CRA製品分類：デフォルト、重要、クリティカルのどれに該当するか？

CRAの適合性評価ルートは製品分類によって決まります。「重要」および「クリティカル」製品は第三者機関による評価が義務付けられます。「デフォルト」製品は自己認証が可能です。

要約

• CRAは4つのカテゴリを定義します：デフォルト、重要 Class I、重要 Class II、クリティカル
• デフォルト：自己評価（Module A）が可能
• 重要 Class I：整合規格を完全適用する場合を除き、第三者評価が必要
• 重要 Class II およびクリティカル：第三者評価が必須
• 分類は市場セクターではなく、製品の機能とリスクに基づく
• 判断に迷う場合は上位分類を選びます（施行リスクの観点から安全）

ヒント： 製品の約90%はデフォルトカテゴリに該当します。まず重要製品・クリティカル製品リストをご確認ください。記載がなければデフォルトです。

CRAの4つの製品カテゴリ

CRAはデジタル要素を含む製品をサイバーセキュリティリスクに基づき4つのティアに分類しています。

デフォルト製品

製品の大多数がここに該当します。重要製品またはクリティカル製品のリストに具体的に記載されていない製品は「デフォルト」です。

適合性評価： 自己評価（Module A）で十分です。

例：

• 単純なIoTセンサー
• 基本的な民生電子機器
• 標準的なビジネスソフトウェア
• 汎用アプリケーション
• ネットワーク非接続の組み込みデバイス

日本からの輸出例: ネットワーク接続機能を持つ家電製品（Wi-Fi対応の炊飯器、ロボット掃除機、空気清浄機など）、汎用IoTセンサー、Directive 2009/48/EC の対象外の玩具など。重要製品・クリティカル製品リストに記載されていない多くの民生・産業向け機器が該当します。

重要製品 Class I

機能またはユーザー基盤によりリスクが高い製品。

適合性評価： 関連する整合規格を完全適用する場合は自己評価が可能。それ以外は第三者評価が必要。

日本からの輸出例: エンタープライズおよび SOHO 向けの有線・無線ルーター、モデム、ネットワークスイッチ（インターネット接続向けネットワーク機器の項目）、オペレーティングシステム、パスワードマネージャー、スマートホーム向けセキュリティカメラ、ベビーモニター。整合規格を完全適用すれば自己評価、それ以外は第三者評価が必要です。

重要製品 Class I の全リスト：

1. アイデンティティ管理システムおよび特権アクセス管理ソフトウェア・ハードウェア（生体認証リーダーを含む認証・アクセス制御リーダーを含む）
2. スタンドアロンおよび組み込みブラウザ
3. パスワードマネージャー
4. 悪意のあるソフトウェアを検索、削除、または隔離する機能を持つ製品
5. VPN（仮想プライベートネットワーク）機能を持つデジタル要素を含む製品
6. ネットワーク管理システム
7. セキュリティ情報・イベント管理（SIEM）システム
8. ブートマネージャー
9. 公開鍵基盤およびデジタル証明書発行ソフトウェア
10. 物理および仮想ネットワークインターフェース
11. オペレーティングシステム
12. インターネット接続向けルーター、モデム、およびスイッチ
13. セキュリティ関連機能を持つマイクロプロセッサ
14. セキュリティ関連機能を持つマイクロコントローラ
15. セキュリティ関連機能を持つASICおよびFPGA
16. スマートホーム汎用バーチャルアシスタント
17. スマートドアロック、セキュリティカメラ、ベビーモニタリングシステム、警報システムを含むセキュリティ機能を持つスマートホーム製品
18. ソーシャル・インタラクティブ機能（発話・撮影など）または位置追跡機能を持つ、Directive 2009/48/EC の対象となるインターネット接続玩具
19. 健康モニタリング（追跡など）を目的とし、Regulation (EU) 2017/745 または (EU) No 2017/746 の対象外となる個人用ウェアラブル製品、または子どもが使用することを意図した個人用ウェアラブル製品

重要製品 Class II

第三者評価が義務付けられる高リスク製品。

適合性評価： 認証機関（Notified Body）による第三者評価が必須です。自己評価の選択肢はありません。

日本からの輸出例: 製品の主機能がファイアウォール、侵入検知・防止システム（IDS / IPS）として販売されている機器。ルーターや産業用ゲートウェイの一機能としてファイアウォール機能を含む場合は、ここではなく Class I のネットワーク機器項目に該当します。

重要製品 Class II の全リスト：

1. オペレーティングシステムおよび類似環境の仮想化実行をサポートするハイパーバイザおよびコンテナランタイムシステム
2. ファイアウォール、侵入検知・防止システム
3. 耐タンパー性マイクロプロセッサ
4. 耐タンパー性マイクロコントローラ

