CRA製品分類：規制部品を内蔵しても等級が変わらない条件

通信用のSIMカードを内蔵した自動販売機を、日本から欧州へ輸出しているとします。そのセルラーモジュールは、CRAがより厳格な適合性評価を求める製品区分に入ります。自動販売機本体は入りません。

この一点が、適合性評価を自社で行えるか、認証機関（Notified Body）に費用を払って行ってもらう必要があるかを分けます。どちらの道を通っても、適合宣言に署名するのは自社です。分かれ目は、ほとんどのメーカーが読んだことのない一文にあります。

欧州委員会は2026年7月のCRA実施ガイダンスを同月27日に公表しました。全84ページ、実例67件を収録しています。本稿では、そのうち欧州へ輸出する日本メーカーの実務における答えを変える5つを、それぞれ具体例とともに解説します。

内蔵部品が規制対象でも、完成品の等級は変わらない

適合性評価ルートを決めるのは一点だけです。製品のコア機能です。ここを見誤ると、認証機関に払わなくていい費用を払うか、法的に必要な評価を受けずに出荷することになります。

CRA自体はコア機能を定義していません。定義しているのはガイダンスです。

自動販売機とセルラー通信モジュール、2万5000ユーロの分かれ道

この事例は仮定のシナリオです。

ある日本メーカーが自動販売機を製造しているとします。

• カード決済に対応
• 重量センサーで在庫を管理
• 本社が夜間に販売データを取得し、価格を変更できるよう、セルラー通信モジュールを搭載

インターネット接続用のルーターおよびモデムは、CRAの重要製品 Class I に指定されています。この自動販売機にはその一つが搭載されています。

あくまで目安の数字ですが、内部管理による自己評価の道が開かれていなかったと仮定すると、この一文だけでおよそ2万5000ユーロの差になります。実際の評価費用は、製品や認証機関によって異なります。重要製品 Class Iも、関連する整合規格を完全に適用していれば自己評価を続けられますが、ガイダンスはこれに二つ目の条件を付け加えており、その内容は後述します。

そのモジュールについて、なお必要な対応

通信モジュールは分類の議論からは外れます。しかし義務からは外れません。

• リスク評価：通信モジュールは組み込み部品であり、公開しているインターフェースやデータの流れも含めて、製品のリスク評価に含める必要があります。
• デューデリジェンス：その部品が製品の適合性を損なわないことを確認するため、相応の措置を取る必要があります。部品メーカーの技術文書やセキュリティ文書が、その証拠になります。
• 通信網は自社のものではありません：モジュールが接続するセルラー網は通信経路であり、製品の一部ではありません。通信事業者に対するデューデリジェンスは負いません。

この切り分けを一覧にします。現場では、半分は正しく理解していても、もう半分を誤解していることがよくあります。

最後の行は、インテグレーターがつまずきやすい点です。認証済みモジュールを購入して基板に実装するのはサプライチェーンの問題です。そのモジュール上で動くファームウェアを自社で書くと、市場に出すものについて自社が製造業者になり得ます。それがモジュール自体にまで及ぶかどうかは、供給のされ方と加えた変更内容によります。

分類の仕組みを詳しく知りたい場合は製品分類ガイドを、モデム自体が製品として扱われる場合についてはルーターとモデムを参照してください。

法令に定めのない二つの判断基準

コア機能はガイダンスにしか定義されていません。 適合性評価ルートを決めるこの用語を、規則そのものは定義していません。いま使っている定義は欧州委員会の解釈であり、誰も拘束しません。

自己評価の条件に、静かに二つ目の要件が加わりました。 法令上は、重要製品 Class I で製造業者が関連する整合規格を完全適用していない場合に、第三者評価が必要になります。これが一つ目の判定です。ガイダンスはもう一つ加えました。その規格の適用範囲が、コア機能に紐づくすべてのサイバーセキュリティリスクをカバーしていなければならない、という条件です。この二つ目の判定は、その言葉どおりの形では法令に書かれていません。欧州委員会は、適用される要求事項と適合性の推定がどのように組み合わさるかから、この判定を導き出しています。自己評価できる範囲を狭めているのは、条文そのものではなく解釈です。

モジュールを単独販売すると、そのモジュールの分類が変わる

スイート製品の中の各モジュールを、個別購入・個別ライセンス・個別サブスクリプションとして提供する場合、それぞれが独立した製品になります。分類はスイート全体のコア機能ではなく、そのモジュール自身のコア機能で決まります。

