IoTセキュリティ SBOMスキャナ

2026.08.04

サイバーレジリエンス法(CRA)とは？日本のIoTメーカーが今から準備すべきこと

By 富樫葵

サイバーレジリエンス法(CRA)とは、EU市場に提供されるデジタル要素を含む製品(ソフトウェア・ハードウェアを問わない)に対し、サイバーセキュリティリスク評価やセキュア設計、SBOM(ソフトウェア部品表)の整備、脆弱性対応などを義務づけるEUの規則です。
EU向けに製品を提供する日本のIoT機器メーカーも対象となり、対応を怠ると製品がEU市場に流通できなくなったり、罰則の対象になったりするおそれがあります。

【結論】 CRAは、EU市場にデジタル要素を含む製品を提供する製造者・輸入者・流通業者に、それぞれの立場に応じた義務を課すEUの規則です。中心となるリスク評価・SBOM整備・脆弱性報告体制の構築は主に製造者に課されます。

主要な義務は段階的に適用され、悪用が確認された脆弱性・重大インシデントの報告義務は2026年9月11日から、必須要件・適合性評価などの全面適用は2027年12月11日から始まります。
日本のIoTメーカーも、EU向け製品を扱う場合は対象製品の洗い出し・SBOM整備・脆弱性対応プロセスの構築を今のうちから進める必要があります。

本記事では、CRAの概要・対象範囲・義務内容・適用スケジュールを整理したうえで、日本のIoTメーカーが今から準備すべきことを解説します。

サイバーレジリエンス法(CRA)とは何か？
1. なぜ日本のIoTメーカーにも関係するのか？
CRAの対象になる製品はどこまで含まれるか？
1. 「重要製品」とは何か？
CRAはIoTメーカーに何を義務づけるのか？
CRAの適用スケジュールはどうなっているか？
CRAに違反するとどうなるか？
JC-STARとCRAはどう違うのか？
日本のIoTメーカーは今から何を準備すればよいか？
1. 準備には何を確認すればよいか？
よくある質問
まとめ
当社が支援できること

1. サイバーレジリエンス法(CRA)とは何か？

CRA(Cyber Resilience Act、サイバーレジリエンス法)とは、正式名称を規則(EU)2024/2847とするEUの規則です。
2024年11月20日にEU官報で公布され、公布から20日後の2024年12月10日に発効しました。
（出典：European Commission「Cyber Resilience Act」）

CRAは、ネットワークやデバイスに直接的・間接的に接続する機能を持つ「デジタル要素を含む製品」を対象に、企画・設計段階からのサイバーセキュリティリスク評価とセキュア設計、製品ライフサイクル全体を通じた脆弱性対応、SBOMの整備などを法的義務として定めています。
背景には、IoT機器やソフトウェア製品の脆弱性を悪用したサイバー攻撃が増加し、既存の任意ベースのセキュリティ対策だけでは不十分だという問題意識があります。

1.1. なぜ日本のIoTメーカーにも関係するのか？

CRAでは、企業の所在地ではなく、製品がEU市場で提供されるかどうかが重要になります。
EU域外の企業であっても、自社名や商標で製品をEU市場に提供する場合は、CRA上の製造者として義務を負う可能性があります。
そのため、EU向けにIoT機器を輸出している日本のメーカーも、CRA対応を求められる可能性があります。
部品やモジュールについても、それ自体が「デジタル要素を含む製品」としてEU市場に個別に提供される場合などは、CRAの対象になる可能性があります。
CRA上の義務は、製造者・輸入者・流通業者で内容が異なります。立場ごとの主な義務は次のとおりです。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

立場	主な義務
製造者	サイバーセキュリティリスク評価、必須要件への対応、SBOM整備、脆弱性対応・報告、技術文書作成、適合性評価、CEマーキング
輸入者	製造者が必須要件・適合性評価・技術文書・CEマーキングに対応済みか確認し、不適合製品を流通させない
流通業者	CEマーキング・添付情報(連絡先、サポート期間等)の有無を確認し、不適合製品を取り扱わない