クリティカル製品（最高リスクカテゴリ）

最高リスクカテゴリです。ハードウェアセキュリティモジュール等が該当します。

適合性評価： 現時点では Module B+C または Module H による第三者評価ルートで準備します。EU サイバーセキュリティ認証（EUCC）は、欧州委員会が対象スキームを有効化した後に使える代替ルートです。

日本からの輸出例: 決済端末に組み込まれるハードウェアセキュリティモジュール（HSM）などの「セキュリティボックスを持つハードウェアデバイス」（実施規則 (EU) 2025/2392 で明示）、EU電力市場ルールで定義されるスマートメーターゲートウェイ、ICカード（スマートカード）およびセキュアエレメントを含む類似デバイス。

クリティカル製品の全リスト：

1. セキュリティボックスを持つハードウェアデバイス
2. EU電力市場ルールで定義されるスマートメーターシステム内のスマートメーターゲートウェイ、およびセキュア暗号処理を含む高度なセキュリティ目的のその他のデバイス
3. スマートカードまたはセキュアエレメントを含む類似デバイス

決定ツリー：カテゴリの特定手順

以下の手順で製品を分類する：

スタート：製品はデジタル要素を含むか？
│
├─ いいえ → CRAの対象外。終了。
│
└─ はい → クリティカル製品リストに記載されているか？
     │
     ├─ はい → クリティカル
     │        Module B+C または H。EUCC は有効化後の代替ルート
     │
     └─ いいえ → 重要製品 Class II リストに記載されているか？
          │
          ├─ はい → 重要製品 CLASS II
          │        第三者評価が必要
          │
          └─ いいえ → 重要製品 Class I リストに記載されているか？
               │
               ├─ はい → 重要製品 CLASS I
               │        整合規格適用時は自己評価、それ以外は第三者評価
               │
               └─ いいえ → デフォルト
                        自己評価（Module A）が可能

カテゴリ別の適合性評価ルート

Module A は完全な自己評価サイクルです。技術ファイル、EU 適合性宣言、CE マーキングで構成され、外部監査機関は関与しません。

Module B+C は作業を分割します。認証機関が型式標本を検査し証明書を発行し（Module B）、製造業者はその後すべての生産品がその型式に適合していることを保証します（Module C）。

Module H は製品ごとのアプローチの代わりに製造業者の品質管理システムを監査します。大規模な製品ポートフォリオを持つ場合に適しています。

EUCC は、現時点で自動的に必須となる認証ではありません。欧州委員会が対象スキームを有効化した範囲では、「substantial」保証レベル以上の認証が第三者評価ルートを置き換える可能性があります。

境界ケース：判断の方法

すべての製品が明確に当てはまるわけではありません。代表的なケースを以下に示します。

複数機能製品

規則： いずれかの機能が上位カテゴリをトリガーした場合、製品全体がそのレベルに分類されます。

例： 以下を含むスマートホームハブ：

• 基本オートメーション制御（デフォルト）
• VPN 機能（重要 Class I）
• セキュリティカメラ統合（重要 Class I）

分類： 重要 Class I（トリガーされた最上位カテゴリ）

組み込みコンポーネント

規則： セキュリティ関連コンポーネントが分類をトリガーするかどうかを検討します。

例： 以下を含む民生デバイス：

• 汎用マイクロコントローラ → デフォルト
• 「セキュリティ関連機能を持つ」マイクロコントローラ → 重要 Class I

重要な問い： マイクロコントローラはセキュリティ機能（暗号化、認証、セキュアブート）を実行するか。

「意図された用途」に関する考慮

重要製品リストの一部の項目は意図された用途または製品コンテキストを規定しています（例：「Directive 2009/48/EC の対象となる接続玩具」や Regulation 2017/745・2017/746 を参照する健康モニタリングウェアラブル）。

製品がこれらのコンテキストで使用される可能性があるものの、具体的にそれを意図していない場合、分類が適用されない可能性があります。意図された用途は明確に文書化してください。

オペレーティングシステム

オペレーティングシステムは重要製品 Class I にのみ記載されています。Class II にオペレーティングシステムのカテゴリは存在しません。

例： 組み込みデバイス向けカスタム Linux ディストリビューションは通常、重要 Class I となります。Ubuntu Server は重要 Class I です。

ソフトウェア対ハードウェア

分類は市場に投入された製品として検討されます。

• スタンドアロンソフトウェア：ソフトウェア機能に基づいて分類
• 組み込みソフトウェアを含むハードウェア：複合的な機能に基づいて分類
• 個別販売のソフトウェアコンポーネント：独立して分類

業種別ガイダンス

IoT デバイスメーカー

ほとんどの IoT デバイスは、以下に該当しない限りデフォルトです。

• VPN 機能を含む → Class I
• スマートホームセキュリティデバイス → Class I
• 産業用 IoT → Class I または II
• 耐タンパー性セキュリティ機能を含む → Class II

