EU在庫とCRA：2027年12月11日より前に市場投入した製品はどうなるか

2027年12月が近づくと、多くの日本メーカーが同じ不安を口にします。「EUの倉庫にある在庫は、全部作り直しになるのか」。

答えは、たいていの場合「いいえ」です。サイバーレジリエンス法（CRA）には経過措置があり、2027年12月11日より前にEU市場に出した製品は、原則として新しい要件の対象外のまま販売を続けられます。

ただし、この安心には条件が2つ付きます。そして判定は、製品モデル単位ではなく、1台ごとに行います。この記事では、倉庫在庫・流通在庫をどう仕分けるかを、判定手順と実例で説明します。

2027年12月11日に変わること、変わらないこと

CRAの主要な義務は2027年12月11日から適用されます。この日以降にEU市場へ初めて出す製品は、セキュリティ要件への適合、技術文書、CEマーキングまで、フル対応が必要です。

一方、その日より前にEU市場に出した製品について、CRAは遡及を求めていません。すでに出荷した1台を回収して作り直す義務も、書類を後から整える義務も、原則として発生しません。

変わらないことを先に押さえると、全体像がつかみやすくなります。

判定は「モデル単位」ではなく「1台単位」

ここが最も誤解の多い点です。期日は製品モデルや型番に紐づくのではなく、個々の製品に紐づきます。

同じ型番の製品が2台あるとします。1台は2027年11月にEUの輸入業者へ納品済み。もう1台は2028年1月に初めてEUへ出荷する。前者は経過措置の対象で、後者はフル対応が必要です。設計も部品も同一でも、扱いは分かれます。

このため「このモデルは対応済みか」という問いは、正確には答えられません。正しい問いは「この1台は、いつEU市場に出たか」です。

「市場投入」と「継続販売」の違いがすべてを決める

判定の軸になる概念は2つだけです。

市場投入とは、その1台をEU市場で初めて商業流通に置くことです。典型的には、EUの輸入業者や販売店への最初の供給がこれにあたります。

継続販売とは、すでに市場に出た1台が、流通網の中で次の段階へ渡っていくことです。販売店の倉庫にある在庫が小売に流れ、最終顧客に売れる。この流れは何度あっても、新しい市場投入にはなりません。

つまり、2027年12月11日より前にEUの流通網へ供給済みの在庫は、期日を過ぎても売り切るまで販売を続けられます。「在庫の売り切り期限」のような規定はありません。

注意： 倉庫の場所だけでは判定できません。製品がEU域内の倉庫にあっても、それがメーカー自身の在庫で、まだ商業的な供給が発生していなければ、市場投入は済んでいません。逆に、EU域外にあっても判定が変わらない場合があります。決め手は物理的な所在ではなく、最初の商業供給がいつ成立したかです。

倉庫在庫・流通在庫の判定手順

手元の在庫を仕分けるときは、1台ごとに次の順で確認します。

flowchart TD
    A["この1台はEU市場で\n最初の商業供給を終えているか"] -->|"はい・期日前"| B["経過措置の対象\n販売継続が可能"]
    A -->|"はい・期日以降"| C["フル対応が必要"]
    A -->|"いいえ"| D["市場投入は未了\n期日以降の供給ならフル対応"]
    B --> E{"期日以降に大規模な\n変更を加えたか"}
    E -->|"いいえ"| F["対象外のまま\n報告・通知義務は適用"]
    E -->|"はい"| G["その製品は対象に戻る"]

ケース別に整理すると次のとおりです。

2つの例外：報告・通知義務と、時計を戻す変更

経過措置には例外が2つあり、どちらも実務への影響が大きいものです。

例外1：報告・通知義務は既存製品にも及びます。 悪用されている脆弱性と重大インシデントが起きたときの、当局への報告と影響を受ける利用者への通知の義務は、2026年9月11日から、すでに市場に出ている製品にも適用されます。経過措置はこの義務を免除しません。報告体制の作り方は脆弱性報告義務の解説記事で詳しく説明しています。

例外2：大規模な変更は時計を戻します。 2027年12月11日以降に、セキュリティ要件への適合に影響する変更、または想定用途を変える変更を加えた製品は、その時点で新しい要件の対象に戻ります。

ここで重要なのは、すべての更新が該当するわけではないことです。用途を変えず、リスクを下げることだけを目的とする通常のセキュリティパッチは、大規模な変更にはあたりません。一方、新しい接続機能の追加、認証方式の変更、想定用途の拡大などは該当し得ます。改修が製品の役割分担に与える影響はブランド・OEM役割ガイドも参照してください。

