EN 18031とEU CRA：日本の無線機器メーカー向けRED移行ガイド
REDサイバーセキュリティ、EN 18031、CRAのつなぎ方。SBOM、CVD、安全更新、CRA技術文書で不足する証拠を日本メーカー向けに整理します。
この記事の内容
EU向け無線製品のCRA準備は、2027年まで待つ話ではありません。2025年8月からREDサイバーセキュリティ対応が先に走り、その証拠をCRA技術文書へつなげるかどうかで、後の作業量が大きく変わります。
日本のFA機器、産業ロボット、半導体製造装置、遠隔保守モジュールでは、EN 18031の試験記録をSBOM、CVD、更新管理、支援期間、CRA技術文書へ接続する設計が先に必要です。
要点はシンプルです。EN 18031はRED対応の強い材料になりますが、CRA対応そのものではありません。CRAでは、製品のセキュリティ機能だけでなく、脆弱性処理の運用、脆弱性・インシデント報告、出荷後の安全更新まで説明する必要があります。
要約
- REDサイバーセキュリティ要求は、対象無線機器のネットワーク保護、個人データ・プライバシー保護、不正利用防止を扱います。
- EN 18031-1、EN 18031-2、EN 18031-3 は、このREDサイバーセキュリティ要求に対する整合規格です。
- CRAの脆弱性・インシデント報告義務は2026年9月11日から始まり、対象製品の能動的に悪用された脆弱性と重大インシデントを扱います。
- CRAの主要製品義務は2027年12月11日から適用されます。移行規定の下で、既存製品にも報告義務は先にかかります。
- RED/EN 18031の証拠はCRA準備に再利用できますが、SBOM、CVD方針、支援期間、更新提供、CRA技術文書までは自動的に埋まりません。
実務上の見方
実務上、ここで一番危ない進め方は「REDは試験所、CRAは法務、SBOMは開発」という分け方です。無線機器のCRA対応は、部門ごとに資料を集める作業ではなく、同じ製品ラインの証拠を一つのファイル構造に集約する作業です。
EN 18031の価値は、CRAを代替することではありません。価値があるのは、認証、アクセス制御、更新、設定、データ保護について、すでに説明しやすい証拠を持てる点です。その証拠をCRA要求と技術文書へ割り当てると、足りないものが早く見えます。
日本メーカーには、RED対応を「2025年8月の関門」として終わらせず、2026年9月の報告義務と2027年12月のCRA技術文書へつなぐことを勧めます。この順序の方が、EU顧客からの質問票にも、社内の品質保証レビューにも耐えやすくなります。
EU顧客に説明しやすい証拠の束ね方
EU顧客が求めるのは、個別の試験書ではなく「この製品ラインはどの証拠で説明できるか」です。RED技術文書、EN 18031試験表、SBOM、CVD方針、更新手順が別々のフォルダにあると、顧客質問票への回答が毎回手作業になります。
最初の証拠パックは、1製品ラインに絞って作るのが現実的です。完成品、組込み無線モジュール、ファームウェア、保守用ソフトウェア、クラウド接続、遠隔保守アカウントを同じ一覧に置きます。そのうえで、REDで説明できる証拠とCRAで追加すべき証拠を分けます。
| EU顧客からの要求 | REDだけで答えられる範囲 | CRA向けに追加する証拠 |
|---|---|---|
| 無線製品のサイバーセキュリティ説明 | REDサイバーセキュリティ要求の対象判断、EN 18031試験表、REDリスク評価 | CRA要求との対応表、既知脆弱性の確認記録、製品分類メモ |
| ソフトウェア構成とSBOM | 無線モジュール、ファームウェア、認証済み部品の一覧 | 製品全体のSBOM、OSS、保守ツール、クラウドSDK、サプライヤー部品 |
| 脆弱性が出た場合の連絡先 | RED技術文書内の責任部門や品質保証窓口 | CVD方針、外部報告窓口、報告判定責任者、ENISA報告手順 |
| セキュリティ更新の提供方法 | 更新機能の試験記録、署名や設定保護の一部 | 支援期間、無償安全更新、ユーザー通知、ロールバック、終了年月 |
| 技術文書の完成度 | RED EU適合宣言書、適用規格一覧、試験報告 | CRA EU適合宣言書、技術文書索引、脆弱性処理プロセス、ユーザー情報 |
この形にしておくと、EUブランド、輸入者、試験所、社内品質保証の質問に同じ証拠パックから答えられます。重要なのは、REDファイルを捨てることではなく、CRAファイルに読み替えられる場所と、まだ空いている場所を明示することです。
