規制・規格
CRA対応を Secomeaが支援する
EUサイバーレジリエンス法（CRA）が製品メーカーに課すセキュリティ要件。製品クラス分類、適合性評価・CE・SBOM・脆弱性報告・サポート期間、IEC 62443との関係、Secomeaの責任分担まで解説します。
なぜ EU 輸出メーカーに関係するのか
CRA は、製品が「市場に出られるか」を決める。
EU に製品を出すなら、製造地を問わず適用される。非適合は、EU 市場での販売不可——CE マークが取れないことを意味する。
| 時期 | 段階 | 内容 |
|---|---|---|
| 2024.12 | 発効 | CRA の発効 デジタル要素を持つ製品に、セキュリティ要件を市場投入の条件として導入。 |
| 2026.09 | 報告義務 | 報告義務の開始 脆弱性・重大インシデントの当局報告が義務になった（2026年9月11日から適用。2027年12月の本格適用より前に市場に出した製品も対象）。 |
| 2027.12 | 本格適用 | 本格適用 必須要件・適合性評価・CE マーキング・技術文書がすべて要求される。 |
| 期限後 | ゲートが閉じる | CE が取れない ＝ 販売不可 適合を示せない製品は、EU 市場に出せなくなる。 ＝ 受注・出荷の可否に直結 |
論点は「いつか対応」ではない。
「2027年12月までに間に合うか」だ。
規制の概要
EUサイバーレジリエンス法（CRA）とは
CRA（規則 EU 2024/2847）は、デジタル要素を持つ製品（PDE：Product with Digital Elements）のサイバーセキュリティを市場投入の条件として義務化するEU規則です。ソフトウェアやハードウェア製品、およびその遠隔データ処理ソリューションが対象となります。
CRAはRegulation（規則）のため、NIS2指令（Directive）と異なり、EU各国の国内法転置を待たず直接適用されます。EU市場に製品を「入手可能な状態に置く」ことがトリガーとなります。
対象はEU向けに接続機能を持つ機械・装置を出す日本メーカー（OEM）および EU顧客向け部品供給者です。日本国内のみで完結する製品は直接対象外ですが、EU向け輸出品・EU企業へのサプライチェーン供給があれば適用を検討する必要があります。
CRAは2024年12月10日に発効した。主要な義務の適用は2027年12月11日からであり、これに先立って、現に悪用されている脆弱性と重大なインシデントの報告義務が2026年9月11日から適用されている。報告義務は、2027年12月11日より前に市場に出した製品にも適用される（Article 69(3)）。
CRAが適用されるケース
- EU市場に接続機能を持つ製品・機器を出荷・販売する
- EU企業へ組み込みコンポーネントや部品を供給する
- EU向けソフトウェア製品・ファームウェアを提供する
- EU市場に出す製品の遠隔データ処理（製品の機能に必要で、製造者の責任で設計・開発されたクラウド機能など）を提供する
- EU域内で製品を製造・輸入・流通させる
製造地や企業本社の所在地を問わず、EUに製品を出す限り適用されます。
製品の分類
対象製品と製品クラス（Class I / Class II）
CRAでは、製品の主要機能に応じて適合性評価の手続きが変わります。一般の製品では内部管理による自己評価を選べますが、Annex IIIの「重要製品」はClass I・Class IIに分類されます。
Annex III・重要製品
Class I
主な例
VPN・ネットワーク管理・SIEM・OS・ルータ・スイッチなど。
適合性評価
該当する調和規格・共通仕様などを適用する場合は、条件を満たせば自己評価を選べます。適用しない、一部しか適用しない、または該当する規格等がない場合は、対象要件について第三者評価が必要です。
Annex III・重要製品
Class II
主な例
ファイアウォール・IDS/IPS・ハイパーバイザ・コンテナ実行環境・耐タンパ性を備えたマイクロプロセッサなど。
適合性評価
原則として第三者評価が必要です。適用可能なEUサイバーセキュリティ認証制度がある場合の手続きや、フリー／オープンソースソフトウェアの特則は、別途条件を確認します。
