スマートメーターゲートウェイとエネルギー計量のCRA対応ガイド

CRA はスマートメーターゲートウェイに何を求めるか

CRA はスマートメーターゲートウェイを、多数のデジタル要素から成る 1 つの製品として扱います。この製品には、メーターファームウェア、ゲートウェイのオペレーティングシステム、通信モジュール、DLMS/COSEM（標準的な計量データプロトコル）または独自のメータープロトコルスタック、SIM・eSIM・無線クレデンシャル、鍵ストア、ヘッドエンドコネクタ（電力事業者の中央収集システムへの接続）、ローカルディスプレイ、モバイルアプリ、クラウドポータル、更新サービス、設置作業ツール、脆弱性対応プロセスが含まれます。電力事業者の課金システム、法定計量の承認、系統運用システム、顧客のエネルギー契約は、同じ製造業者がそれらを製品の一部として供給する場合を除き、通常は除外されます。

その境界がファイルの核心です。証拠は、サイバーセキュリティを法定計量から切り分けながらも、ゲートウェイ、メーター、ヘッドエンドの間のインターフェースを文書化しなければなりません。計量器指令と各国の計量規則に基づく計量承認は、CRA とは別の問いに答えるものです。一方は計量が正確で封印されていることを証明し、他方は接続型製品がサポート期間を通じて攻撃に耐えることを証明します。両者を混同する製造業者は、いずれの審査担当者も満足させられないファイルに行き着きます。

サイバーセキュリティ要件とそれを証明する技術ファイルは、すべての CRA 製品で同じように機能し、技術文書ガイドがそれらを扱います。本ページは、計量ゲートウェイに固有の事項のみを扱います。クリティカル分類、適合経路、ゲートウェイのアーキテクチャ、計量固有の証拠です。

対象機器はクリティカル区分に入るか

クリティカルの位置づけは狭く、計量製品はその両側のいずれにも位置しうります。機器がクリティカルなゲートウェイに該当するのは、それが計量システムの通信ユニットである場合です。電力事業者への接続を制御し、メーターと個人データを処理し、暗号処理を実行し、システムをファイアウォールで保護して他の機器を制御できる場合です。計量と報告のみを行うメーターは標準の経路にとどまり、強力な暗号技術を用いて通常の機能を保護するだけでは機器はクリティカルになりません。委員会実施規則 (EU) 2025/2392（実施規則）は 2025 年 12 月 21 日から拘束力をもち、この判定基準を定めるとともに、電気だけでなくガスと熱のゲートウェイにも拡張します。この答えは境界メモで一度確定させます。上の要約表が一般的なバリエーションと経路を対応づけています。

アーキテクチャは EU 域内でどう異なるか

ドイツは独立したゲートウェイのモデルを採用し、専用の通信ユニットを置きます。クリティカルの掲載はこのモデルを念頭に作られました。フランス、スペイン、イタリアはこの方式では計量しません。計量と通信を 1 つの封印ユニットで行う統合型メーターを用い、宅内ゲートウェイボックスを介さずに二次変電所のデータコンセントレータへ直接到達します。コンセントレータが集約と上流リンクを担うため、CRA の証拠は依然として付随しますが、対象となる機器が異なり、クリティカル経路の問いもそれに伴って移動します。ドイツのモデルは下で独立した節を設けて扱います。

3 つの市場いずれも形は同じです。需要家側の統合型メーター、低圧線を上る狭帯域の電力線搬送、配電変電所のコンセントレータ、そして事業者への携帯通信リンクです。異なるのは電力線搬送の技術、消費者向けチャネル、そしてイタリアでは第 2 の無線インターフェースです。いずれの市場でも、コンセントレータが多数のメーターを集約し、認可された第三者との通信を制御するノードです。統合型メーターは通常、標準の経路をたどる接続型製品です。どちらの判定も自動ではありません。実施規則はカテゴリーを中核機能で区分するため、それ自体の機能がゲートウェイの記述に合致するメーターはクリティカル区分に入ると論じうり、製造業者はこの切り分けを前提とせず境界メモで確定します。