REDサイバーセキュリティとEN 18031が見る範囲
REDは無線機器のEU市場投入に関する枠組みです。サイバーセキュリティでは、主にネットワーク保護、個人データ・プライバシー保護、不正利用防止の3つが問われます。
- ネットワーク保護では、無線機器がネットワークやその機能に損害を与えないこと、ネットワークリソースを誤用しないことを説明します。
- 個人データ・プライバシー保護では、利用者データ、通信データ、位置情報、認証情報を製品がどう守るかを説明します。
- 不正利用防止では、詐欺、悪用、無断操作につながる機能をどう抑えるかを説明します。
2025年8月1日以降にEU市場へ置かれる対象無線機器では、このRED側の技術文書、リスク評価、試験証拠が先に問われます。その後、CRAの主要製品義務が全面適用される2027年12月11日からは、Commission Delegated Regulation (EU) 2026/339により、RED側の追加サイバーセキュリティ委任規則が廃止される設計です。ただし、2025年8月1日から2027年12月10日までにEU市場へ置かれた対象無線機器については、RED側の市場監視が残ります。
この移行関係は、RED側のDelegated Regulation (EU) 2022/30、Delegated Regulation (EU) 2023/2444、Implementing Decision (EU) 2025/138、Delegated Regulation (EU) 2026/339と、CRA本体のRegulation (EU) 2024/2847で確認できます。
EN 18031シリーズは、このREDサイバーセキュリティ要求に対応するための技術的な評価軸を示します。実務では、無線インターフェース、認証、アクセス制御、データ保護、更新、ログ、設定、既定値、脆弱性への備えを、製品の設計資料や試験記録と結びます。
EN 18031は強制規格ではありません。EUの整合規格として使える範囲では、RED要求への適合推定を支えるルートになります。ただし、規格を部分的にしか使わない場合、又はEU官報の制限に当たる場合は、適合推定が弱くなり、別の技術説明やNotified Bodyを含む適合評価ルートの検討が必要になることがあります。
| EN 18031の部 | 主に見る無線機器 | 日本メーカーでの例 |
|---|---|---|
| EN 18031-1 | インターネット接続が可能な無線機器 | Wi-Fi搭載ゲートウェイ、LTE保守ルーター、クラウド接続型のFA端末 |
| EN 18031-2 | 個人データ、トラフィックデータ、位置データを処理する無線機器。子ども向け、玩具、ウェアラブル等も含まれます | 作業者認証端末、保守用タブレット、位置情報を扱う産業用端末 |
| EN 18031-3 | 仮想通貨又は金銭的価値を扱い、インターネット通信が可能な無線機器 | 決済機能付き端末、課金・プリペイド機能を持つ接続機器 |
官報で示された制限も重要です。特に次の論点では、EN 18031を使っていても適合推定の範囲を慎重に見なければなりません。
| 見落としやすい論点 | なぜ重要か | 先に確認すること |
|---|---|---|
| ガイダンスや根拠説明だけで説明している | 官報上、説明用の章そのものは適合推定を支える技術要求として扱えません | 試験表のどの要求で証拠化したか |
| パスワードを設定せずに使える | パスワード設定を省略できる製品では、適合推定が弱くなる可能性があります | 初回設定、既定値、強制変更、代替認証 |
| 子ども向け、玩具、ウェアラブルで保護者管理が関係する | アクセス制御の前提が通常の産業機器や業務端末と異なります | 保護者設定、利用者の年齢、遠隔操作、データ範囲 |
| 金銭的価値を扱う製品の安全更新 | 決済・課金・ウォレット系の製品では、更新評価の扱いを慎重に確認する必要があります | 更新署名、配布経路、ロールバック、試験所の解釈 |
日本メーカーにとって重要なのは、REDの対象範囲が「Wi-FiやBluetoothが付いているから無線の認証だけを見ればよい」という話ではない点です。産業用ゲートウェイ、サービス用LTEルーター、ロボットセルのリモートアクセス装置、半導体装置の保守PCに組み込まれた無線モジュールでも、EUに置かれる製品全体の機能として見られます。
CRAが追加するもの
CRAは、デジタル要素を持つ製品のサイバーセキュリティを製品ライフサイクルで扱います。REDが無線機器の特定要求を先に求める一方で、CRAはメーカーの設計、開発、出荷後運用まで広げます。