Class IIとは別に、Annex IVには「極めて重要な製品（critical products）」が定められています。施行規則2025/2392は製品カテゴリーの技術的説明を定めるもので、適合性評価の手続きはCRA Article 32などに基づきます。
⚠ 製品クラスの断定に注意：「セキュアリモートアクセス製品＝自動的にClass II」等の断定はできません。製品クラスはcore functionality（主要機能：VPN・IAM・ネットワーク管理・ファイアウォールのどれが主たる機能か）と製品単位で判定されます。Class I・IIの部品を組み込んだだけで、最終製品が同じクラスになるわけでもありません（Article 7）。自社製品の分類については専門家への確認を推奨します。
Secomeaは、OTセキュアリモートアクセスのコンポーネントサプライヤとして、装置メーカーが自社製品のCRA適合を示す際に参照できる技術情報と第三者評価の資料を提供します。
Secomea製品を組み込む装置メーカーは、Secomeaの4-1認証・4-2準拠の証跡を、自社最終製品のCRA技術文書・適合性評価に活用できます。
義務の全体像
CRAが製品メーカーに課す主要義務
CRAはデジタル要素を持つ製品の設計・開発・運用にわたって包括的な義務を課します。主要な義務は次の4分野に整理できます。
- ①
適合性評価・CE マーキング・技術文書（Article 32／Annex VIII）
CRAが要求するセキュリティ要件（Annex I）を満たすことを適合性評価で示し、CEマーキングを付してEU適合宣言（DoC）を発行します。これは最終製品のmanufacturer（製造者）の義務です。
- 一般の製品：内部管理による自己評価などを選択
- Class I：調和規格・共通仕様等の適用条件に応じて自己評価または第三者評価
- Class II：原則として第三者評価。EU認証制度やフリー／オープンソースソフトウェアの特則は条件を確認
- ②
脆弱性ハンドリング・サポート期間（Article 13）
市場投入時に定めるサポート期間を通じて、脆弱性への対応を継続する必要があります。
- ・サポート期間：想定使用期間や利用者の合理的な期待などを踏まえて設定し、原則少なくとも5年。想定使用期間が5年未満なら、その期間とする。購入時に終了年月を明示する
- ・PSIRT体制：脆弱性情報の受付・評価・対応・開示プロセスの整備
- ・コーディネーション：サードパーティコンポーネントの脆弱性管理も含む
- ③
SBOM（ソフトウェア部品表）の整備（Annex I Part II）
脆弱性と構成要素を把握するため、機械可読で一般的に使われる形式のSBOMを作成します。少なくとも最上位の依存関係を含めます。
- 作成の根拠：Annex I Part II (1)
- 公開範囲：全顧客への一律公開は要求されません。当局の要求への対応と、統合者に必要な情報の提供を区別します
- 統合者への情報：Annex II 8(f)は、統合先の適合や技術文書に必要な情報を求めます。SBOM全体を常に提供するという意味ではありません
- ④
脆弱性・重大インシデントの報告義務（Article 14）
製造者の報告義務は2026年9月11日から適用されています。現に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントが対象です。ENISAの単一報告プラットフォーム（SRP）を通じて報告します。
報告ごとに異なる期限と起算点
| 報告 | 期限 | 起算点 |
|---|---|---|
| 早期警告 | 24時間以内 | 脆弱性の悪用または重大インシデントを認識した時点 |
| 脆弱性・インシデントの通知 | 72時間以内 | 脆弱性の悪用または重大インシデントを認識した時点 |
| 悪用された脆弱性の最終報告 | 14日以内 | 是正措置が利用可能になった時点 |
| 重大インシデントの最終報告 | 1か月以内 | 72時間以内のインシデント通知を提出した時点 |
報告期限の起算点と適用開始日は、欧州委員会の報告義務の案内で確認できます（2026年10月4日確認）。
CRAの4つの義務分野において、Secomeaはコンポーネントサプライヤとして以下を提供します：
- 適合性評価の参考資料 — 4-1の認証書（TÜV SÜD）と、4-2の第三者監査の証明書（TG alpha）の提示、製品の技術資料の提供