ソフトウェア企業

具体的に記載されない限り、ほとんどのソフトウェアはデフォルトです。

• ブラウザ、パスワードマネージャー、マルウェア対策 → Class I
• ネットワークセキュリティツール（ファイアウォール、IDS） → Class II
• オペレーティングシステム → Class I

組み込みシステム

分類は以下に大きく依存します。

• マイクロコントローラ・プロセッサのセキュリティ機能
• 製品が産業・業務用途かどうか
• 対象デプロイ環境（重要インフラか否か）

医療機器

医療機器は CRA スコープから除外されています（MDR/IVDR の対象）。ただし、付随するソフトウェアや非医療機能は引き続きスコープ内となる可能性があります。

認証機関（Notified Body）の探し方

第三者評価が必要な製品向けの手順は以下のとおりです。

1. NANDO データベースを確認する：EU 公式の認証機関リスト
2. CRA 固有の指定を確認する：機関は CRA 適合性評価向けに指定されている必要があります
3. キャパシティを考慮する：CRA 初期フェーズでは NB の空きが限られます
4. 地域的考慮：所在地域内の NB と連携するほうが進めやすい場合があります

CRA の認証機関指定プロセスは進行中です。現在の指定機関リストは NANDO データベースで直接ご確認ください。

よくある分類ミス

重要： 分類は市場セクター、企業規模、製品の複雑さではなく、製品の機能に基づきます。常に重要製品・クリティカル製品リストをご確認ください。

「民生製品 = デフォルト」

誤りです。 分類は機能によるものであり、市場によるものではありません。

消費者向けに販売されるスマートドアロックは、対象市場に関わらず「セキュリティ機能を持つスマートホーム製品」として重要 Class I に該当します。

「B2B なので分類は低い」

誤りです。 B2B か B2C かは分類に影響しません。

法人顧客向けの産業用 IoT 製品も、機能によっては重要 Class I または II となります。

「小型・シンプルな製品なのでデフォルト」

これも誤りである可能性があります。 サイズと複雑さは分類を決定しません。

セキュリティ機能を持つ小型マイクロコントローラは重要 Class I となる場合があります。リスト記載機能を持たない大型・複雑な製品はデフォルトとなる場合があります。

「ISO 27001 を取得しているので対応済み」

誤りです。 ISO 27001 は組織の情報セキュリティ管理向けであり、製品の適合性評価ではありません。

CRA は組織認証に関わらず製品固有の適合性評価を要求します。

製品分類チェックリスト

製品分類チェックリスト

製品名：_______________________________________
日付：_________________________________________

初期スコープ確認：
[ ] 製品はデジタル要素を含む（ソフトウェアおよび/またはデータ接続）
[ ] 製品はEU市場に投入される
[ ] 製品は除外対象でない（医療、自動車、航空、軍事）

クリティカル製品の確認：
[ ] セキュリティボックスを持つハードウェアデバイスではない
[ ] スマートメーターゲートウェイ（EU電力市場ルールの定義による）または高度セキュリティ目的のデバイスではない
[ ] スマートカードまたはセキュアエレメントを含む類似デバイスではない

上記のいずれかに該当する → クリティカル（ここで終了）

重要製品 Class II の確認：
[ ] ハイパーバイザまたはコンテナランタイムシステムではない
[ ] ファイアウォール、侵入検知・防止システムではない
[ ] 耐タンパー性マイクロプロセッサではない
[ ] 耐タンパー性マイクロコントローラではない

上記のいずれかに該当する → 重要製品 CLASS II（ここで終了）

重要製品 Class I の確認：
[ ] 19カテゴリの全リストを確認する
[ ] 複数機能の影響を検討する
[ ] コンポーネントのセキュリティ関連機能を確認する

いずれかのカテゴリが該当する → 重要製品 CLASS I（ここで終了）

デフォルト：
[ ] 上位カテゴリのリストに記載なし
[ ] 分類：デフォルト

適合性評価ルート：
[ ] Module A（自己評価）：デフォルト、整合規格適用時のClass I
[ ] Module B+C（第三者評価）：整合規格非適用のClass I、Class II
[ ] Module H（品質保証）：B+Cの代替手段
[ ] EUCC 認証：欧州委員会が有効化した場合のみ確認

文書化：
[ ] 分類の根拠を文書化済み
[ ] 複数機能の分析を完了済み
[ ] 意図された用途を明確に定義済み
[ ] 必要な場合は認証機関（NB）を特定済み

分類担当者：_________________________________
日付：_________________________________________

本記事は情報提供を目的としており、法的アドバイスを構成するものではありません。EU製品規制に関する具体的なコンプライアンス対応については、EU規制に精通した法律の専門家にご相談ください。