本記事は日本のIoTメーカー向けのため、以降は主に製造者としての義務を中心に解説します。

2. CRAの対象になる製品はどこまで含まれるか？

CRAの対象は「デジタル要素を含む製品」で、ハードウェア・ソフトウェアを問わず、他の機器やネットワークに直接的または間接的に接続する製品が幅広く含まれます。
IoT機器はもちろん、組み込みソフトウェア、OS、ライブラリなどのソフトウェア単体製品も対象になり得ます。
一方、医療機器規則など、EUの他の規則で個別にサイバーセキュリティ要件が定められている一部の製品は、CRAの対象から除外されています。
また、フリー・オープンソースソフトウェア(OSS)については、商業活動の一環としてEU市場に提供される場合にCRAの対象となるのが原則です。
商業活動の一環ではなく提供されるOSSは、通常の製造者義務の対象外とされています。
一方、商業活動での利用を想定した特定のOSS製品について、継続的・体系的に開発を支援する「オープンソース・ソフトウェア・スチュワード」には、通常の製造者とは異なる個別の義務が設けられています。
IoT製品はOSSライブラリを多数含むことが多いため、OSS自体が商業活動の一環として提供されているかを確認することも重要です。ただし、組み込んだOSSの提供者が通常のCRA上の製造者義務の対象外であっても、完成品メーカーの義務が免除されるわけではありません。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

完成品メーカーには、無償のOSSを含む第三者製コンポーネントを組み込む際にデューデリジェンスを行い、脆弱性を発見した場合はコンポーネントの開発・保守主体へ報告したうえで、自社製品側でも対応・修正することが求められます。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

2.1. 「重要製品」とは何か？

CRAは、すべての対象製品を一律の水準で扱うのではなく、リスクの高さに応じて区分を設けています。
一般的な製品の多くは、メーカー自身による自己適合評価を選択できます。
一方、重要製品Class Iでは、整合規格や共通仕様などを適用した場合に自己適合評価が認められますが、それ以外の場合は通知機関による第三者評価が必要です。重要製品Class IIについては、第三者評価または利用可能なEUサイバーセキュリティ認証スキームが必要になります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

クリティカル製品については、現時点では通知機関による第三者評価が必須です。将来、欧州委員会が条件を定めたEUサイバーセキュリティ認証スキームが利用可能になれば、当該認証を用いて通知機関を介さずに適合を証明できる可能性がありますが、条件は今後の委任行為で規定される予定であり、2026年7月時点では未確定です。
（出典：European Commission「Cyber Resilience Act - Conformity assessment」）

整理すると、次のとおりです。

製品区分	主な適合性評価の方法
一般製品	原則として自己適合評価を選択可能
重要製品Class I	整合規格・共通仕様等を適用した場合は自己評価可能。それ以外は通知機関による第三者評価
重要製品Class II	第三者評価または利用可能なEUサイバーセキュリティ認証スキーム
クリティカル製品	現時点では通知機関による第三者評価が必須。将来、条件を満たすEU認証スキームが利用可能になれば代替できる可能性がある

自社製品がどの区分に該当するかによって必要な対応工数や費用が大きく変わるため、早い段階で区分の確認を行うことが重要です。

3. CRAはIoTメーカーに何を義務づけるのか？

CRAが製造者に求める主な義務は、大きく分けてサイバーセキュリティリスク評価とセキュア設計、SBOMの整備、脆弱性・重大インシデントの報告、適合性評価・技術文書・CEマーキング、サポート期間の設定という5つです。

3.1. サイバーセキュリティリスク評価とセキュア設計とは何か？

CRAでは、製造者が製品に関するサイバーセキュリティリスク評価を実施し、その結果を企画・設計・開発・製造・提供・保守の各段階で考慮することが義務づけられています。
評価結果は技術文書の一部として記録し、必須要件への適合を裏付ける根拠として保管しておく必要があります。リスク評価は一度実施して終わりではなく、サポート期間中も必要に応じて更新することが求められます。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

3.2. SBOM(ソフトウェア部品表)の作成・管理義務とは何か？

CRAでは、製品に含まれるコンポーネントと既知の脆弱性を特定・文書化するため、一般的に使用される機械可読形式でSBOMを作成することが求められます。
対象範囲は、少なくとも製品のトップレベルの依存関係を含むことが求められます。
SBOMを一般公開したり、規制当局へ定期的に提出したりする義務ではありません。
（出典：European Commission「Cyber Resilience Act」）

