EUサイバーレジリエンス法：2026年9月の脆弱性報告義務、日本のメーカーが知らない「既存製品にも適用される」という事実

2026年9月11日。あと約5カ月で、この日からEU市場に製品を供給する全メーカーに対し、脆弱性の悪用を認識してから24時間以内にENISAへ報告する義務が生じます。

見落とされがちな事実があります。この義務は「2027年12月の新製品」だけを対象としていません。今日EU市場で流通している既存製品にも、2026年9月11日から適用されます。

このブログでは、CRA第14条が何を求めているのか、なぜ日本企業にとって構造的に難しいのか、そして2026年9月11日までに準備すべき8つのステップを解説します。

CRA第14条とは何か

CRA（EU規則2024/2847）第14条は、デジタル要素を含む製品のメーカーに対し、以下の2つの事象について当局への通知を義務付けています。

対象となる2つの事象

1. 積極的に悪用されている脆弱性（Actively Exploited Vulnerability）

製品の脆弱性が悪意のある行為者によって実際に使用されていることが判明した場合。公開された脆弱性や研究者からの報告だけでは対象になりません。実際の悪用が要件です。

2. 深刻なインシデント（Severe Incident）

製品のセキュリティに影響を与えるインシデント、開発環境の侵害、または広範なユーザーへの影響が確認された場合。

3段階の報告タイムライン

早期警告（24時間以内）：悪用を認識してから24時間以内にENISAと国家CSIRTへ通知。詳細な分析は不要ですが、製品の特定・深刻度の初期評価・悪用の確認状況を含む必要があります。

詳細通知（72時間以内）：脆弱性の技術的詳細、影響バージョン、悪用手法（判明している場合）、対応状況を提出。

最終報告（脆弱性：修正後14日以内 / インシデント：通知後30日以内）：根本原因分析、対応措置、影響評価を含む完全な報告書。

報告先：ENISAが運営する単一報告プラットフォーム（SRP）と、製品が流通する国の国家CSIRT。

日本企業が見落としている事実：既存製品にも適用される

CRAの一般的な認識として「2027年12月まで猶予がある」という理解が広まっています。これは部分的にしか正しくありません。

CRA第69条第2項は確かに「2027年12月以前に市場投入した製品はCRA要件の適用除外」と規定しています。しかし、同条第3項はこの除外から第14条を明示的に除いています。

つまり：

日本企業にとってなぜ特に難しいのか：稟議文化と24時間の壁

これは日本特有の問題であり、欧州向けのCRAコンテンツでは一切触れられていない論点です。

標準的な日本企業のインシデント対応フロー

多くの日本企業でセキュリティインシデントが発生した場合の標準的な対応は次のような流れをたどります：

1. 脆弱性・インシデントの検知
2. 事実確認・社内調査（1〜3日）
3. 担当部署での報告準備・稟議書作成（2〜5日）
4. 部長・役員への稟議回覧と承認取得（3〜7日）
5. 法務・広報への確認（＋2〜3日）
6. 経営判断・対外発表（14〜30日以降）

このプロセスは「根回し」と「稟議」という日本企業の意思決定文化を反映したものであり、合理的かつ実績のあるアプローチです。しかし、CRA第14条の24時間という期限とは根本的に相容れません。

JPCERT/CCモデルとCRA第14条：異なる哲学

日本のセキュリティコミュニティが慣れ親しんでいるJPCERT/CC主導の協調的脆弱性開示（CVD）モデルは、ベンダーが修正パッチを準備する時間を確保した上で開示するという「ベンダー優先」の思想に基づいています。標準的な調整期間は45日以上です。

CRA第14条は根本的に異なります。修正が完了していなくても、悪用を認識した時点から24時間以内に当局へ通知することを義務付けています。「解決策が出てから発表する」という文化的規範とは正面からぶつかります。

構造的に必要なこと

24時間のカウントダウンは次のことを前提としています：

1. 事前承認された報告者：稟議の完了を待たずにENISAへ早期警告を提出できる権限を持つ担当者
2. 24時間365日の対応体制：ゴールデンウィーク・年末年始・週末も含む
3. EU向けインフラ：ENISA SRPへのアカウント登録、EU拠点のない場合はEU連絡窓口の確保（第18条第1項により認定代理人の選任は任意。選任しない場合は輸入業者経由または本社直接で運用）
4. 「解決策なしでの開示」の受容：早期警告は速報であり、詳細や修正は後続の通知で提供できる

「悪用が確認された」とはどういう意味か

日本企業に多いパターンとして、「確実な証拠が出るまで待つ」という傾向があります。しかしCRAの基準は**「合理的な根拠（reasonable belief）」**であり、法的証明ではありません。

