サイバーレジリエンス法（CRA・規則(EU) 2024/2847）第18条第1項により、製造業者は書面による委任でEU認定代理人を選任することができます。MDR第11条やRED第5条と異なり、CRAでは選任は任意です。本ページでは、第18条第3項に定める認定代理人の業務、第18条第2項により委任できない義務、第19条の輸入業者との関係、そして実務上の選任判断のポイントを、日本のメーカー向けに整理します。
CRA第18条のEU認定代理人について、判断前に押さえるべき5点を整理します。
CRA第18条第1項により認定代理人の選任は任意です。判断は法的必要性の有無ではなく、EU域内の連絡窓口を持つ運用上のメリットが委任契約のコストを上回るかという運用判断になります。日本の域外製造業者のための判断順序を以下に整理します。
上記のいずれの段階でも、認定代理人を選任しないこと自体がCRA違反となるわけではありません。CRAは認定代理人不在に対する制裁を設けていません。これらは実務判断のための要素であり、規制対象セクターの域外製造業者の多くは、運用上の利点が委任費用を上回るとして選任に至っています。
委任の範囲は製造業者が書面で定めますが、第18条第3項は委任に含めるべき最小限の業務として以下の3点を定めています。市場監視当局が最初に確認するのもこの3点です。
認定代理人は、第28条のEU適合宣言書および第31条の技術文書を、製品が市場に上市された後10年間（または支援期間のいずれか長い方）にわたり、市場監視当局の閲覧に供する義務を負います。
CRA Evidenceでの裏付け：文書ボルトに10年保持ポリシー（プラン変更時も削除されない）、Sigstore鍵レス署名による非否認、Annex VIIのZIPバンドルエクスポートをサポートしています。
市場監視当局からの合理的要請（reasoned request）に対し、製品の適合を実証するために必要な情報および文書を提供します。応答期限と応答方法は当局の指定に従います。
CRA Evidenceでの裏付け：当局リクエストサービス（AUTH-YYYY-NNNN形式の番号管理、期限管理、超過検知）と応答パッケージ自動生成（マニフェスト、製品情報、SBOM・HBOM・VEX・証明書を1クリックでZIP化）。
認定代理人の権限内において、当局および製造業者と協力し、製品が示すリスクを排除するために講じられる措置に協力します。脆弱性対応、是正措置、市場からの撤去・回収などが対象です。
CRA Evidenceでの裏付け：当局リクエストのライフサイクル管理（受領→確認→対応中→応答済→終結）、VEX自動化（CycloneDX／CSAF／OpenVEX）、是正措置の監査証跡。第14条のENISA通報ワークフロー（24時間／72時間／14日）は現在開発中です。
第18条第2項により、第13条第1項～第11項、第13条第12項第1副段、第13条第14項の実体的なサイバーセキュリティ義務（必須要件、脆弱性対応プロセス、適合性評価）は委任対象から明示的に除外されています。認定代理人を選任しても、これらの本体義務は製造業者に残ります。
第18条の認定代理人と第19条の輸入業者は別個の役割であり、発生根拠も義務範囲も独立しています。一方が他方を代替するものではありません。一つのEU域内法人が両方を担うことは可能ですが、書面委任は別途必要です。
実務上の含意：認定代理人の選任は、誰が製品をEU市場に上市するかとは独立の判断です。EU輸入業者がいることが製造業者のサイバーセキュリティ義務を免除することはなく、認定代理人の存在が輸入業者の第19条義務を免除することもありません。一つのEU域内主体に両方の役割を委ねる場合、認定代理人としての書面委任を商業契約と区別して締結し、両機能をカバーする保険を確保してください。
MDR・RED・RoHS等で既に代理人事務所と関係がある場合、それを起点とすることは合理的です。それ以上に、CRA特有の確認事項として以下を押さえる必要があります。
EU加盟27カ国いずれかに登記された法人格と、所在地・連絡担当者を有していること。書面委任の相手方として明確であること。
CRAスコープおよび附属書III分類に明示的に対応した職業賠償責任保険（PI）の確保。文書管理リスクをカバーする条項。
MDR・REDサイバーセキュリティ委任行為・RoHS等の実績。CRA運用に必要な当局対応の経験を実証できること。
10年保管義務に対応する文書管理基盤（改ざん検知付きの監査証跡、当局対応エクスポート、書類引継ぎ手順）を保持していること。
当局に対する責任を負う個人名（自然人）が明示されていること。法務部の総合連絡先のみではないこと。
第18条第3項(c)の是正措置協力を、関係加盟国当局の使用言語で実施できる体制。
製造業者が文書保管を社内で行う場合、外部の認定代理人に委ねる場合、EU輸入業者と分担する場合のいずれであっても、運用すべきタスクは同一です。すなわち、技術文書を完全な状態で保持する、当局からの合理的要請に対し提出する、是正措置を記録するという3点です。CRA Evidenceは、認定代理人の有無を問わず、これらの運用を担うプラットフォームです。
EU適合宣言書、附属書VIIバンドル、SBOM・VEX・リスク評価を10年保持ポリシーのもとで管理し、改ざん検知付きの監査証跡を維持します。
当局からの照会には、番号管理された案件、明確な期限、ワンクリックの応答パッケージで応じます。複数のドライブを横断して書類を探す事態を避けます。
AUTH-YYYY-NNNN 形式で番号管理し、期限・超過を検知。脆弱性対応、VEX、是正措置の記録は同一の監査追跡基盤に書き込まれるため、誰が何をいつ実施したかを当局に提示できます。
認定代理人を選任する場合、委任は代理人事務所に向かいます。いずれの形態であっても、エビデンスはCRA Evidence上で動きます。第18条の運用を実機で確認したい場合は、無料アセスメントをご依頼ください。
CRA本文の一次資料を確認する場合のリンクと、第18条第1項の英語原文を以下に掲げます。
第18条第1項（英語原文）：
A manufacturer may, by a written mandate, appoint an authorised representative.
出典：EUR-Lex CELEX 32024R2847、第18条第1項（英語版）
参考訳（CRA Evidence による日本語要旨。法的拘束力のある公式の日本語版は存在しません）：
製造業者は、書面による委任により、認定代理人を選任することができる。
第18条全文を読む（EUR-Lex 英語版） →参考：第19条（輸入業者の義務）も同じEUR-Lexページで参照できます。第18条第3項(a)(b)(c)の業務、および第18条第2項の委任不可義務（第13条第1項～第11項、第13条第12項第1副段、第13条第14項）の本文は、上記英語版でご確認ください。
第18条第3項(a)(b)(c)の業務（DoC・技術文書の10年保管、当局リクエスト対応、是正措置記録）を実機でご覧いただけます。代理人を選任する場合も、自社で運用する場合も、輸入業者と分担する場合も、エビデンスはCRA Evidence上で動きます。日本のメーカー向けの無料アセスメントを承っております。