残すべき証拠：ロット・シリアル・取引・ファームウェア

経過措置そのものに、記録の要件はありません。ただし市場監視当局から照会があったとき、「この1台は期日前に市場投入済みです」と記録で示せるかどうかで、対応の負担は大きく変わります。

最低限そろえておきたいのは次の4点です。

• ロット・シリアル番号の記録：どの個体がどの出荷に含まれていたかを特定できること
• 取引書類：EUの輸入業者・販売店への最初の供給を示す注文書、インボイス、納品受領の記録
• 出荷とファームウェアの対応関係：各ロットが出荷時点でどのバージョンを搭載していたか
• 変更履歴：期日以降に配布した更新の内容と、それが大規模な変更に該当しない理由の記録

この4点は、後述の実例のように「同じモデルの2台」を分けて説明する場面で、そのまま当局向けの説明資料になります。

実例：同じ型番の製造装置2台

日本の装置メーカーを想定した例で、判定の流れを確認します。

検査装置「XR-500」を、ドイツの半導体工場向けに継続供給しているとします。

1台目は2027年10月、ミュンヘンの輸入業者に納品しました。輸入業者の倉庫を経て、2028年3月に工場へ設置されます。設置が期日を過ぎていても、市場投入は2027年10月に済んでいます。この1台は経過措置の対象で、CRAの新しい要件への対応は不要です。脆弱性の報告・通知義務だけは、2026年9月11日から適用されています。

2台目は同じ型番・同じ構成で、2028年2月に初めてEUへ出荷します。この1台は新しい市場投入にあたり、フル対応が必要です。セキュリティ要件への適合、技術文書、CEマーキングをそろえてから供給します。

さらに2028年6月、1台目に制御ソフトの改修を配布し、遠隔監視機能を新たに追加したとします。これは接続面を広げる変更であり、大規模な変更に該当する可能性が高い改修です。該当すれば、1台目もその時点で対象に戻ります。配布前に、変更内容の評価と記録が必要です。

この3つの場面を分けて管理できるかどうかが、経過措置を安全に使えるかどうかの分かれ目です。

取引先にどう説明するか

期日を過ぎると、EUの輸入業者や販売店からの問い合わせが増えます。典型は「この在庫にはCRAの書類がないが、売ってよいのか」という質問です。相手側も新しい義務に慣れていない時期なので、根拠を添えて短く答えられる準備が効きます。

実務では、次の3点で足ります。

• 1枚の説明メモ：対象ロットが期日前に市場投入済みであること、経過措置の対象であること、報告・通知義務には対応済みであることを短くまとめたもの
• 裏付けの記録：該当ロットの最初の商業供給を示すインボイスや納品受領の写し
• 問い合わせ窓口：追加の質問に答える担当者の連絡先

「この在庫に新しい書類は不要です」とだけ返すのと、根拠を添えて返すのとでは、取引の続けやすさが変わります。販売名義や役割の分担そのものに話が及んだ場合は、ブランド・OEM役割ガイドの整理が役立ちます。

今からやっておくこと

期日までに次の5つを済ませておくと、在庫の判定は数日で終わる作業になります。

1. EU向けSKUの一覧を作る：現在EUで販売中の製品と、今後1年で出荷予定の製品を分けます
2. ロット・シリアルを最初の供給日に対応付ける：どの個体が、いつ、誰への供給で市場に出たかを記録から特定します
3. 判定手順で仕分ける：この記事の手順に沿って、期日前・期日以降・未投入の3グループに分けます
4. 予定している更新を棚卸しする：2027年12月11日以降に配布予定のファームウェア更新・機能追加を洗い出し、大規模な変更にあたる可能性を配布前に評価します
5. 変更の関所を作る：以後の更新は、配布前に「想定用途への影響」と「セキュリティ適合への影響」を確認してから出す運用に切り替えます

ここまで済んでいれば、取引先への説明も当局からの照会も、既存の記録を見せるだけで済みます。

CRA Evidence のコンサルティング支援

CRA Evidence は、EU市場へ製品を供給する日本メーカー向けに、在庫・出荷記録の棚卸しから経過措置の適用判定、変更管理の体制づくりまでを一貫支援します。

製品ライン別・ロット別に「どの1台がどちら側か」を仕分け、当局照会に示せる記録の形に整えます。まずは無料アセスメントで、対象製品と在庫の状況をお聞かせください。CRA適用チェックで、製品がCRAの対象かどうかを先に確認することもできます。