の手続きはCRA Article 32などに基づきます。
⚠ 製品クラスの断定に注意：「セキュアリモートアクセス製品＝自動的にClass II」等の断定はできません。製品クラスはcore functionality（主要機能：VPN・IAM・ネットワーク管理・ファイアウォールのどれが主たる機能か）と製品単位で判定されます。Class I・IIの部品を組み込んだだけで、最終製品が同じクラスになるわけでもありません（Article 7）。販売する装置の分類については専門家への確認を推奨します。
Secomeaは、OTセキュアリモートアクセスのコンポーネントサプライヤとして、装置メーカーが装置全体のCRA適合を評価する際に参照できる技術情報と、IEC 62443の認証・第三者監査の資料を提供します。
Secomea製品を組み込む装置メーカーは、資料の対象範囲を確認したうえで、Secomeaの4-1認証・4-2準拠の資料を、装置全体のCRA技術文書・適合性評価に活用できます。
義務の全体像
CRAが製品メーカーに課す主要義務
CRAはデジタル要素を持つ製品の設計・開発・運用にわたって包括的な義務を課します。主要な義務は次の4分野に整理できます。
- ①
適合性評価・CE マーキング・技術文書（Article 32／Annex VIII）
CRAが要求するセキュリティ要件（Annex I）を満たすことを適合性評価で示し、CEマーキングを付してEU適合宣言（DoC）を発行します。これは各製品のmanufacturer（製造者）の義務です。
- 一般の製品：内部管理による自己評価などを選択
- Class I：調和規格・共通仕様等の適用条件に応じて自己評価または第三者評価
- Class II：原則として第三者評価。EU認証制度やフリー／オープンソースソフトウェアの特則は条件を確認
- ②
脆弱性ハンドリング・サポート期間（Article 13）
市場投入時に定めるサポート期間を通じて、脆弱性への対応を継続する必要があります。
- ・サポート期間：想定使用期間や利用者の合理的な期待などを踏まえて設定し、原則少なくとも5年。想定使用期間が5年未満なら、その期間とする。購入時に終了年月を明示する
- ・PSIRT体制：脆弱性情報の受付・評価・対応・開示プロセスの整備
- ・コーディネーション：サードパーティコンポーネントの脆弱性管理も含む
- ③
SBOM（ソフトウェア部品表）の整備（Annex I Part II）
脆弱性と構成要素を把握するため、機械可読で一般的に使われる形式のSBOMを作成します。少なくとも最上位の依存関係を含めます。
- 作成の根拠：Annex I Part II (1)
- 公開範囲：全顧客への一律公開は要求されません。当局の要求への対応と、統合者に必要な情報の提供を区別します
- 統合者への情報：Annex II 8(f)は、統合先の適合や技術文書に必要な情報を求めます。SBOM全体を常に提供するという意味ではありません
- ④
脆弱性・重大インシデントの報告義務（Article 14）
製造者の報告義務は2026年9月11日から適用されています。現に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントが対象です。ENISAの単一報告プラットフォーム（SRP）を通じて報告します。
報告ごとに異なる期限と起算点
| 報告 | 期限 | 起算点 |
|---|---|---|
| 早期警告 | 24時間以内 | 脆弱性の悪用または重大インシデントを認識した時点 |
| 脆弱性・インシデントの通知 | 72時間以内 | 脆弱性の悪用または重大インシデントを認識した時点 |
| 悪用された脆弱性の最終報告 | 14日以内 | 是正措置が利用可能になった時点 |
| 重大インシデントの最終報告 | 1か月以内 | 72時間以内のインシデント通知を提出した時点 |
報告期限の起算点と適用開始日は、欧州委員会の報告義務の案内で確認できます（2026年10月4日確認）。
CRAの4つの義務分野において、Secomeaはコンポーネントサプライヤとして以下を提供します：
- 適合性評価の参考資料 — 4-1の認証書（TÜV SÜD）と、4-2の第三者監査の証明書（TG alpha）の提示、製品の技術資料の提供
- 脆弱性ハンドリング — CNAとしての脆弱性管理プロセスと、対象製品のサポート期間に応じた脆弱性対応・セキュリティ更新の提供