CRA附属書Iでは、製品を適切なセキュリティ水準で設計・開発・製造すること、既知の悪用可能な脆弱性がない状態で市場投入すること、セキュアな既定設定、攻撃面の低減、機密性・完全性・可用性の保護などが並びます。
さらに、附属書I Part II は脆弱性処理を求めます。ここには、製品の脆弱性と部品の特定・文書化、SBOM、脆弱性の修正、CVD方針、連絡窓口、セキュリティ更新の安全な配布が含まれます。
Article 14は2026年9月11日から始まります。メーカーは、能動的に悪用された脆弱性や重大インシデントについて、ENISAとコーディネーターCSIRTに単一報告プラットフォーム経由で通知する準備が必要です。既存製品についても、第69条の移行規定により、この報告義務は2027年12月11日より前から関係します。詳細な通報経路は、Article 14の日本メーカー向け解説とどのCSIRTへ報告するかの解説で整理しています。
REDからCRAへの証拠マッピング
| RED / EN 18031の成果物 | CRAで再利用できるもの | CRAでなお残る不足 | CRAファイル内の置き場所 |
|---|---|---|---|
| EN 18031適用範囲メモ | 無線機能、対象モデル、EU市場投入単位の整理 | CRA上の製品分類、重要製品クラス該当性、デジタル要素の境界 | 附属書VIIの製品説明、意図された用途、分類メモ |
| REDリスク評価 | ネットワーク損害、プライバシー、不正利用に関する脅威分析 | CRA附属書I全体のリスク評価、攻撃面、支援期間中の脆弱性運用 | 附属書VIIのリスク評価と適用要求の説明 |
| EN 18031試験記録 | 認証、アクセス制御、更新、設定、データ保護の試験根拠 | CRA上の既知脆弱性確認、悪用可能性評価、更新配布の運用証拠 | 試験報告、設計・検証記録、適合評価ファイル |
| 無線モジュールの構成表 | チップ、ファームウェア、無線スタック、認証済みモジュールの一覧 | 製品全体のSBOM、OSS、サードパーティ部品、保守ツール、クラウド連携 | SBOM、部品リスト、バージョン管理記録 |
| セキュリティ更新手順 | 署名、配布、ロールバック、設定保護の一部 | 支援期間、無償更新、ユーザー通知、脆弱性修正SLA | 脆弱性処理プロセス、更新方針、ユーザー情報 |
| 不具合・脆弱性チケット | 既知問題、修正履歴、評価者コメント | CVD方針、外部報告窓口、Article 14判定、ENISA報告手順 | CVD方針、連絡窓口、インシデント報告SOP |
| RED EU適合宣言書 | RED適合の宣言、適用規格の一覧 | CRA EU適合宣言書、CRA要求への独立した適合根拠 | EU適合宣言書、整合規格一覧、技術文書索引 |
この表の目的は、RED対応を軽く扱うことではありません。EN 18031の成果物をCRAのファイル構造に移し替え、足りない箇所を見える形にすることです。
製品分類や重要製品クラスの判断が主な論点であれば、先にCRA製品分類ハブで製品カテゴリごとの考え方を確認してください。
日本メーカーで問題になりやすい製品群
FA機器と産業ロボットでは、装置本体の寿命が長く、無線機能が後付けの保守モジュールや現場ネットワーク機器に分かれがちです。CRAでは、EUに置かれる製品の意図された用途、ソフトウェア更新、支援期間、脆弱性対応の責任を文書化する必要があります。産業ロボットとFA機器のCRA論点も合わせて確認してください。
半導体製造装置では、装置制御PC、リモート保守ゲートウェイ、ログ収集機能、顧客工場内ネットワークとの接続が証拠の境界を複雑にします。無線インターフェースだけがRED対象であっても、CRAでは製品全体のデジタル要素と脆弱性処理が問われます。半導体装置ファームウェアのCRAガイドは、この境界設定に近い内容です。
EUブランド向けOEMや部品供給では、ブランド側がRED技術文書とCRA技術文書を同時に要求する可能性があります。EN 18031試験書だけでは、SBOM、CVD、支援期間、脆弱性報告の社内判定記録が不足します。日本企業のOEMロール整理で、メーカー、輸入者、ブランドの分担を先に確認してください。
当社なら、最初の対象として「一番売れている製品」ではなく「EU顧客から最も早くRED資料を求められている製品」を選びます。その製品でRED証拠からCRA不足リストを作ると、次の製品ラインへ横展開しやすくなります。
