適用のスケジュール

欧州委員会によると、Cyber Resilience Act（CRA）は2024年12月10日に発効し、段階的に適用されます。

日付内容
2024年12月10日発効
2026年7月27日欧州委員会が実務ガイダンスを公表
2026年9月11日脆弱性とインシデントの報告義務が適用
2027年12月11日主要義務が適用

対象はデジタル要素を持つハードウェアとソフトウェアの製品です。製造者は製品のライフサイクル全体で脆弱性に対応する義務を負い、一部の製品はノーティファイドボディ（第三者機関）による評価が必要です。製品の約90%は自己評価のデフォルトカテゴリーに入るとされます（Wikipedia）。

AI搭載設備との関係

ネットワークにつながる制御盤、エッジAI機器、AIを組み込んだ検査装置やロボットは、デジタル要素を持つ製品に当たり得ます。EU機械規則2023/1230もソフトウェアや安全制御システムのサイバー安全性を求めており、機械メーカーは両方の規制を並行して確認する必要があります。CRAの義務の全体はEUサイバーレジリエンス法（CRA）の解説で扱っています。

製造業への示唆

報告義務は、自社製品の脆弱性を把握していることが前提です。製品に組み込んだOSSやAIライブラリの一覧（SBOM）がないと、脆弱性が公表されたときに影響を判断できません。

よくある質問

2026年9月以前に出荷した製品も対象ですか？

経過措置の扱いは欧州委員会のガイダンスで確認する必要があります。本稿の範囲では断定できません。

EU AI Actとの関係は？

AI ActはAIシステムのリスクに応じた義務、CRAは製品のサイバーセキュリティ義務で、両方が同時にかかる製品があり得ます。

この記事に出てくる用語

用語集（日・英・中）をすべて見る

この記事のテーマ
#規制対応#セキュリティ#欧米動向

この記事を書いた人

株式会社サオス

株式会社サオス 製造DX部

DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。

運営者情報　編集方針　株式会社サオスのサイト