CRAの脆弱性はJPCERTに通報？ EUの通報先CSIRTの決め方

製品に積極的に悪用されている脆弱性が見つかったとき、日本メーカーの反射的な行動はJPCERT/CCへの連絡です。CRA（サイバーレジリエンス法）の文脈では、これは誤りです。JPCERT/CCはCRAの通報先ではありません。

CRAでは、通報先はEUの「調整役CSIRT」1か所です。ENISA（欧州サイバーセキュリティー庁）の単一報告プラットフォーム（SRP）を経由して1回だけ提出し、ENISAが同時に受領します。受領した調整役が、製品の販売先である各EU加盟国のCSIRTへ転送します。27か国に個別に出すのではありません。

EUに拠点がない日本メーカーは、AR・輸入者・販売者・利用者の順に、最初に該当する加盟国の調整役CSIRTを選びます。下表で27加盟国の調整役CSIRTを確認できます。

通報先を決める前に、誰がメーカー・輸入者・販売者かを整理する必要がある場合は、日本メーカーのCRA役割ガイドを参照してください。

通報は1回、調整役CSIRT 1か所へ

CRAの通報は、製品の販売先すべてに個別に出すものではありません。ENISA SRP経由で、調整役CSIRT 1か所へ1回提出します。ENISAも同時に受け取ります。

その調整役が、製品を販売していると申告した各加盟国のCSIRTへ転送します。転送はメーカーではなく調整役の役割です。

つまり、メーカーが手を動かすのは1回だけです。27回ではありません。

EU拠点の有無による通報先の分岐

最初に判定するのは、EU域内で製品のサイバーセキュリティに関する意思決定を主に行う拠点があるかどうかです。

その拠点がある場合は、その加盟国の調整役CSIRTへ通報します。この場合、以下のカスケード（優先順位の段階判定）は走りません。EUに子会社があるメーカーは、まずここを確認してください。

EU域内に主たる拠点がない場合に限り、次のカスケードで通報先を決めます。最初に当てはまった段階で止まり、その国の調整役CSIRTが通報先になります。

1. 認定代理人（AR）の国。最も多くの製品を扱うARの所在国。該当すればここで確定します。
2. 輸入者の国。ARがいなければ、最も多くの製品を市場に投入する輸入者の所在国。
3. 販売者の国。輸入者もいなければ、最も多くの製品を市場で提供する販売者の所在国。
4. 利用者が最も多い国。上のいずれにも当たらない場合の最終段階。

例で示します。ARがドイツ、最大の輸入者がオランダの場合、通報先はドイツの調整役、つまりBSI（CERT-Bund）です。ARが輸入者より先に当たるためです。

起点になるのは「最も多く扱う」事業者です。割合の閾値はありません。最も多くの製品を扱うARや輸入者の国、という基準です。

EU27か国の通報先CSIRT対応表

各国の通報先CSIRTを下表にまとめました。各行は、2026年9月10日付の調整役に指定されたCSIRTの一覧と突き合わせています。ENISAの一覧に掲載があり、本表の記載と一致する行を確認済みとしています。

提出先そのものは1つです。SRPは2026年9月11日にportal.cra-srp.enisa.europa.euで開設されました。最初の画面でAssigned Representativeのロールを選び、EU Loginでサインインします。EU Loginは個人アカウントで、MFAの有効化が必要です。ここで選ぶ調整役CSIRTが、下表で確認する相手になります。

27加盟国すべてがENISAの一覧に掲載されています。連絡先はこの一覧が正であり、社内資料に転記した古い連絡先で運用しないでください。

よくある誤送信

各国には名前の似た複数の組織があり、CRAの通報先ではない先へ誤送信しやすい点があります。スペイン、クロアチア、マルタ、チェコが特に間違えやすい国です。

• スペイン：通報先はINCIBEです。ENISAの一覧には、インシデント用と脆弱性調整用の連絡先が別々に掲載されています。CCN-CERTとの分割ではありません。
• クロアチア：通報先はCERT.hrです。
• マルタ：ENISAの一覧に掲載されているのはMITAです。
• ブルガリア：ENISAの一覧の連絡先はGovCERT.bgです。
• チェコ：通報先はNÚKIB（GovCERT.CZ）で、CSIRT.CZではありません。
• ルーマニア：通報先はDNSCで、CERT-ROではありません。
• ギリシャ：通報先はNCSA傘下のCSIRTで、軍のHellenic CSIRTではありません。
• ルクセンブルク：通報先はCIRCLで、GOVCERT.LUではありません。
• デンマーク：CSIRTが国防情報機関（FE）の内部に置かれています。

提出前に押さえておく3点

調整役を誤って選んだ場合、その届出は無効とされることがあり、正しい調整役へ出し直すことになります。期限は認知の時点から進むため、失われた時間は自社の持ち出しです。