欧州委員会はセキュリティスイートを部分に分けた例で、この考え方を示しています。分けられた部分は、それぞれ違う規制区分に入ります。

価格表の一行が、モジュールをより厳格な等級に動かす

この事例は仮定のシナリオです。

ある企業が産業用オペレーター向けにプロプライエタリソフトウェアを販売しているとします。

• 生産ラインからデータを収集
• ダッシュボードを表示
• アラートを出す
• OTネットワーク向けの侵入検知モジュールを含む

一つのプラットフォームとして販売する限り、コア機能は生産監視です。デフォルトカテゴリーの製品であり、自己評価で適合宣言に署名し、出荷できます。

その後、営業部門が侵入検知モジュールだけを単独で提供したいと求めてきます。3社の見込み客が、それ以外の機能なしでそのモジュールだけを欲しがっているためです。価格表に一行を追加します。

このモジュールは、その時点で独立した製品になります。コア機能は侵入検知です。侵入検知・防止システムは重要製品 Class IIのカテゴリーに入ります。

Class IIは第三者による適合性評価が必須です。その要件には選択の余地がなく、整合規格の適用状況にも左右されません。フリー・オープンソースソフトウェア（FOSS）としての要件を満たす製品には、別のルートがあります。

コードは何一つ変わっていません。一つの商業判断が、このモジュールを、評価費用が大幅に増え、リリースまでの道のりも長くなる規制区分へ動かしました。

「単独で提供」の意味は、どこにも定義されていない

ガイダンスは、個別購入、個別ライセンス、個別サブスクリプションを名指しし、統合された製品の一部としてのみ供給されるモジュールを除外しています。未解決のまま残るのは一つだけです。四つの状況のうち、三つに答えがあります。

• 価格表に独立したSKUがある場合。 答えあり。個別購入は明示的に名指しされているため、対象になります。
• 営業部門が個別にライセンス供与できる機能フラグの場合。 答えあり。ライセンスとサブスクリプションも購入と並んで名指しされているため、独立したSKUがなくても対象になります。
• 既存のプラットフォーム顧客にのみ販売するアドオンの場合。 未解決。単独では購入できませんが、スイートの残りの部分とは別に購入できます。ガイダンスはこのケースに触れていません。
• 技術的には分離可能だが、単独で提供したことがないモジュールの場合。 答えあり。統合された製品の一部としてのみ供給されるモジュールは除外され、分類は製品全体の水準にとどまります。

つまり判定基準は、パッケージ上の表記ではなく商業上の実態に従います。SKUがなくてもライセンス供与できる機能フラグは対象になります。未解決のまま残るのは顧客限定のアドオンであり、その答え次第で支払う費用が変わります。

見た目以上に重要な論点です。プロダクトマネージャーは四半期ごとにパッケージングを見直しますが、それを規制上の出来事だとは考えていません。いま確認の手順を組み込んでおく必要があります。そうしなければ、顧客にすでに見積もりを提示した後で気づくことになります。各モジュールにどのような手続きと費用がかかるかは、営業が確約する前に社内で確認しておく必要があります。

大規模な更新は、サポート期間の起算をリセットしない

重大な変更を加えると、サポート期間を見直す義務が生じます。しかし自動的にリセットされるわけではありません。自動的に延長されるわけでもありません。

問うべき点は、多くの現場が思うより狭いものです。その変更は、想定使用年数を決めた要因そのものを変えたか、という一点です。

欧州委員会は二つの事例を示しています。元の終了日をそのまま維持するソフトウェアの変更と、再計算を迫るハードウェアの変更です。

同じコントローラ、二つの変更、二つの異なる答え

この事例は仮定のシナリオです。

あるメーカーが2028年に、プログラマブルロジックコントローラ（PLC）を市場に投入するとします。想定使用年数はハードウェアの耐久性と、この種の設備に対して産業用途の顧客が合理的に期待する年数に基づき12年です。サポート期間は2040年終了と宣言します。

2031年。 リモート診断機能を追加するファームウェアを出荷します。この新しいインターフェースとデータの流れが、必須要件への適合の仕方に影響すると仮定すると、この事実関係では重大な変更に当たります。これにより新たな適合性評価と技術文書の更新が必要になります。新しいインターフェースがあるというだけでは、それだけで重大な変更とは決まりません。