- 脆弱性ハンドリング — CNA認定による透明な脆弱性管理プロセス・継続的ファームウェアアップデート
- 報告に備えた記録 — 監査ログと、セッション録画（Professional・Premium。ブラウザ経由のRDP・VNC・SSH・Telnet接続が対象）が、リモートアクセス部分の調査の記録になる
技術的土台
CRA × IEC 62443：技術的な土台、ただし「土台だけでは完結しない」
IEC 62443はCRA Annex I（セキュリティ要件）と重なる要素の多い技術的な土台です。しかし「IEC 62443に準拠すればCRA対応完了」ではありません。
62443がカバーする領域
- •IEC 62443-4-1（セキュアな製品開発ライフサイクル）→ CRA Annex I Part II 脆弱性ハンドリング要件と重なる
- •IEC 62443-4-2（コンポーネント技術セキュリティ要件）→ CRA Annex I Part I の機能セキュリティ要件と広く重なる
- •Secomeaの4-1認証（TÜV）と4-2の第三者監査は、装置メーカーがCRA技術文書・適合性評価で参照できる供給者側の資料
62443だけでは完結しないCRA固有義務
- •報告義務 → 24時間・72時間の通知と、対象ごとに起算点が異なる最終報告を実行する体制
- •EU適合宣言（DoC）・CEマーキング → 最終製品manufacturerが実施する法的手続き
- •SBOM整備・管理 → 最終製品での統合・更新・開示管理
- •想定使用期間に応じたサポート → 原則5年以上。製品全体の脆弱性対応を継続
調和規格と適合性推定：適合性推定は、EU官報に参照が掲載された調和規格について、その規格が対象とする要件の範囲で適用されます。IEC 62443の認証・監査だけで、CRA全体への適合を証明したことにはなりません。適用する規格と評価手続きは、欧州委員会の適合性評価の案内と製品ごとの資料で確認します。
着地点：「Secomeaは4-1認証・4-2準拠により、装置メーカーのCRA適合で求められる証跡整備を支援します。」これが現時点での正確な表現です。「CRA認証取得」とは言いません。
IEC 62443-4-1認証取得（TÜV）とIEC 62443-4-2の第三者監査による準拠実証は、Secomea製品を組み込む装置メーカーがCRA適合性評価を行う際の技術的な土台となります。
Secomeaの支援
CRA義務 ── どこまでが Secomea、どこからが 装置メーカー（製造者）か
CRAの義務主体は最終製品を市場に出す「manufacturer（製造者）」＝装置メーカーです。Secomeaはコンポーネントサプライヤとして、装置メーカーが最終製品のCRA義務を果たすための技術的土台を提供します。
下表はCRA義務レベルの分界です。CE・EU適合宣言・最終製品の製造者責任は、製品を市場に出す装置メーカーに固定されます。Secomeaはコンポーネント供給者として証跡を連結します。
→ より詳細な線引き（IEC 62443に基づくFR別 責任分担モデル）を見る| CRA 義務 | Secomea が担う 準拠コンポーネント供給者領域 | 装置メーカー が担う 最終製品 manufacturer 領域 |
|---|---|---|
| セキュアバイデザイン・脆弱性ハンドリング | 4-1認証プロセス・4-2準拠機能・CNA認定によるCVE管理・セキュアな製品開発ライフサイクル | 最終製品の脆弱性ハンドリング体制・PSIRT整備・想定使用期間に応じたサポート期間の運用・コンポーネントEOL管理 |
| 技術文書・SBOM | コンポーネントのセキュリティ仕様・構成情報の提供・使用コンポーネントの一覧・脆弱性情報の共有 | 最終製品の技術文書整備・SBOM統合・当局の要求への対応・統合者への必要情報の提供・更新管理 |
| 適合性評価・CE・EU適合宣言 | （供給者として）準拠の証跡提供・認証書・監査報告書・技術仕様の開示 | 最終製品の適合性評価・CEマーキング・EU適合宣言（DoC）（装置メーカー固定・委譲不可） |
| 報告義務（脆弱性・インシデント） | 製品コンポーネントの脆弱性情報・監査ログ基盤・セッション録画によるインシデント証跡 | 早期警告・通知・最終報告の実行・ENISA Single Reporting Platform連携・経営層の判断・対応手順の運用 |