フランス：Enedis Linky

Linky メーターは両方の役割を担います。消費を計量し、単一ユニットから上流へ通信し、宅内ゲートウェイを介さずに HTA/BT（中圧から低圧）二次変電所のコンセントレータへ直接到達します。リンクは CENELEC A 帯（低周波の電力事業者向け帯域）の狭帯域電力線搬送で、主に G3-PLC プロファイルが用いられ、一部のフリートは第 1 世代の S-FSK 方式です。コンセントレータは公衆携帯通信（当初設計では GPRS）で Enedis の中央システムへバックホールします。Enedis はメーター製造業者ではなく、システムを運用する配電系統運用者です。消費者向けインターフェースは任意です。メーターは TIC 情報ポートを備え、宅内ディスプレイが別個の無線モジュールを介して読み取れますが、これは Enedis の標準機器ではなくアドオンです。展開は 2015 年に始まり、約 3,500 万台のメーターに達しました。

スペイン：PRIME と Meters and More

スペインも同じ 3 層の形をとります。需要家側の統合型 DLMS メーター、centro de transformación のコンセントレータ、DSO のヘッドエンドです。低圧の電力線技術は事業者によって分かれます。Iberdrola（i-DE）と UFD は PRIME を、Endesa（e-distribución）は Meters and More を用います。コンセントレータはメーターを集約し、コマンドを中継し、低圧系統を監視し、STG-DC スーパーバイザープロトコルでヘッドエンドと通信します。バックホールは公衆ネットワークリンクで、多くは携帯通信、しばしば VPN を経由します。法的な基盤は Orden ITC/3860/2007 で、メーターを遠隔管理ユニットへ置き換えることを求めたため、スペインは早期にほぼ完全な普及に達し、約 2,700 万台の低圧メーターに及びました。

イタリア：e-distribuzione Open Meter

イタリアは EU 最初の大規模展開で、2001 年からの Telegestore 第 1 世代を経て、現在は Open Meter 第 2 世代に移行し、2023 年までに約 3,000 万台のメーターが設置されました。ARERA は Chain 1 を電力線 A 帯、169 MHz 無線インターフェース、その他の通信技術で運用することを認めており、Open Meter は電力線 A 帯と 169 MHz 無線を組み合わせた二重の Chain 1 インターフェースを備えます。別個の Chain 2 電力線チャネル（C 帯）が任意の消費者向け User Device に到達し、CEI TS 13-82 から 13-85 シリーズで標準化され、ARERA 決議 87/2016 で義務づけられています。MT/BT（中圧から低圧）変電所のコンセントレータは、e-distribuzione 自身の言葉では網自動化のための情報ハブかつアクチュエータであり、公衆 GSM、GPRS、UMTS、PSTN 網でバックホールします。

これはコンセントレータをクリティカル製品と断定するものではありません。通常はより有力な候補にすぎません。判定は機器と用途に固有で、実施規則の中核機能の記述に従い、製造業者の境界メモに属します。下の判定はこのテストの短縮版です。

独立ゲートウェイ型のシステムはどう構成されるか（ドイツのモデル）

これは独立したゲートウェイのモデルで、専用の通信ユニットを独自のボックスとしてもつものです。上で述べた統合型メーターの市場、すなわちフランス、スペイン、イタリアでも、これと同じ証拠境界が存在しますが、それらは専用ゲートウェイではなくメーターと系統側コンセントレータに集約されます。スマートメーターゲートウェイは、インテリジェント計量システムの中央通信ユニットです。BSI はこれを、メーターからデータを受信・保存し、それを閲覧する権利のある市場参加者向けに処理する中核コンポーネントと説明しています。連邦ネットワーク庁（Bundesnetzagentur）はこれをシステムの心臓部と呼びます。ゲートウェイは 3 つのネットワークの間に位置し、そのすべての信頼の起点となるのが専用のセキュリティモジュールです。各境界は CRA の証拠が付随する場所であるため、アーキテクチャを正確に描く価値があります。