ただし、SBOMを適切に管理し、市場監視当局から理由を示した要求を受けた場合に、必須要件への適合を示すために必要な情報・文書として提供できる状態にしておく必要があります。
SBOMをめぐる基本的な考え方については、以下の記事でも解説しています。

SBOM(えすぼむ)って何？～SBOMをまだ知らない人に分かりやすく解説～　　　　　

3.3. 脆弱性・重大インシデントの報告義務とは何か？

CRAでは、悪用が確認された脆弱性や重大なセキュリティインシデントを把握した場合、単一報告プラットフォームを通じて、CRA第14条7項に基づいて決まる管轄の調整CSIRTとENISA(EUサイバーセキュリティ機関)に報告することが義務づけられています。
EU域内に主たる拠点を持つ製造者は、その拠点があるEU加盟国のCSIRTが調整CSIRTになります。ここでいう主たる拠点とは、原則として、製品のサイバーセキュリティに関する意思決定が主に行われるEU加盟国の拠点を指し、特定できない場合はEU域内で従業員数が最も多い拠点の加盟国とされます。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

一方、EU域内に主たる拠点がない日本メーカーの場合は、
(1)当該メーカーの製品を最も多く担当する認定代理人の所在地
(2)当該メーカーの製品を最も多く市場投入する輸入者の所在地
(3)当該メーカーの製品を最も多く市場提供する流通業者の所在地
(4)当該メーカーの製品ユーザーが最も多い加盟国
という優先順位で報告先のEU加盟国が決まります。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

具体的な報告期限は、把握から24時間以内の早期警告、72時間以内の本通知が必要です。
そのうえで、悪用が確認された脆弱性については是正・緩和策が利用可能になってから14日以内、重大インシデントについては72時間以内の本通知から1か月以内に最終報告を行うという段階的なスケジュールが定められています。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

また、製造者は、悪用が確認された脆弱性や重大インシデントを把握した場合、影響を受ける利用者にその内容を通知し、必要に応じて、利用者が実施できるリスク軽減策・是正策を伝える必要があります。状況によっては、すべての利用者への通知が求められます。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

3.4. 適合性評価・技術文書・CEマーキングとは何か？

CRAでは、必須要件への適合を証明するため、技術文書の作成、適合性評価の実施、EU適合宣言の作成、CEマーキングの表示が製造者に求められます。
適合性評価が自己評価と第三者評価のどちらになるかは、製品区分(一般製品/重要製品Class I/Class II/クリティカル製品)によって異なり、詳細は前述の「重要製品とは何か？」で整理したとおりです。

3.5. サポート期間の設定とセキュリティアップデートとは何か？

CRAでは、製造者が製品の想定使用期間等を踏まえて脆弱性対応を行うサポート期間を設定し、その終了年月を利用者に分かりやすく示す必要があります。
サポート期間は原則として5年以上ですが、製品の想定使用期間が5年未満の場合は、その期間に合わせることが認められています。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

長期間使用される産業機器やネットワーク機器では、5年を超えるサポート期間の設定が必要になる場合があります。
また、特定されたセキュリティ上の問題に対応するアップデートは、原則として遅滞なく無償で提供し、利用者が必要な対応を判断できる説明を添える必要があります。

ただし、特定の事業利用者向けに作られた特注製品で、製造者と利用者が別途合意した場合には、無償提供の例外が認められます。
サポート期間中に提供した各セキュリティアップデートは、公開後最低10年間、または残りのサポート期間のうち長い方の期間、利用可能な状態を維持する必要があります。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

4. CRAの適用スケジュールはどうなっているか？

CRAは発効後すぐにすべての義務が適用されるわけではなく、義務の種類ごとに段階的に適用が始まります。

時期	適用される内容
2024年12月10日	CRA発効
2026年6月11日	適合性評価機関の指定に関する手続きが適用開始
2026年9月11日	悪用が確認された脆弱性・重大インシデントの報告義務が適用開始
2027年12月11日	セキュリティに関する必須要件・適合性評価などが全面適用

