EU市場向けにIoT機器や産業用センサー、組込みソフトウェアを輸出し、CEマーキング（EU域内で製品を流通させる際に必要な適合性表示）の実務を担う製品セキュリティ担当・法務が対象の話である。CRA（EUのサイバーレジリエンス法。デジタル要素を含む製品にサイバーセキュリティ要件を課す規則）第14条に基づく脆弱性・重大インシデントの報告義務が、2026年9月11日から適用されている[1]。規則自体が発効したのは2024年12月10日、全面適用は2027年12月11日である。先行して適用が始まるのは、適合性評価機関の届出を定めた第4章（2026年6月11日）と、報告義務の第14条（同年9月11日）で、報告義務は全面適用の1年3か月前から動いている[2]。悪用が確認された脆弱性は、認知から24時間以内に欧州の受付窓口へ第一報を出す必要がある[1]。SBOM（ソフトウェア部品表。製品に含まれるソフトウェア部品の一覧）の義務化は全面適用と同じ2027年12月だが、報告義務は先に走っている。以下、報告期限の中身、対象範囲、窓口の登録手順、制裁金の上限を順に見ていく。
予備知識
- CRA：EUのサイバーレジリエンス法。デジタル要素を含む製品にセキュリティ要件を課す規則
- SBOM：ソフトウェア部品表。製品に含まれるソフトウェア部品を一覧化した文書
- ENISA：EUのサイバーセキュリティ機関。報告の受付窓口である単一報告プラットフォーム（SRP）を運営する
- 調整役CSIRT：加盟国ごとに指定されたコンピュータセキュリティインシデント対応チーム。製造業者からの通知を最初に受け取る
SBOM整備の考え方と攻撃ベクトルの関係を体系的に把握したい担当者に向く
報告義務は3段階、期限は認知からの時間で決まる
CRA第14条は、悪用が確認された脆弱性と重大インシデントを認知した製造業者に、3段階の通知を課す[3]。早期警告は不当な遅滞なく、かついかなる場合も認知から24時間以内、詳細通知は同じく72時間以内である[3]。最終報告は起点が違い、脆弱性なら是正措置または緩和措置が利用可能になってから14日以内、重大インシデントなら72時間通知の提出から1か月以内になる[3]。
| 報告段階 | 期限 | 内容 |
|---|---|---|
| 早期警告 | 認知から24時間以内 | 悪用中の脆弱性であること、把握している範囲で製品が提供されている加盟国（重大インシデントでは不法・悪意ある行為による疑いの有無も） |
| 詳細通知 | 認知から72時間以内 | 製品の概要、悪用と脆弱性の性質、講じた是正・緩和措置、利用者側で取れる措置 |
| 最終報告 | 是正措置が利用可能になってから14日以内（脆弱性）／詳細通知の提出から1か月以内（重大インシデント） | 脆弱性の深刻度と影響、悪用した攻撃者の情報、提供したセキュリティ更新の詳細 |
24時間は原因を特定する期限ではなく、初動を外部へ知らせる期限である。早期警告の記載事項は、悪用中の脆弱性であることと、把握している範囲での提供先の加盟国だけで[3]、原因究明が終わっていなくても提出できる。
報告の対象になる脆弱性がどういう仕組みで生まれるのかを、手を動かして確かめたい担当者に向く
対象はEU市場に出ている製品、既販売品も外れない
対象になるのは、EU市場で提供されているデジタル要素を含む製品である。第69条2項は、2027年12月11日より前に上市された製品がCRAの要件の対象になるのは同日以降に実質的な改変が加えられた場合に限ると定めている[3]。ただし第69条3項がこれを外し、第14条の義務だけは同日より前に上市された製品すべてに適用されると定めている[3]。猶予があるのは附属書Iの必須要件のほうで、報告義務にはない。
通知は、第16条に基づきENISAが設けた単一報告プラットフォーム（SRP）から提出する。2026年9月11日に稼働した[1]。提出先は、製造業者がEU域内で主たる拠点を置く加盟国の調整役CSIRTの電子通知エンドポイントで、同じ内容にENISAが同時にアクセスできる[3]。最初に受け取ったCSIRTが、製品が提供されている他の加盟国のCSIRTへ遅滞なく共有する[1]。