3 つのネットワークはそれぞれ異なるリスクと異なる管理策を担います。

• ローカル計量網（LMN） は、1 人または複数の最終需要家の電気・ガス・水道・熱のメーターとゲートウェイを接続します。ここが検針値が製品に入る場所です。ここでの証拠は、ゲートウェイがどのようにメーターを認証するか、認可されていないメーターからの検針値をどう拒否するか、メーターとゲートウェイ間のリンクをどうペアリングし保護するかを網羅します。
• 宅内網（HAN） は、ゲートウェイを、屋根置き太陽光、コージェネレーション、ヒートポンプ、EV 充電などの制御可能なローカルシステム、保守中の保守技術者、自身の消費を閲覧する権利をもつ消費者に接続します。ここでの証拠は、消費者向け表示と機器の秘密との分離、ローカルシステムに到達する制御コマンドの範囲を網羅します。
• 広域網（WAN） は、ゲートウェイを外部の市場参加者、すなわちエネルギー供給者、系統運用者、計量点運用者、およびゲートウェイ管理者に接続します。これがフリートの経路です。ここでの証拠は、相互認証、証明書の管理、市場参加者に届く前のメーターデータの仮名化、どのデータがどこへ向かうかを決める処理プロファイルを網羅します。

セキュリティモジュールが信頼の起点です。BSI はこれを、暗号鍵素材の安全な保存場所であり、署名の作成と検証、鍵生成、鍵共有、乱数生成のための暗号の中核ルーチンを提供するものと定義しています。セキュリティモジュールが堅牢であれば、ゲートウェイはすべてのネットワークで自身が誰であるかを証明できます。それが脆弱であれば、下流の他のすべての管理策は砂上に乗ることになります。CRA ファイルは、セキュリティモジュールを、独自のサプライヤー証拠、独自の更新の経緯、図上の独自の境界をもつ、名前の付いたコンポーネントとして扱うべきです。

ゲートウェイ管理者（GWA） は、広域網を介してゲートウェイを遠隔から設定、管理、監視します。ファームウェアを配信し、構成と処理プロファイルを設定し、フリートを監視します。CRA の観点では、ゲートウェイ管理者はルーターの自動設定サーバーによく似た、特権的な遠隔制御経路です。ファイルには、管理者の ID、発行できるコマンドの範囲、認証先となる信頼の起点、残す監査証跡を記録しなければなりません。

その上で、いくつかの管理策が通信路に重なって配置され、それぞれがファイル内の別個の証拠となります。

国内制度は別トラック。 ドイツはすでに、計量点運用法のもと、この機器に対する詳細な国内制度を運用しており、BSI 標準のスタックの上に構築されています。

• TR-03109-1：より広い TR-03109 ファミリーの中の、通信ユニットの相互運用性要件。現在はバージョン 2.0。
• TR-03109-4：スマートメータリングの公開鍵基盤。
• BSI-CC-PP-0073：ゲートウェイ向けの Common Criteria プロテクションプロファイル。V2.0 は 2024 年 12 月に認証。
• BSI-CC-PP-0077：セキュリティモジュール向けの Common Criteria プロテクションプロファイル。

旧来の PP-0073 v1.3 と TR-03109-1 v1.1 のベースラインは 2027 年 12 月 31 日まで有効です。

CRA は TR-03109 を採用しません。その経路は、委員会の標準化要請のもとで開発される独自の整合規格を通ります。ドイツの制度に言及する意図は率直な位置づけにあります。規制当局はすでに、CRA が現にクリティカルとして掲げるまさにこの機器に対し、これだけ深いセキュリティアーキテクチャを要求しており、ゲートウェイ製造業者が越えるべき水準は理論上のものではありません。2027 年より前の水準はドイツだけではありません。無線を備えたメーターはすでに今日、すべての市場で RED のサイバーセキュリティ要件を負っており、これは下の RED、MID、GDPR、NIS2 との重複で述べるとおりです。