（出典：European Commission「Cyber Resilience Act - Reporting obligations」）

2027年12月という期限だけを見て「まだ先の話」と捉えると、2026年9月から始まる報告義務への対応が後手に回るおそれがあります。
準備には一定の期間を要するため、スケジュールを正しく認識したうえで早めに着手することが重要です。

5. CRAに違反するとどうなるか？

CRAには、高額な制裁金の規定が設けられています。
附属書Iの必須サイバーセキュリティ要件、および製造者の義務を定めた第13条、脆弱性・重大インシデントの報告義務を定めた第14条への違反については、最大1500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方を上限とする制裁金が定められています。
SBOM整備は附属書Iに、脆弱性・重大インシデントの報告義務は第14条にそれぞれ位置づけられているため、いずれもこの1500万ユーロ/2.5%の区分に含まれます。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

CRA第64条3項に列挙されたその他の義務(輸入者・流通業者の義務、EU適合宣言、CEマーキング、技術文書、適合性評価に関する義務など)への違反については、最大1000万ユーロまたは全世界年間売上高の2%が上限です。
また、通知機関や市場監視当局の求めに対して不正確・不完全・誤解を招く情報を提供した場合は、最大500万ユーロまたは全世界年間売上高の1%が上限とされています。
CRAの義務や制裁金は中小企業にも適用され得るため、「自社は中小規模だからCRAの対象外」と考えるのは危険です。

一方、実際の制裁金額を決定する際には、違反の性質・重大性・期間に加え、企業規模や市場シェアなども考慮されます。また、EUの中小企業定義に基づくマイクロ企業・小規模企業については、脆弱性・重大インシデントに関する24時間以内の早期警告期限に違反したことだけを理由とする行政制裁金は科されません。報告義務そのものが免除されるわけではなく、72時間以内の本通知など、他の期限への違反はこの制裁金免除の対象ではない点に注意が必要です。
（出典：EUR-Lex「Regulation (EU) 2024/2847」）

なお、実際の制裁内容や手続きは、CRAに基づいて各EU加盟国が定める規則により運用されるため、正確な適用条件は公式のCRA条文(EUR-Lex)等の一次情報で確認することをおすすめします。

6. JC-STARとCRAはどう違うのか？

日本国内では、経済産業省が制度設計を進め、IPAが運用する「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」が開始されています。
CRAとJC-STARは、どちらもIoT機器のセキュリティ対策を促す制度という点では共通していますが、CRAがEUの法規制(EU市場に製品を提供する場合に義務が生じ、罰則もある)であるのに対し、JC-STARは日本国内向けの適合ラベル制度であるという違いがあります。
（出典：IPA「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」）

JC-STARの制度概要については、以下の記事で解説しています。

JC-STARとは？IoTセキュリティ認証制度について解説　　　　

両制度の違いを整理すると、次のとおりです。

比較項目	CRA	JC-STAR
制度の性質	EU規則	日本の適合性評価・ラベリング制度
主な対象市場	EU市場	日本国内
対応の義務	対象製品には法的義務	ラベル取得は任意
罰則	あり(最大1500万ユーロ/2.5%等)	CRAのような制裁金規定ではない
SBOM	製造者の脆弱性対応要件の一部	一部の★3製品類型で作成・更新等を要求

自社製品がEU向けにも国内向けにも展開されている場合、CRA対応とJC-STAR対応は別々の制度としてそれぞれの要件を確認しながら並行して進める必要があります。
一方で、セキュアバイデザインの考え方や脆弱性対応体制の整備など、社内で共通して活用できる取り組みも多く、両制度を見据えた体制構築を行うことで対応工数を抑えられる可能性があります。

7. 日本のIoTメーカーは今から何を準備すればよいか？

CRAへの対応は、社内の一部門だけで完結するものではなく、開発・品質保証・法務・輸出コンプライアンスなど複数部門が関わる取り組みになります。
今から着手できる準備を、ステップに分けて整理します。

ステップ1: EU向けに出荷・供給している製品(または将来出荷予定の製品)を洗い出し、CRAの対象になるかを確認する
ステップ2: 対象製品が「重要製品」等の区分に該当するかを確認し、必要な適合性評価のレベル(自己評価か第三者評価か)を把握する
ステップ3: 製品に組み込まれているソフトウェアコンポーネントを棚卸しし、SBOMを作成・更新・管理できる体制を整える
ステップ4: 脆弱性情報を受け付け、24時間・72時間・14日/1か月以内の報告フローに対応できる社内体制(PSIRT等)を整備する
ステップ5: 2026年9月の報告義務適用、2027年12月の全面適用というスケジュールを踏まえ、社内の対応計画とマイルストーンを設定する