しかしサポート終了日は動きません。ハードウェアの耐久性は変わっておらず、顧客の期待も変わっていないためです。サポートは2040年終了のままであり、その後の時点で残り期間が5年を切ったとしても、延長されることはありません。

2033年。 より長い稼働寿命を想定した新世代のコンピュートモジュールに交換し、その点を訴求してこの機械を販売します。ここで要因そのものが変わりました。顧客は合理的により長い年数のサービスを期待できます。サポート期間を上方に再計算します。

産業用ロボットやFA機器メーカーがサポート期間を設定・見直しする際の考え方は、FAメーカー向けCRAガイドでも扱っています。

サポート期間の短縮については触れられていない

ガイダンスが示す実例は、期間が変わらない場合と延長される場合だけです。しかしルール自体は、決定要因が変わったときに基準に照らして再計算すると述べているだけで、その結果を上方修正に限るとは述べていません。

変更によって製品の現実的な使用可能年数が短くなる場合、たとえば動作基盤となるハードウェアプラットフォームのサポートを打ち切る場合、宣言済みの期間をそれに合わせて短縮できるかどうかは、どの実例にも示されていません。当社の立場は、できないというものです。サポート期間は市場投入時点で行った約束だからです。ただしガイダンスはそう述べていません。

部品のセキュリティ特性が変わると、補修部品でなくなることがある

同一の部品と交換する補修部品は、CRAの対象外です。ここで意味を持つのは「同一」という言葉であり、ガイダンスはこれを、多くの生産中止対応プロセスが想定するより狭く定義しています。

同一かどうかは、部品の機能的役割とサイバーセキュリティに関わる特性を合わせて判断します。個別の事案ごとの評価が常に必要になると、ガイダンスは述べています。欧州委員会が挙げる特性には、アルゴリズム、プロトコル、暗号メカニズム、アクセス制御機能が含まれ、このリストは閉じられていません。

欧州委員会は、生産終了に伴う二つの交換部品を対比しています。一つは暗号実装とセキュアブート機構を変更し、適用除外を失います。もう一つはチップセットを変更してもプロトコルとセキュリティ機構を維持し、適用除外を保ちます。

二つの交換用モジュール、片方は新しい製品になる

この事例は仮定のシナリオです。

あるメーカーが2029年に、企業施設全体に入退室管理パネルを設置したとします。2033年、その内部の無線モジュールが生産終了を迎え、部品供給元が二つの交換案を提示します。

交換案A。 チップセットが異なり、製造元も異なりますが、無線プロトコル、鍵の管理方法、セキュアブート機構は同じです。この事実関係であれば、補修部品としてCRAの対象外にとどまり、保守チャネルを通じて出荷できるはずです。

交換案B。 無線部分は同じですが、より新しいセキュアエレメントを使い、鍵の階層構造とブート検証手順が異なります。これらの違いはサイバーセキュリティ特性に関わるため、この事実関係では同一とは言えません。それ自体がデジタル要素を含む製品となり、出荷する前に、独自の適合性評価、独自の技術文書、そしてCEマーキングが必要になります。

部品表上の型番は同じです。物理的な取り付け寸法も同じです。それでもコンプライアンス上の結果はまったく異なります。

生産中止対応に欠けるセキュリティ比較

多くの生産中止対応プロセスは、データシートの比較にとどまっています。ピン互換性、電圧、実装面積、動作温度範囲、無線性能です。

そのどれも、CRAが問う内容には答えていません。電気的特性の比較と並べて、セキュリティ特性の比較が必要です。含めるべき項目は次のとおりです。

セキュアブートと鍵の保管方法は早い段階で確認しておく価値があります。どちらも、データシート同士を比較するだけでは変更を見落としやすい項目だからです。ガイダンスはこれらの特性に優劣をつけていないため、どの項目も省略できません。

この文書を備えているメーカーは多くありません。いま作成するのはさほど大きな作業ではありませんが、後回しにすれば出荷差し止めと緊急の適合性評価につながります。

見落としやすい条件がもう一つあります。技術的に交換できるというだけでは足りません。補修目的であることが、注文や商業上の提案における製品の特定、あるいはアフターサービスチャネルを通じた供給によって明らかである必要があります。汎用のスタンドアロン製品として販売されている部品は、たまたま取り付けが適合するというだけでは、適用除外を受けられません。