クリティカル製品の適合経路はどう機能するか

ゲートウェイはクリティカルであるため、重要なクラス I のルーターが使える自己宣言の経路は閉ざされています。第32条に基づく外部の経路、すなわち第三者による検査または完全な品質保証監査、あるいは 第8条に基づき適用される欧州サイバーセキュリティ認証スキームが一度成立すれば、その経路をとります。ゲートウェイ向けに義務化されたスキームはまだ存在しないため、今日の経路は第三者または品質システムの評価であり、スキームは将来の契機として注視すべきものです。各手続きの仕組みは適合性評価ガイドにあります。計量固有の注意点は計量境界です。CRA の評価は法的に重要な計量機能を承認しないため、適合の証拠と計量承認は別個の記録として保ちます。

技術ファイルにどの証拠を含めるべきか

ファイルは、レビュー担当者が製品の識別情報からセキュリティ管理策まで、ゲートウェイの判断を推測なしにたどれるようにすべきです。下の表は、上の要件表がまだ網羅していないファイル固有の記録を列挙します。識別情報、クリティカル判定、適合の成果、コンポーネント台帳です。計量ゲートウェイにとって最も重みのある 2 つの記録、すなわち鍵と証明書のライフサイクル、および計量に関連する変更とサイバーセキュリティのみの変更の切り分けは、その下で詳しく描きます。

リリースゲート：バッチ秘密、設置業者クレデンシャル、撤去済みゲートウェイの紐付けのいずれも、ローテーションや交換の後に現役の計量ゲートウェイとして認証できてはならない。古い信頼が残る窓は、製品と運用者の取り決めであり、普遍的な定数ではない。成果物：失効訓練の結果。

セキュリティモジュールは、鍵ライフサイクルを汎用的な IoT の鍵の話とは異なるものにします。機器ごとの秘密が工場で注入され、平文でモジュールから出ることはありません。設置時、設置業者はバッチ鍵を一切扱うことなくゲートウェイをそのメーターと運用者ロールに紐付けるため、漏洩した設置業者クレデンシャルがフリートになりすますことはできません。運用中、ゲートウェイは設定された信頼の起点でヘッドエンドに認証し、すべての検針値、改ざんイベント、更新を記録します。ローテーションは計画的、インシデント起因、またはロール変更によって行われ、ゲートウェイと運用者の記録の両方を更新します。撤去時には、古い紐付けが失効し、鍵が破棄または無効化されるため、返却または交換されたゲートウェイが現役の計量ゲートウェイとして動作し続けることはできません。

計量固有の第 2 の記録は、法的に重要な計量ソフトウェアとサイバーセキュリティのみの変更の切り分けです。ゲートウェイ製造業者は計量の変更よりもはるかに頻繁にセキュリティ修正を出荷するため、ファイルは、セキュリティ更新が承認済みの計量機能を密かに変更していないことを示さなければなりません。下のマトリクスがその判定補助です。サイバーセキュリティの判断をどこに記録するか、隣接する計量承認や運用者と調整した変更窓がどこで必要かを示します。

計量とサイバーセキュリティの更新の切り分け。 セキュリティ修正は、CRA が計量承認を置き換えるかのように装うことなく、法的に重要なソフトウェアと突き合わせて評価しなければなりません。

判定ゲート：この切り分けは、計量承認や電力事業者の承認を回避する近道ではありません。サイバーセキュリティの判断をどこに記録するか、隣接する承認や運用者の保留がどこで必要かを示すものです。これが答える問い：この修正はサイバーセキュリティ更新として出荷できるのか、それとも法的に重要な計量ソフトウェアに触れるのか。成果物：リリースごとの計量影響の判断記録。

実際の計量リスク評価はどのようなものか

クリティカル区分のファイルに必要な深さの例として、これを参照してください。製造業者は依然として、実際のゲートウェイ、セキュリティモジュール、メータープロトコルスタック、通信モジュール、サプライヤーコンポーネント、更新の保有関係、販売上の表示、サポート期間の約束に対して、評価を実施する必要があります。

資産台帳

例の製品：ExampleCo GridMeter G2。電気メーター、携帯通信モジュール、ハードウェアセキュリティモジュール、電力事業者のヘッドエンドコネクタ、消費者向けディスプレイインターフェース、署名済みファームウェア更新、設置作業ツールと組み合わされたスマートメーターゲートウェイです。

