CRAの対象とスケジュール
サイバーレジリエンス法（Cyber Resilience Act、CRA）は、デジタル要素を持つハードウェアとソフトウェアの製品に、ライフサイクル全体でのサイバーセキュリティ対応を求めるEUの法律です。
| 時期 | 内容 |
|---|---|
| 2024年12月10日 | CRA発効 |
| 2026年7月27日 | 欧州委員会がCRAの実務ガイダンスを公表 |
| 2026年9月11日 | 脆弱性・インシデントの報告義務の適用開始 |
| 2027年12月11日 | 主要義務の適用開始 |
製造者は、製品のライフサイクル全体で脆弱性に対応する義務を負います。製品の約90%は製造者の自己評価で適合性を示すデフォルトカテゴリーに入り、残りは「重要」「重大」カテゴリーとして、一部はノーティファイドボディ（第三者認証機関）による評価が必要です。
AI搭載設備はなぜ対象になるのか
CRAはAIの規制ではなく、製品のサイバーセキュリティの規制です。ただ、製造現場のAI搭載設備の多くは、次の理由で対象に入ります。
- ネットワークにつながり、データを送受信する（デジタル要素を持つ）
- エッジでAIモデルを動かすためのソフトウェアとハードウェアを持つ
- 外部からモデルやソフトウェアを更新する経路を持つ
たとえば、AI外観検査のスマートカメラ、予知保全のセンサーとゲートウェイ、AI機能を持つ産業用PCやロボットコントローラーを欧州市場で売る場合、CRAの製造者義務がかかる可能性があります。
機械規則・AI Actとの関係
AI搭載の機械には、CRAに加えて、機械規則（2027年1月20日適用）とAI Act（高リスク義務は2027年12月・2028年8月）がかかりえます。
機械規則は、制御システムの安全性にサイバー攻撃への耐性を含めており、第20条(9)でCybersecurity Act（EU 2019/881）に基づく認証を受けた機械は、破損からの保護と制御システムの安全性・信頼性の要件に適合していると推定されるとしています。AIモデルの改ざんや不正な更新が安全機能に影響しうる機械では、CRAと機械規則の両方の観点でセキュリティを設計する必要があります（EU機械規則2023/1230とAI）。
AI Actの高リスクAIには、正確性・堅牢性・サイバーセキュリティの要件があり、ここでもCRAと重なります。3つの法律の技術文書を別々に作るのではなく、共通の脆弱性管理とリスク評価の仕組みから作るのが効率的です。
報告義務で準備すべきこと
2026年9月11日から適用されている報告義務は、製造者に自社製品の脆弱性やインシデントの報告を求めるものです。報告の対象となる事象の範囲、期限、様式の詳細は、欧州委員会の実務ガイダンス（2026年7月27日公表）で確認してください。
報告するためには、まず把握できなければなりません。AI搭載設備の製造者が確認すべきは次の点です。
- 製品に含まれるソフトウェア部品の一覧（SBOM：ソフトウェア部品表）。AIの推論エンジン、モデル実行ランタイム、OSSライブラリを含む
- 脆弱性情報の受付窓口と、社内の判断・エスカレーションの手順
- 出荷済み製品へのセキュリティ更新の配布手段
- 欧州の顧客・代理店からのインシデント情報の連絡経路
日本の製造業への影響
日本では、EUのAI規制というとAI Actの議論が中心で、CRAはAI Actほど注目されていません。しかし、AI搭載設備を欧州に売るメーカーにとって、最初に来た義務はCRAの報告義務です。
また、CRAは製品の製造者に義務をかけるため、欧州に工場を持つ企業が設備を買う側である場合は、調達先の対応状況を確認することになります。欧州拠点向けの設備調達では、CRA対応の有無、セキュリティ更新の提供期間を調達条件に入れる動きが出てくると考えられます（推測）。輸出企業の実務はEUサイバーレジリエンス法（CRA）、工場側のセキュリティ設計はIEC 62443とAI・データ基盤を参照してください。
よくある質問
2026年9月11日より前に出荷した製品も報告の対象ですか
報告義務の適用範囲と経過措置の詳細は、欧州委員会の実務ガイダンスと条文で確認してください。既存製品の扱いは製品の種類や市場投入時期で異なる可能性があります。
ソフトウェアだけの製品（AI解析ソフト）も対象ですか
CRAの対象は、デジタル要素を持つハードウェアとソフトウェアの製品です。単体で販売されるソフトウェア製品も対象になりえます。SaaSなどの提供形態の扱いは、条文とガイダンスで個別に確認してください。
日本国内向けの製品は関係ありますか
CRAはEU市場に出される製品が対象です。日本国内だけで販売する製品は対象外ですが、同じ製品を欧州向けにも出す場合は、設計・開発プロセスを共通化しておくほうが効率的です。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