7.1. 準備には何を確認すればよいか？

自社だけで判断が難しい場合は、以下の観点を専門家や支援サービスと一緒に確認すると、対応の抜け漏れを防ぎやすくなります。

自社製品がCRAの対象範囲・重要製品区分のどこに該当するか
既存のSBOM整備状況と、CRAが求める形式・粒度とのギャップ
脆弱性対応体制(PSIRT等)の有無と、報告期限に対応できる体制かどうか
適合性評価に必要な工数・費用・スケジュール

CRA準拠に向けたSBOM作成の具体的な進め方については、以下の記事でも解説しています。

CRA準拠に向けたSBOM作成　　　　

8. よくある質問

8.1. CRAは日本企業にも罰則が科されるのか？

CRAでは、企業の所在地ではなく、製品がEU市場で提供されるかどうかが重要になるため、日本企業であってもCRAの義務・罰則の対象になり得ます。
EU向け製品を扱う場合は、自社が対象に含まれるかを確認しておく必要があります。

8.2. CRA対応にはどのくらいの期間・費用がかかるのか？

CRA対応に必要な期間・費用は、対象製品数、既存のセキュリティ体制、SBOM整備状況、製品が「重要製品」区分に該当するかどうかによって大きく異なるため、一律の目安を示すことはできません。
特にSBOM整備や脆弱性対応体制の構築は、既存の開発プロセスの見直しを伴う場合があり、着手から一定の期間を要することが一般的です。
早期に自社製品の対象範囲・区分を確認し、必要な工数を見積もることをおすすめします。

8.3. SBOM対応はJC-STARの取得にも役立つのか？

CRAとJC-STARは別の制度ですが、ソフトウェアコンポーネントの棚卸しやSBOMの整備など、社内の体制構築で重なる部分があります。
IPAが公開している通信機器・ネットワークカメラ向けのJC-STAR ★3適合基準では、対象製品について、サードパーティコンポーネントを含むSBOMの作成、サポート期間中のSBOM更新、SBOMを利用した定期的な脆弱性確認・対応、SBOMを利用したライセンス管理などが要件として定められています。通信機器向けの適合要件では、機械可読形式とヒューマンリーダブル形式の両方によるSBOM作成も求められています。
（出典：IPA「★3(レベル3)適合基準・評価手順」）

CRA対応を目的にSBOM整備を進めた場合、その体制やドキュメントの一部をJC-STAR対応にも活用できる可能性があります。
ただし、両制度が求める具体的な様式・粒度は異なり、CRA対応だけですべてのJC-STARレベルの適合要件を満たすわけではないため、それぞれの要件を個別に確認する必要があります。

8.4. 2027年12月11日より前にEU市場へ投入した既存製品もCRAの対象になるのか？

2027年12月11日より前にEU市場へ投入された製品は、原則として、同日以降に実質的な変更が行われた場合にCRAの全面的な要件の対象になります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

ただし、2026年9月11日から始まる、悪用が確認された脆弱性・重大インシデントの報告義務は、2027年12月11日以前にEU市場へ投入された製品にも適用されます。
そのため、既存製品についても脆弱性情報を把握し、期限内に報告できる体制を準備しておく必要があります。

9. まとめ

CRAは、EU域内でデジタル要素を含む製品を提供する製造者に、サイバーセキュリティリスク評価とセキュア設計、SBOM整備、脆弱性・重大インシデントの報告体制の構築、適合性評価・技術文書・CEマーキング、サポート期間の設定を義務づけるEUの規則です。
2026年9月11日から悪用が確認された脆弱性・重大インシデントの報告義務が、2027年12月11日から必須要件・適合性評価が本格適用されるため、日本のIoTメーカーもEU向け製品を扱う場合は、対象製品の洗い出しからSBOM整備、体制構築までを計画的に進める必要があります。
自社だけでの対応が難しい部分は、専門の支援サービスに相談する方法もあります。