製品境界には、ゲートウェイのハードウェア、セキュリティモジュール、メーターインターフェース、通信モジュール、鍵ストア、ヘッドエンドコネクタ、消費者向けディスプレイインターフェース、ファームウェア更新サービス、設置作業ツール、協調的開示の受付、助言プロセスが含まれます。除外されるのは、電力事業者の課金システム、法定計量の承認、系統運用システム、顧客のエネルギー契約で、同じ運用者がそれらを製品の一部として供給する場合を除きます。

ゲートウェイの最もプライバシーに敏感な出力は区間検針値です。細かい粒度の消費データは在宅状況、家電の使用、行動を明らかにしうるため、ファイルには明確な最小化のチョークポイントと、調査時にサポートが何を見られるかについての明確な答えが必要です。下のフローは、それをアーキテクチャの節で述べた仮名化と処理プロファイルの管理策に結びつけます。

信頼境界

脅威シナリオ

初期リスク台帳

管理策と証拠の対応づけ

管理策適用後の残余リスク

スマートメーターゲートウェイの SBOM には何を入れるか

SBOM の一般的な仕組み、形式の選択、署名は、SBOM ガイド、HBOM ガイド、BSI TR-03183 ガイドにあります。ゲートウェイに固有なのはツリーの形です。これはハードウェア製品であり、更新サイクルの異なる多数のデジタル要素を出荷します。トップレベルのコンポーネントは 10 個を下回ることはまれで、しばしば 20 個近くに及び、それぞれが独自のサプライヤー、更新頻度、助言フィードをもちます。要素ごとに区分した製品レベルの単一の台帳として、または出荷要素ごとに 1 つの台帳として列挙します。機械可読を保ち、トップレベルの依存関係を網羅していれば、どちらでも構いません。

義務を率直に保ちます。CRA は、少なくともトップレベルの依存関係を網羅する機械可読の台帳を、サポート期間を通じて更新し、モデムファームウェアやプロトコルライブラリの既知の脆弱性が見逃されずトリアージされるよう、サプライヤー助言の監視を伴って求めます。CRA はまだ、1 つの固定された形式やトップレベルを超える深さを義務づけてはいません。より厳格な規則を作り出すのではなく、この文言を反映させてください。

台帳は受動的な一覧ではありません。第13条は、サードパーティのコンポーネント（オープンソースを含む）を統合する際に、それがゲートウェイのサイバーセキュリティを弱めないよう相当注意を払うことを求めます。脆弱性についてはさらに踏み込みます。統合したコンポーネントに脆弱性を見つけた場合、それを製造または保守する事業者に報告し、附属書 I の脆弱性対応規則のもとで自社製品で修正し、ソフトウェアまたはハードウェアの修正を作成した場合は、関連するコードまたは文書をその保守者に共有します。携帯モジュールとセキュリティモジュールは、単なる項目ではありません。それぞれが独自にデジタル要素を含む製品であり、独自の CRA 義務を負うため、モデムベースバンドの助言とセキュリティモジュールの正誤表は、他者の問題ではなく、自社の監視と上流への報告の一部です。

サポート、更新、報告はどう運用すべきか

メーターのフリートは、ほとんどの民生機器より長く稼働します。ゲートウェイは 10 年以上壁の中にとどまるため、サポートモデルは後付けではなくファイルの一部です。サポートの証拠は、計量ファームウェア、ゲートウェイファームウェア、セキュリティモジュール、通信モジュール、ヘッドエンドコネクタ、設置作業ツールを網羅すべきです。長期稼働するフリートには、認証局の継続性、署名鍵の失効、予備ゲートウェイのベースライン、法的に重要な計量ソフトウェアとサイバーセキュリティのみの更新の分離についての証拠も必要です。

セキュリティ更新は、現場展開、計量影響、利用者通知が追跡できるよう、電力事業者とゲートウェイ管理者と調整しなければなりません。ゲートウェイ製造業者は、スマートフォンアプリのようにフリート更新を配信することはできません。運用者が変更窓を保有するため、ファイルはその調整を前提とするのではなく示すべきです。第14条に基づく報告義務は 2026 年 9 月 11 日に始まるため、開示方針と単一の連絡先はそれより前に機能している必要があります。一方、CRA の他の義務は 2027 年 12 月 11 日から適用され、この日までに適合経路と技術ファイルを完成させなければなりません。