- 報告に備えた記録 — 監査ログと、セッション録画（Professional・Premium。ブラウザ経由のRDP・VNC・SSH・Telnet接続が対象）が、リモートアクセス部分の調査の記録になる
技術的土台
CRA × IEC 62443：技術的な土台、ただし「土台だけでは完結しない」
IEC 62443はCRA Annex I（セキュリティ要件）と重なる要素の多い技術的な土台です。しかし「IEC 62443に準拠すればCRA対応完了」ではありません。
62443がカバーする領域
- •IEC 62443-4-1（セキュアな製品開発ライフサイクル）→ CRA Annex I Part II 脆弱性ハンドリング要件と重なる
- •IEC 62443-4-2（コンポーネント技術セキュリティ要件）→ CRA Annex I Part I の製品のサイバーセキュリティ要件と広く重なる
- •Secomeaの4-1認証（TÜV）と4-2の第三者監査は、装置メーカーがCRA技術文書・適合性評価で参照できる供給者側の資料
62443だけでは完結しないCRA固有義務
- •報告義務 → 24時間・72時間の通知と、対象ごとに起算点が異なる最終報告を実行する体制
- •EU適合宣言（DoC）・CEマーキング → 各製品の製造者が実施する法的手続き
- •SBOM整備・管理 → 最終製品での統合・更新・開示管理
- •想定使用期間に応じたサポート → 原則5年以上。製品全体の脆弱性対応を継続
調和規格と適合性推定：適合性推定は、EU官報に参照が掲載された調和規格について、その規格が対象とする要件の範囲で適用されます。IEC 62443の認証・監査だけで、CRA全体への適合を証明したことにはなりません。適用する規格と評価手続きは、欧州委員会の適合性評価の案内と製品ごとの資料で確認します。
IEC 62443-4-1の認証と4-2の第三者監査は、Secomeaの開発プロセスや製品のセキュリティを確認するための資料です。装置メーカーは、資料の対象範囲を確認し、装置全体のリスク評価と適合性評価に活用してください。これらの資料だけで、CRAのすべての要求事項を満たしたことにはなりません。
Secomeaは、開発プロセスについてIEC 62443-4-1の認証（TÜV）を取得し、製品のIEC 62443-4-2への準拠を第三者監査で実証しています。
Secomeaの支援
CRA義務 ── どこまでが Secomea、どこからが 装置メーカーか
装置メーカーは、Secomea製品を採用する場合も、販売する装置全体について、CRAへの適合性を評価し、必要な対応を行う必要があります。Secomea製品の採用だけで、装置全体のCRA対応が完了するわけではありません。
評価に当たっては、対象となるSecomea製品の適合状況、サポート期間、更新・脆弱性に関する情報を確認してください。Secomea製品そのものに関する製造者の義務はSecomeaが担いますが、ここで説明しているのは責任の分担であり、製品のCRA適合完了を表明するものではありません。
→ より詳細な線引き（IEC 62443に基づくFR別 責任分担モデル）を見る| 対応項目 | Secomea製品についてSecomeaが担う範囲 | 装置全体について装置メーカーが行うこと |
|---|---|---|
| 設計・脆弱性対応 | Secomea製品のリスク評価、安全な設計・開発、脆弱性対応、サポート情報の提供 | 組み込む製品と接続構成を含めてリスクを評価し、必要な対策、脆弱性対応の体制、サポート期間を定める |
| 技術文書・ソフトウェア部品表 | Secomea製品の文書・部品情報を管理し、装置への組み込みに必要な情報を提供する | 装置の構成を把握し、技術文書とソフトウェア部品表を整備・更新する。当局の要求への対応を準備する |
| 適合性評価・CEマーキング・EU適合宣言 | Secomea製品に適用される適合性評価と手続きを行う義務。現時点の適合状況は対象製品の資料で確認 | 装置の分類に応じた適合性評価を行い、装置全体の技術文書、EU適合宣言、CEマーキングを整える |
| 脆弱性・重大インシデントの報告 | Secomea製品について報告対象に該当するか判断し、必要な報告・情報提供を行う | 装置全体への影響と報告の要否を判断し、期限内の報告と顧客への連絡を行う体制を整える |
この責任分界をめぐって装置メーカーが見誤りやすい点は、EUサイバーレジリエンス法で装置メーカーが見誤りやすい5つの点で、非IP接続・部品の分類・サポート期間など5点を条文に沿って整理しています。