• 画面のカウンター：72時間の期限は、24時間の早期警告を提出した時点から48時間後として表示されます。積極的に悪用されている脆弱性の認知日時の欄については、ENISAの現行の2ページで扱いが異なります。SRP用語集は次期リリースで追加される欄としており、FAQの項目表は24時間の早期警告で必須と記載しています。ENISAが整理するまでは、認知日時を自社の記録で保持し、いずれの場合でも提出できるようにしてください。
• 記入項目の定義：正式なフィールド定義はSRP用語集（バージョン1.3）です。英語のみで提供され、記入項目の第一の拠りどころですが、ENISAの利用手順書やFAQにも項目の説明があります。

検証前に提出できる件数は、1つの製造業者につき最大20件です。FAQ、AR Interface functions手順書、AR User Manualのいずれも同じ数字を示しています。これは検証の順番待ちが長引いた場合の安全弁であり、運用の前提として見込める余裕ではありません。検証手続きは早めに完了させてください。

JPCERT/CCは別の枠組み

JPCERT/CCはCRAの通報には関与しません。CRAの通報先は、上の手順で決まるEUの調整役CSIRTです。

日本の国内法が、JPCERT/CCへの別の報告義務を課す場合があります。それはCRAとは並行・追加の義務です。JPCERT/CCへの報告でCRAの義務が果たせるわけではなく、逆にCRAの通報が国内の義務を置き換えるわけでもありません。両者は別々に存在します。

通報先の「AR」とSBOMの誤解

「ARの国へ通報する」は、「ARに報告を送る」という意味ではありません。通報の窓口はENISAのSRPであり、ARのプラットフォームではありません。

ARは法的な連絡先であり、文書の保管者です。EU適合宣言書と技術ファイルを保管し、市場監視当局からの照会に応じます。脆弱性通報のハブではありません。

報告としてSBOM（ソフトウェア部品表）を送るわけでもありません。提出するのは24時間以内の早期警告、72時間以内の詳細通知、そして最終報告（脆弱性は14日以内、重大インシデントは1か月以内）です。SBOMは技術ファイルの中に保管します。

EUVD（欧州脆弱性データベース）も通報先ではありません。EUVDは悪用状況や緩和策を確認する監視・優先順位付けの情報源です。EUVD IDがある場合はSRPの記入項目で参照できますが、通報そのものはENISA SRP経由で1か所の調整役CSIRTに提出します。

公式リストの状況とまだ未確定の点

ENISAが公開する調整役に指定されたCSIRTの一覧は2026年9月10日付です。EU27加盟国すべてを収録しており、連絡先はこの一覧が正です。

上の表はこの一覧と突き合わせたものです。表の最終確認は2026年9月10日です。ENISAは自らの資料について現時点の知見に基づくものであり変更され得るとしているため、提出の時点でこの一覧を必ず確認してください。

いくつかの点は規則上まだ明確ではありません。断定はできない範囲です。

• メーカーが複数のARを選任できるかは確定していません。「ARは1社のみ」とは断定できません。
• 「最も多く扱う」の数え方（SKU単位か、出荷台数か、製品ファミリー単位か）と「利用者」は、規則上定義されていません。割合のルールも示されていません。
• ARの選任はCRAでは任意です。委任の内容に「当社に代わって通報する」を加えることもできますが、それも任意です。

提出前の棚卸しチェック

通報の瞬間に通報先を探し始めると、24時間の早期警告に間に合いません。先に準備しておく項目を挙げます。

□ AR・輸入者・販売者のEU域内での所在を今のうちに棚卸しする
  → 通報先は「最も多く扱う」事業者の国で決まります。
    日頃から把握していないと、提出時に通報先を確定できません。

□ 担当者個人のEU Loginアカウントを作成し、MFAを有効にしておく
  → SRPは2026年9月11日に開設されており、サインインにはEU Loginが必要です。
    提出は1回・1か所ですが、サインインできなければその1回が出せません。

□ 早期警告の記載項目をテンプレート化しておく
  → 24時間以内に出すのは製品の特定と初期評価です。
    様式が手元になければ、社内調査の遅れがそのまま期限超過になります。

通報体制が間に合わない場合の制裁は、最大1,500万ユーロ または 全世界売上の2.5%です。

CRA Evidence のコンサルティング支援

CRA Evidence は、日本メーカー向けに、通報先CSIRTの特定、EU域内のAR・輸入者・販売者の棚卸し、早期警告テンプレートの整備までを支援します。自社の通報先がどの国に決まるかを確認したい場合は、無料アセスメントをご予約ください。適用範囲の自己診断にはCRA適用判定ツールもご利用いただけます。

本記事は情報提供のみを目的とし、法的助言を構成するものではありません。具体的なコンプライアンス対応については、有資格の専門家にご相談ください。