ある経過規定が、メーターのフリートには他のほとんどの製品より重要です。適用日より前に市場に投入された製品が CRA 全体の対象になるのは、その後に実質的に改変された場合のみであり、数年前に設置されたメーターが遡って適合経路を必要とすることはありません。1 つの義務がこの規則を破ります。積極的に悪用されている脆弱性と重大なインシデントの報告は、すでに市場にある対象製品、すなわち展開済みフリートを含むすべてに及びます（第69条）。したがって、数年前に設置したメーターの製造業者は、その展開済みフリートについて依然この報告を負い、電力事業者がそれを負うのは、再ブランド化や実質的な改変の後など、自身が製造責任者である場合に限られます。報告義務はファイルの他の部分より先に到来するため、この切り分けに照らして展開済みフリートを早期に整理してください。

輸入業者・販売業者・電力事業者は何を確認すべきか

ゲートウェイは、消費者製品より多くの経済事業者に役割が分かれることがよくあります。メーター製造業者、ゲートウェイ製造業者、フリートを再ブランド化または運用しうる電力事業者、ゲートウェイ管理者、設置業者です。下の引き継ぎマップは、誰が各販売前チェックを保有し、各役割で何がゲートウェイを止めるかを示します。

受け入れゲート：受領したビルドが評価済みビルドと一致するまで、ゲートウェイは役割を通過すべきでない。再ブランド化されたファームウェア、新しい運用者クラウド、変更された管理者プロファイルは、役割分析を再び開く。成果物：受け入れビルドの受領記録。

一般的な輸入業者と販売業者の義務は、他の製品と同様に適用されます。計量固有のチェックはビルドと鍵に関するものです。輸入業者と販売業者は、受領したビルドが評価済みビルドであり、再ブランド化されたフォークではないことを確認すべきです。電力事業者と設置業者は、バッチを受け入れる前に、鍵のプロビジョニング、ファームウェアのベースライン、失効と交換のワークフロー、ゲートウェイ管理者のプロファイルを確認すべきです。ゲートウェイを自社の名前で投入する、管理クラウドを運用する、またはファームウェアを実質的に改変する電力事業者は、そのブランド化されたフリートについて、脆弱性報告連絡先を含む製造業者の義務を負います。

EU 域外のメーターまたはモジュールの製造業者は、第18条に基づき EU の認定代理人を選任できます。条文は「できる」とするため、これは義務ではなく選択肢であり、認定代理人を必須として記録すべきではありません。任意でないのはルーティングです。自社ブランドまたは実質的に改変された製品は、それを投入または変更した者を製造業者に変えます。ファイルには、製造業者が EU 域外にいる場合、誰が脆弱性報告を受け取り、誰が文書を入手可能に保つかを記載しなければなりません。このルーティングは、国境ではなく境界の作業で決めてください。

RED、MID、GDPR、NIS2 とどう位置づけられるか

CRA は何もない机の上に降りてくるわけではありません。スマートメーターはすでに他の CE 義務を負い、フリートを運用する電力事業者も独自の義務を負います。4 つの重複が、ファイルのどれだけが本当に新しいかを決めます。

単一の EU 適合宣言書には、適用されるすべての法令、すなわち RED、MID、RoHS、CRA などを列挙します。製造業者が見落としがちな点が 2 つあります。

RED のサイバーセキュリティはすでに今日、無線メーターを拘束します。 無線メーターは今、規格 EN 18031-1、-2、-3 を満たさなければなりません。CRA に先行します。委任規則 (EU) 2026/339 が CRA 適用日である 2027 年 12 月 11 日に RED のサイバーセキュリティ規則を廃止するまで、両方を満たし続けてください。

EMC と低電圧指令は二重に掲載されません。 無線メーターでは、RED がすでに EMC と安全の目的を担います。これら 2 つの指令が単独で適用されるのは、無線をもたないバリエーションのみです。