Secomeaのアクセス管理と接続記録は、遠隔保守の対策や調査に活用できます。装置メーカーは、必要な製品資料を確認し、装置全体の評価・文書・運用に反映してください。
販売する装置のCRA対応で、遠隔保守のアクセス管理と記録をどう使うか検討する際は、お問い合わせください。
CRA 固有の論点
CRA × EU 機械規則：二重対応が必要
EUへ装置を輸出する装置メーカーは、CRAに加えてEU機械規則（規則2023/1230）も考慮する必要があります。「CRAで機械規則のサイバー要件も一本化される」という誤解に注意してください。
EU機械規則 2023/1230
装置の安全性に関するEU規則。2027年1月20日から適用。
- •Annex III 1.1.9「Protection against corruption」がサイバーセキュリティ要件を含む
- •装置の安全機能・制御システムへの不正アクセス・改ざんを防ぐための対策を要求
- •CE マーキングの取得は機械規則との適合も前提
二重対応が必要な理由
CRAと機械規則は互いに排他的ではなく、それぞれ独立したEU法令として両方に適合する必要があります。
- •CRAは製品のサイバーセキュリティに特化した横断的規則
- •機械規則は装置の総合的な安全性を規定（サイバー要件はその一部）
- •⚠ 「CRAで機械規則のサイバー要件も一本化される」とは断定できない。両規則を個別に確認・適合すること
Secomeaのリモートアクセスは、EUへ装置を出す装置メーカー（OEM）に、両規則で問われる遠隔アクセスの制御と記録について、説明に使える機能と資料を提供します。両規則への適合判断と手続きは装置メーカーが行います。
装置のCRA・機械規則への二重対応についての詳細は、装置メーカー向けソリューションをご覧ください。
Secomea自身の取り組み
信頼の構築──CRAが前提とするセキュアバイデザインの裏付け
Secomeaは、製品の開発プロセスと脆弱性への対応について、第三者の認証・監査と公開された手順で取り組みを示しています。CRAが求める「セキュアバイデザイン」と「脆弱性ハンドリング」に関わる資料ですが、これらの資料だけでCRAの要求事項を満たしたことにはなりません。Secomeaは世界8,000社以上のOT環境で採用されています。
IEC 62443-4-1 認証取得（TÜV）
セキュアな製品開発ライフサイクルについて第三者認証を取得。CRA Annex I Part IIの脆弱性ハンドリング要件に関わる資料です
IEC 62443-4-2 準拠を実証
コンポーネント（製品）の技術セキュリティ要件について第三者監査により準拠を実証。CRA Annex I Part Iの製品のサイバーセキュリティ要件と重なる
ISAE 3402 Type 2 報告書
GateManagerと関連する統制の設計・運用の有効性を独立した監査人が評価した保証報告書。公開されている2025年版の対象期間は2024年3月7日〜2025年2月17日です。ISO 27002に基づく組織的なセキュリティ対策の裏付け
CVE番号割り当て機関（CNA）認定
CISAに認められたCVE採番機関（CNA）で、デンマークで最初のCNA。脆弱性管理プロセスの透明性を示し、CRAの脆弱性ハンドリングと報告への備えを支える
Secomeaのこれらの認証・取り組みは、Secomeaを採用する装置メーカーが装置全体のCRA技術文書を整える際に参照できる資料です。組み込んだリモートアクセス部品について、供給者側の開発プロセスと脆弱性対応を説明する材料になります。
Secomeaの4-1認証・4-2の第三者監査・CNAとしての脆弱性公開は、CRAが求めるセキュアバイデザインと脆弱性ハンドリングについて、供給者側の取り組みを示す資料です。装置全体のCRAへの適合は、装置メーカーが評価します。
よくある質問
Secomea製品はCRA認証を取得していますか？
Secomea製品はCRAのClass IIに分類されますか？
IEC 62443に準拠していればCRA対応は完了しますか？
CRAは日本のメーカーにも適用されますか？
CRAのサポート期間義務はどのくらいですか？
SBOMは全顧客に公開が必要ですか？
次に確認したい情報
NEXT STEP
導入に向けて、相談する
対象設備や運用上の課題についてお聞かせください。Secomeaの接続構成・アクセス管理機能・提供可能な製品資料をご案内します。