| 製品群 | EU顧客から先に聞かれやすいこと | 先に準備する証拠 |
|---|---|---|
| FA機器と産業ロボット | コントローラ、HMI、無線保守端末、ロボットセル全体の境界 | 製品単位メモ、保守経路図、更新手順、支援期間 |
| 半導体製造装置 | 制御PC、リモート保守、ログ収集、顧客ファブ内接続の扱い | ソフトウェア棚卸し、SBOM範囲、顧客別更新記録、保守アカウント管理 |
| 無線サービスモジュール | LTEルーター、Wi-Fiゲートウェイ、Bluetooth診断端末のRED対象性 | EN 18031試験表、設定管理、認証方式、遠隔アクセス承認フロー |
| EUブランド向けOEM部品 | ブランド側技術文書に入れる証拠と日本側の提供時限 | SBOM提供条件、脆弱性通知SLA、修正版ファームウェア、リリースノート |
想定してはいけないこと
- EN 18031に合格すればCRAにも合格する、とは考えないでください。現時点でEN 18031をCRA整合規格として扱う根拠は確認できません。
- REDの技術文書があるのでSBOMは不要、とは考えないでください。CRAでは部品と脆弱性の文書化が別に求められます。
- 無線モジュール供給元の証明書だけで製品全体を説明できる、とは考えないでください。CRAでは意図された用途、統合状態、更新責任が見られます。
- EU顧客が報告するので自社は関係ない、とは考えないでください。メーカーとしての判定、通知、ユーザー情報の流れが必要です。
- 2027年12月11日まで何もしなくてよい、とは考えないでください。脆弱性・インシデント報告は2026年9月11日から始まります。
よくある質問
EN 18031はCRAの整合規格ですか?
現時点では、EN 18031-1、EN 18031-2、EN 18031-3をCRAの整合規格として扱う前提を置くべきではありません。REDサイバーセキュリティの整合規格として使い、CRAでは再利用できる証拠と不足する義務を分けてください。
RED対応済みのWi-Fi製品でもCRAのSBOMが必要ですか?
CRAの範囲に入る製品であれば、SBOMを含む部品と脆弱性の文書化が必要になります。REDの試験書や無線認証資料は、SBOMの代わりにはなりません。
日本本社がメーカーでEU法人が販売する場合、脆弱性報告は誰が対応しますか?
契約と市場投入形態で変わります。少なくとも、メーカー側で能動的に悪用された脆弱性を判定し、EU側の報告経路、ENISA、コーディネーターCSIRT、顧客連絡を接続するSOPが必要です。
遠隔保守用の無線ルーターだけが対象なら、装置本体はCRA対象外ですか?
自動的には言えません。装置本体、保守モジュール、ソフトウェア、クラウド接続、EUでの販売単位を確認する必要があります。無線部品だけのRED評価と、製品全体のCRA評価は別の問いです。
半導体製造装置の保守PCやログ収集機能も見るべきですか?
はい。EU顧客へ提供する製品の一部として機能する場合、支援期間、更新、脆弱性連絡、SBOM範囲の判断に入る可能性があります。
EUブランドがEN 18031レポートだけを要求している場合、CRA準備は後でよいですか?
後回しにすると、2026年9月の報告義務対応と2027年12月のCRA技術文書が分離します。EN 18031レポートを作る時点で、CRA用の索引と不足リストを作る方が実務的です。
CRA Evidence のコンサルティング支援
CRA Evidenceは、日本の無線機器メーカーがREDサイバーセキュリティ証拠をCRA技術文書へ接続する作業を支援します。対象製品の範囲確認、EN 18031証拠の再利用マップ、SBOM範囲、CVD方針、報告SOP、技術文書ドラフトの不足確認を行います。
EU顧客からREDとCRAを同時に求められている場合は、まず1つの製品ラインで証拠の棚卸しを行うのが現実的です。必要に応じて、CRA Evidenceのアセスメントで現在のREDファイルとCRAギャップを確認できます。
本記事は一般的な情報提供であり、法的助言ではありません。個別の製品・契約・販売経路については、EU製品規制に詳しい専門家に確認してください。
関連記事
日本メーカーのCRA役割ガイド：EUブランド・OEM・輸入者の分担
CRAの脆弱性はJPCERTに通報？ EUの通報先CSIRTの決め方
CRAはあなたの製品に適用されますか？
6つの質問に答えるだけで、あなたの製品がEUサイバーレジリエンス法の適用範囲に該当するかどうかがわかります。2分以内で結果を確認できます。