CRAクラスIコンプライアンスガイド：ルーター、モデム、スイッチ

分類の根拠

CRA はルーター、インターネットモデム、スイッチを重要なクラス I 製品として扱います。これはクラス II のファイアウォールという位置づけとは異なります。ルーティングとインターネット接続が市場で訴求する中核機能であり続ける限り、追加のセキュリティ機能があってもルーターはクラス II には移りません。

ネットワークの端に位置するというだけで製品がクリティカルになるわけではありません。クリティカルの一覧はより狭く、家庭用ルーターや ISP の CPE 全体を含みません。

ルーター製品とは何を指すか

ルーター、モデム、スイッチという製品は、樹脂の筐体だけにとどまらない要素を含みます。

• ブートローダー、オペレーティングシステム、カーネル、無線ドライバ、WAN スタック、LAN サービス。
• モデム、ONT、Ethernet スイッチシリコン、管理 VLAN の挙動、存在する場合は PoE 制御。
• Web 管理 UI、モバイルアプリのペアリング、ローカルのセットアップポータル。
• TR-069、USP/TR-369、その他のリモート管理チャネル。
• リモートアクセス、ペアレンタルコントロール、テレメトリ、メッシュ協調、更新の調整に用いるベンダーまたは ISP のクラウド。
• ファームウェア更新サービス、署名鍵、リカバリイメージ、サポートプロセス。

証拠ファイルには、製品の外側にあるものも記録します。顧客の ISP アカウント、サードパーティのスマートホーム機器、顧客が作成したネットワークルール、別売の場合の利用者のモデム、製造業者が供給しない下流の事業者システムです。

製造業者はどの適合経路を計画すべきか

重要なクラス I であっても、すべてのルーターに第三者評価が必要というわけではありませんが、内部統制が当然に使えると見なすべきではありません。製造業者が一般的な内部統制の経路を使え、関連する整合規格、共通仕様、または適用される必須要件に対して保証レベルが少なくとも「相当（substantial）」の適切な欧州サイバーセキュリティ認証スキームを完全に適用できている場合には、この経路が利用できる可能性があります。これらの参照が存在しない、一部しか適用されていない、適用されていない、または関連するすべての要件を網羅しない場合は、EU 型式検査に加えて内部生産管理、または完全な品質保証を計画します。一般的な経路の仕組みと EU 適合宣言書に記載すべき内容は、適合性評価と適合宣言書のガイドにあります。本ページはルーター固有の選択のみを扱います。

同じハードウェアのバリエーションが、ファイアウォール、VPN ゲートウェイ、ネットワーク管理用アプライアンス、マネージドセキュリティプラットフォームとしても訴求される場合は、その SKU について別の分類メモを作成します。

RED のサイバーセキュリティ期限は CRA とどう対応するか

ほとんどのルーターとインターネット接続モデムは無線（Wi-Fi、セルラーモデムなど）を含み、その無線を備えた製品群は CRA が到来する前にすでに 1 つのサイバーセキュリティ関門を越えています。2025 年 8 月 1 日から、無線機器指令のサイバーセキュリティ要件（RED 第 3 条第 3 項の (d)、(e)、(f)、委任規則 (EU) 2022/30 が定める）が、Wi-Fi ルーター、メッシュノード、モデムルーター、セルラーゲートウェイなどのインターネット接続無線機器に適用されます。Ethernet 専用ルーターや、無線をもたない素の DSL・ケーブル・ファイバーモデムなど、純粋な有線機器は RED のサイバーセキュリティの適用範囲外ですが、いずれも CRA 上はデジタル要素を含む製品です。CRA の報告義務は 2026 年 9 月 11 日に始まり、CRA は 2027 年 12 月 11 日に完全適用となります。この日に、委任規則 (EU) 2026/339 による RED サイバーセキュリティ委任規則の廃止が発効し、2 つの規制が重複しないようになります。

ルーターの製造業者にとっての実務上の読み方は次のとおりです。

• 2025 年 8 月 1 日から 2027 年 12 月 10 日までは、該当する無線機器が RED のサイバーセキュリティ要件を満たします。整合の経路は EN 18031 シリーズを通り、その基礎となる消費者向けベースラインが ETSI EN 303 645 です。
• 2027 年 12 月 11 日からは、同じサイバーセキュリティ義務が CRA のもとに置かれ、より広いライフサイクルの義務が加わります。既定で安全な構成、脆弱性対応プロセス、サポート期間の表明、そして 2026 年 9 月 11 日にすでに始まる報告義務です。
• 2027 年 12 月 11 日より前に市場に投入されたルーターが CRA の対象になるのは、その日付以降に実質的に改変された場合のみです。唯一の例外は報告義務で、これは対象範囲のすべての製品（すでに販売された機器を含む）に適用されます。
• 準備中のルーター固有の CRA 整合規格は ETSI EN 304 627（ルーター、モデム、スイッチ）で、クラス I 項目 12 と必須のサイバーセキュリティ要件に対応づけられます。これはまだ草案であるため、評価時点で実際に引用される規格に基づいて適合経路を計画し、別個のプロジェクトを立ち上げるのではなく、RED 向けに構築した管理策（安全な既定値、署名済み更新、アクセス制御）を CRA ファイルの基礎として再利用します。

どのような証拠を準備すべきか

ルーターのアーキテクチャで見落としてはならない詳細

ルーターの証拠は、実際に出荷されるエッジ機器に合わせる必要があります。小売向け Wi-Fi ルーター、ISP モデムルーター、PON ONT、ケーブルモデム、モバイルホットスポット、メッシュノード、マネージドスイッチは、WAN の露出、リモート管理、ファームウェアの枝に関するリスクがそれぞれ異なります。