この責任分界をめぐって装置メーカーが見誤りやすい点は、EUサイバーレジリエンス法で装置メーカーが見誤りやすい5つの点で、非IP接続・部品の分類・サポート期間など5点を条文に沿って整理しています。
責任分界表に示した機能・証跡はSecomea Primeプラットフォームで提供されています。
自社製品のCRA対応で必要な技術的証跡の整備について、具体的な検討を始めるにはお問い合わせください。
CRA 固有の論点
CRA × EU 機械規則：二重対応が必要
EUへ機械・装置を輸出する装置メーカーは、CRAに加えてEU機械規則（規則2023/1230）も考慮する必要があります。「CRAで機械規則のサイバー要件も一本化される」という誤解に注意してください。
EU機械規則 2023/1230
機械・装置の安全性に関するEU規則。2027年1月20日から適用。
- •Annex III 1.1.9「Protection against corruption」がサイバーセキュリティ要件を含む
- •機械の安全機能・制御システムへの不正アクセス・改ざんを防ぐための対策を要求
- •CE マーキングの取得は機械規則との適合も前提
二重対応が必要な理由
CRAと機械規則は互いに排他的ではなく、それぞれ独立したEU法令として両方に適合する必要があります。
- •CRAは製品のサイバーセキュリティに特化した横断的規則
- •機械規則は機械・装置の総合的な安全性を規定（サイバー要件はその一部）
- •⚠ 「CRAで機械規則のサイバー要件も一本化される」とは断定できない。両規則を個別に確認・適合すること
Secomeaのリモートアクセスは、EUへ機械・装置を出す装置メーカー（OEM）に、両規則で問われる遠隔アクセスの制御と記録について、説明に使える機能と資料を提供します。両規則への適合判断と手続きは装置メーカーが行います。
機械・装置のCRA・機械規則への二重対応についての詳細は、装置メーカー向けソリューションをご覧ください。
Secomea自身の取り組み
信頼の構築──CRAが前提とするセキュアバイデザインの裏付け
CRAが求める「セキュアバイデザイン」と「脆弱性ハンドリング」を、Secomeaは第三者認証と透明なプロセスで実証しています。世界8,000社以上のOT環境で採用される信頼の根拠です。
IEC 62443-4-1 認証取得（TÜV）
セキュアな製品開発ライフサイクルについて第三者認証を取得。CRA Annex I Part IIの脆弱性ハンドリング要件の根拠となります
IEC 62443-4-2 準拠を実証
コンポーネント（製品）の技術セキュリティ要件について第三者監査により準拠を実証。CRA Annex I Part Iの機能要件と重なる
ISAE 3402 Type 2 報告書
GateManagerと関連する統制の設計・運用の有効性を独立した監査人が評価した保証報告書。公開されている2025年版の対象期間は2024年3月7日〜2025年2月17日です。ISO 27002に基づく組織的なセキュリティ対策の裏付け
CVE番号割り当て機関（CNA）認定
CISAに認められたCVE採番機関（CNA）で、デンマークで最初のCNA。脆弱性管理プロセスの透明性を示し、CRAの脆弱性ハンドリングと報告への備えを支える
Secomeaのこれらの認証・取り組みは、Secomeaを採用する装置メーカーが最終製品のCRA技術文書を整える際に参照できる資料です。組み込んだリモートアクセス部品について、供給者側の開発プロセスと脆弱性対応を説明する材料になります。
Secomeaの4-1認証・4-2の第三者監査・CNAとしての脆弱性公開は、CRAが求めるセキュアバイデザインと脆弱性ハンドリングについて、供給者側の取り組みを示す資料です。CRAへの適合は、最終製品の製造者が評価します。
よくある質問
Secomea製品はCRA認証を取得していますか？
Secomea製品はCRAのClass IIに分類されますか？
IEC 62443に準拠していればCRA対応は完了しますか？
CRAは日本のメーカーにも適用されますか？
CRAのサポート期間義務はどのくらいですか？
SBOMは全顧客に公開が必要ですか？
次に確認したい情報
NEXT STEP
導入に向けて、相談する
対象設備や運用上の課題についてお聞かせください。Secomeaの接続構成・アクセス管理機能・提供可能な製品資料をご案内します。