セキュリティ特性のリストは、閉じられていない

セキュリティ関連特性のリストは閉じられていません。それ以外は同一のモジュールでファームウェアのバージョンだけが上がった場合に該当するかどうかは、どこにも書かれていません。

古い製品への変更が、製品全体を巻き込むわけではない

CRAは2027年12月11日から全面適用されます。2026年9月11日からは、それより前に市場投入した製品も報告義務の対象になりますが、その他の規制内容は、その後に重大な変更を加えた場合に限り対象になります。2027年12月より前に市場投入済みの製品全般の扱いはEU在庫カットオフガイドにまとめています。

この規定が呼び起こす不安には根拠があります。15年前に設計した機械に一度手を加えただけで、設計当時には存在しなかった基準に、機械全体を合わせなければならなくなるのではないか、という不安です。

実際にはそうなりません。元の製造業者が変更を行う場合、義務は変更した部分にだけ生じます。製品全体に及ぶのは、その変更が製品全体のセキュリティを損なう場合に限られます。

2026年の機械を2029年に変更した場合に負う義務

この事例は仮定のシナリオです。

あるメーカーが2026年に、使用年数20年を想定した産業用包装ラインを出荷したとします。2029年、ラベリングサブシステムに、印刷ジョブ管理用のネットワークインターフェースを追加するファームウェア変更をリリースします。これは重大な変更に当たります。

負う義務： ラベリングサブシステムの適合性対応、それを対象とする最新のリスク評価、変更内容を反映した技術文書の更新です。

負わない義務： モーションコントローラ、安全インターロック、オペレーター端末への遡及対応です。また、2025年当時に存在しなかった形式の設計・試験記録を、いま作り直す必要もありません。ガイダンスはこの点をはっきり述べています。CRA適用前に設計された製品は、最新のリスク評価が既存の対策でリスクに対応できていることを示していれば、再設計は不要です。過去の文書を再構成しても、製品がより安全になるわけではないためです。

触れられていない非対称性

この狭い適用範囲は、元の製造業者と、変更を加えたうえでその変更後の製品を市場に出す無関係な第三者に適用されます。輸入業者と販売業者には適用されません。両者は別の規則で扱われており、そこにはこの限定がありません。

この表をもう一度見てください。機械に変更を加え、その機械を市場に出す受託エンジニアリング会社は、その変更が製品全体のセキュリティを損なわない限り、狭い範囲で済みます。まったく同じ変更を行う輸入業者は、広い範囲を背負います。行為は同じです。しかしリスクの大きさは同じではありません。

この規定は、条文の書き方として二つの場合を異なる扱いにしています。実務上の効果として、変更を行う輸入業者は、変更を行う第三者より重い負担を背負うことになります。

製造業者・輸入業者・販売業者の役割分担そのものについては、EUブランド・OEM・輸入者の役割ガイドで詳しく整理しています。

判断を分ける一文は、どこにも定義されていない

この限定が効くかどうかは、変更が「製品全体のサイバーセキュリティに悪影響を及ぼすか」で決まります。この一文が、対応すべき範囲がサブシステム一つで済むか、全体に及ぶかを分けます。そしてこの一文は、どこにも定義されていません。

認証機関との間で争点になるとすれば、この一文になると見ておくべきです。

3月の草案との関係

欧州委員会は2026年3月3日から4月13日まで、このガイダンスの草案について意見公募を実施しました。

7月の文書は、その意見公募を経た成果物です。CRA全体を網羅するものではなく、欧州委員会自身もその点を明記しています。

第9項では、欧州委員会がCRA第26条に沿って追加ガイダンスの発行を検討する可能性が示されています。対象の例として、CRAとAI法、DORAとの関係が挙げられています。追加文書の発行が決まったわけではありません。

CRA Evidence のコンサルティング支援

CRA Evidence は、EUへ製品を輸出する日本メーカー向けに、規制対象部品を内蔵した製品の分類判断から、モジュール別売りに伴う再分類の見極め、補修部品のセキュリティ特性比較、サポート期間の設定と見直しまでを一貫して支援します。今回のガイダンスが示した五つの実例を自社の製品ラインに当てはめ、判断の根拠を文書として残せる体制づくりをお手伝いします。

まずは自社製品の分類状況を確認することをおすすめします。無料アセスメントをご予約ください。

本記事は情報提供を目的としており、法的アドバイスを構成するものではありません。EU製品規制に関する具体的なコンプライアンス対応については、EU規制に精通した法律の専門家にご相談ください。