報告のタイムライン

flowchart LR
    A["🔴 悪用を認識\n（Day 0）"] -->|"24時間以内"| B["📤 早期警告\nENISA + 国家CSIRT"]
    B -->|"72時間以内"| C["📋 詳細通知\n深刻度・範囲・\n初期対応状況"]
    C -->|"修正後14日以内\n（インシデントは30日）"| D["📁 最終報告書\nENISAへ提出"]

社内トリアージフロー

flowchart TD
    A["🔔 脆弱性報告の受信\n（内部発見・外部報告）"] --> B{"悪用の証拠はあるか？"}
    B -->|"あり"| C["⏰ 24時間カウントダウン開始\n事前承認済み報告者へ即エスカレーション"]
    B -->|"不明"| D["技術トリアージ\n（4時間以内）"]
    B -->|"なし"| E["通常のCVDプロセスへ\nJPCERT/CC連携など"]
    D --> F{"悪用の合理的な\n根拠はあるか？"}
    F -->|"あり"| C
    F -->|"なし"| E
    C --> G["ENISAへ早期警告提出\n（24時間以内）"]
    G --> H["詳細通知準備\n（72時間以内）"]
    H --> I["修正・最終報告\n（14日/30日以内）"]

自社は対象か：日本企業の4つのケース

ケースA：EU向け輸出メーカー（EU拠点なし）

CRAにおける「メーカー」として直接義務を負います。EU拠点がない場合、CRA第18条第1項により認定代理人（Authorised Representative）を書面委任で選任することができます（任意）。選任する場合はENISA報告プロセスの連絡窓口を兼ねるため、24時間対応できる体制を委任契約で確認します。選任しない場合は本社直轄または輸入業者経由で当局対応ルートを設計します。詳細はEU認定代理人とCRA第18条を参照してください。

ケースB：欧州現地法人経由で販売

現地法人が「輸入者」として機能している場合、一次的な義務は現地法人に生じますが、日本の親会社は技術文書・脆弱性情報の提供義務を負います。24時間の報告チェーンを日本本社と欧州子会社間で事前に確立しておく必要があります。

ケースC：OEM供給（EU顧客がラベルを貼って販売）

EU顧客が自社ブランドで市場投入する場合、CRA上の「メーカー」はEU顧客になります。ただし、OEM元の日本企業はSBOMデータおよび脆弱性情報を迅速に提供する契約上の義務が生じます。EU顧客が24時間のカウントダウン中に情報を求めてくることを想定した体制が必要です。

ケースD：産業機器・B2B製品（直接エンドユーザーに販売しない）

B2B製品もCRAの対象外ではありません。「大手システムインテグレーターにしか販売していない」という事実は、メーカーとしての地位を変えません。IEC 62443認証は第14条の報告義務を充足しません。

次のステップ

JC-STARを取得済みの場合

JC-STAR（経済産業省・IPA主導のIoTセキュリティ適合性評価制度、2025年3月開始）に取り組んでいる企業へ：

JC-STARの取得はCRA準備の重要な土台となりますが、第14条への対応は別途必要です。

関連記事：JC-STAR取得済み？ EU CRAにはまだ足りない7つの要求事項

SME（中小企業）向けの注意事項

EU SMEの定義（従業員250名未満、売上高5,000万ユーロ以下）に該当する場合、24時間・72時間の期限違反に対する罰則は猶予されます。ただし、これは報告義務の免除ではありません。

日本の中小メーカーに特有の課題として：

• 報告義務の体制を構築する専任のセキュリティチームがない場合が多い
• EU SME向け「SECURE補助金」（最大3万ユーロ）はEU域内企業が対象であり、日本のメーカーには適用されない
• 罰則猶予は「報告が遅れても罰金を免除される」というものであり、報告プロセス自体を構築する必要はなくならない

CRA Evidence のコンサルティング支援

CRA Evidenceは、EU CRAへの対応を検討している日本のメーカー向けに、専門家によるコンサルティングサービスを提供しています。

• 第14条対応に必要な社内体制の整備支援
• EU認定代理人の選定支援（弊社は代理人を務めません）
• ENISA報告プロセスの文書化と卓上演習の実施支援
• JC-STARとEU CRAのギャップ分析

サービスの全体像と4段階の進め方についてはCRAコンサルティングサービスの概要をご覧ください。具体的な相談は無料アセスメントから開始できます。

CRA Evidenceに問い合わせる →

本記事は情報提供を目的としており、法的アドバイスを構成するものではありません。EU製品規制に関する具体的なコンプライアンス対応については、EU規制に精通した法律の専門家にご相談ください。