WAN 側は機器が最初に未認証の入力を解析する場所であり、その側はアクセス技術によって変わります。小売向け Ethernet WAN ルーター、ケーブルモデムルーター、ファイバー ONT、セルラーホットスポットは、同じプロビジョニングチャネルも同じ上流ピアも共有しません。

実際のルーターの脅威分析はどのようなものか

技術ファイルの脅威分析で期待される深さの例として、これを参照してください。製造業者は依然として、実際のルーター、モデムのチップセット、無線スタック、リモート管理チャネル、サプライヤーの SDK、更新の保有関係、販売上の表示、サポート期間の約束に対して、分析を実施する必要があります。

製品プロファイルの例

例の製品：ExampleCo HomeRouter R1。EU で小売および ISP ホワイトラベルのチャネルを通じて販売される Wi-Fi 7 家庭用ルーター。Ethernet WAN、4 つの LAN ポート、ゲスト Wi-Fi、ローカル Web 管理 UI、モバイルアプリのオンボーディング、任意の ISP リモート管理、署名済み OTA ファームウェア、自動更新チェック、DNS/DHCP サービス、ペアレンタルコントロールのプロファイル、リカバリイメージを備えます。

製品境界には、ルーターのハードウェア、ブートローダー、カーネル、Wi-Fi ドライバ、WAN サービス、LAN サービス、ファイアウォールの既定値、ローカル Web UI、モバイルアプリのペアリング、リモートアクセス用のベンダークラウド、任意の ISP リモート管理エージェント、OTA サービス、リカバリイメージ、サポートサイト、協調的開示の受付と助言プロセスが含まれます。除外されるのは、別売の場合の顧客のモデム、ISP の契約、サードパーティのスマートホーム機器、利用者の ID プロバイダ、そして同じ経済事業者が製品の一部として供給しない限りの下流の ISP の OSS/BSS システムです。

リリースゲート：ファームウェア工学が初回起動のベースラインを保有し、製品セキュリティが露出試験を保有し、サポートがリセットと RMA の証拠を保有します。成果物：プロビジョニング記録、セットアップ後の露出スキャン、ダウングレード拒否の試験、移転または連携解除の結果。

資産台帳

信頼境界

脅威シナリオ

初期リスク台帳

管理策と証拠の対応づけ

管理策適用後の残余リスク

サポート、更新、報告はどう運用すべきか

HomeRouter R1 の例では、実務上の CRA ファイルに、市販前のリリース証拠だけでなく、サポート期間の運用モデルも含めるべきです。

リリース前に通すべき検証ゲートはどれか

ルーターのリリースは、漠然とした「セキュリティ確認済み」の注記で通すべきではありません。出荷を止めうる具体的な判断を列挙し、それぞれに、防ぐべき失敗、それを締める管理策、その管理策が実際に動くことを証明する成果物を与えます。

構想からサポートまで、誰がルーター開発を保有するか

ルーターのリリースの保有は、製品定義から、顧客の家庭や ISP の網で稼働するフリートへと進む中で移っていきます。下のレールは、各段階に説明責任を負う単一の責任者、その責任者が最新に保つ記録、次の段階が始まる前に締めるべきゲートを与えます。

各移行はフリーズポイントです。アーキテクチャが始まる前に境界が、コードの前に設計意図が、検証の前にビルドが、出荷の前にリリースが固定され、その後はサポート期間を通じてファームウェアが稼働し続けます。脆弱性報告、ISP やサプライヤーの助言、現場での不具合は、すでに出荷したものではなく、次の境界メモ、脅威リスト、コンポーネント台帳を再開させます。

どの証拠記録がファイルに含まれるべきか

ファイルは、レビュー担当者が製品の識別情報からセキュリティ管理策まで、ルーターの判断をたどれるようにすべきです。各行は、ばらばらのスクリーンショットのフォルダではなく、維持された記録を指します。

ルーターのコンポーネント台帳には何を入れるか

CRA は、製品のコンポーネントを識別し、少なくともトップレベルの依存関係を網羅する機械可読のコンポーネント台帳を求めますが、特定の形式を 1 つに固定してはいません。ルーターの製造業者は通常 CycloneDX または SPDX を選びます。コンポーネント台帳の仕組みに関する製品横断の詳細は、専用のコンポーネント台帳ガイドにあります。本節はルーター固有のツリーを扱います。

ルーターのリリースは、1 つのバイナリではなく、更新サイクルの異なる複数のデジタル要素を出荷します。CRA の最低要件を満たすパターンは 2 つあります。要素ごとに区分された製品レベルの単一のコンポーネント台帳（ブートローダー、カーネル、Wi-Fi ファームウェア、WAN-PHY スタック、ネットワークデーモン、TLS、リモート管理エージェント、Web UI をそれぞれバージョン固定する）か、出荷要素ごとに 1 つの台帳を各リリースで更新するかです。機械可読でトップレベルの依存関係を網羅していれば、どちらも受け入れられます。

リリース承認は何を確認するか

EU リリース前の承認は、下に Q1 から Q4 として示す 4 つの記録フォルダを締められるべきです。完全なファイル索引は上の証拠マップにあります。ここでの 4 つの問いは、フォルダが空のときにリリースを止めるものだけです。

証拠：4 つの記録それぞれを、それが承認する正確なファームウェアバージョンに固定し、後で答えを再導出せずに同じリリースを再び開けるようにします。

ルーターは輸入業者・販売業者・ISP・事業者へどう引き継がれるか