SRPでは1件の通知が早期警告・72時間通知・最終報告の3つの状態を持ち、どこまで提出したかが一覧で分かる[4]。最終報告を出すと通知は編集できなくなる[4]。
2026年9月9日、CiscoはSecure Firewall Management Center（FMC）の認証バイパス脆弱性CVE-2026-20079のアドバイザリを更新し、2026年8月に実際の悪用を把握したと明記した[1]。CV[…]
SBOMの義務化は2027年12月、報告義務には間に合わない
SBOMを求めているのは第14条ではなく附属書I第II部で、一般に使われる機械可読な形式で、少なくとも製品のトップレベルの依存関係を対象とするソフトウェア部品表の作成を義務付けている[3]。この附属書Iが適用されるのは2027年12月11日である[2]。
つまり法定期限どおりに整えると、2026年9月11日から2027年12月11日までの1年3か月は、SBOMなしで24時間の第一報と72時間の詳細通知を出すことになる。72時間通知には影響を受ける製品と脆弱性の性質を書く必要があり[3]、どの製品にどの部品が入っているかを短時間で引けないと、この段階で止まる。SBOMの整備時期は法定期限ではなく、報告義務の側から逆算することになる。
数千人規模の従業員を抱え、SharePoint Server（Microsoft 365ではなくオンプレミス環境で運用する社内ポータル基盤）を人事・稟議・ナレッジ共有の窓口として使い、年1回の内部監査を受ける企業のIT基盤担当者に、いま最[…]
制裁金の上限は定額と売上高比率の高いほう
制裁金の上限は違反の類型ごとに定額と売上高比率の2本立てで定められ、高いほうが適用される[3]。附属書Iの必須要件、製造業者の義務を定める第13条、報告義務を定める第14条への違反は、1500万ユーロまたは全世界年間総売上高の2.5%のいずれか高いほうが上限になる（第64条2項）[3]。
認定代理人・輸入業者・流通業者の義務など第18条から第23条ほかの違反は1000万ユーロまたは2%（第64条3項）、届出機関や市場監視当局への不正確・不完全・誤解を招く情報提供は500万ユーロまたは1%（第64条4項）である[3]。零細企業と小規模企業には例外があり、第14条2項(a)・4項(a)の24時間期限を守れなかったことについては制裁金を科されないと欧州委員会は説明している（第64条10項(a)）[2][3]。
比率が効いてくる規模は計算できる。1500万ユーロを2.5%で割ると6億ユーロなので、全世界年間総売上高がこれを超える企業では定額側が上限にならない。売上規模が大きいほど、報告の遅れが金額として跳ね返る構造になっている。
EU域内に拠点がない製造業者の窓口
第14条7項は、EU域内に主たる拠点を持たない製造業者について、どの加盟国の調整役CSIRTへ出すかを順番で決めている[3]。(a)その製造業者の製品を最も多く扱う認定代理人（製造業者から書面による委任を受けてEU域内に設立された者）の加盟国、(b)同じく輸入業者の加盟国、(c)同じく流通業者の加盟国、(d)利用者が最も多い加盟国、の順である[3]。(d)で決めた場合、その後の脆弱性やインシデントも最初に報告したCSIRTへ出し続けてよい[3]。
窓口側の手順はENISAが公開している。SRPへの登録と通知には、多要素認証を設定したEU Loginアカウントが要る[5]。製造業者に代わって通知を提出する個人をSRPでは Assigned Representative と呼ぶ[5]。CRA本体にこの呼称の定義はなく、規則が定めるのはEU域内に設立され製造業者から書面による委任を受けた authorised representative（認定代理人、第3条(15)）である[3]。最初に登録した担当者が他の担当者をメールで招待して複数人を登録できるが、招待機能を使えるのは調整役CSIRTの確認が済んで「Verified」になった担当者だけである[5]。氏名とメールアドレスはEU Loginから引き継がれ、SRP側では編集できない[5]。
登録した担当者を調整役CSIRTが確認する手順は登録後に走り、確認が済んでいなくても通知は提出できる[5]。裏を返せば、事象を認知してからEU Loginアカウントの取得と多要素認証の設定に取りかかると、24時間のうち相当部分が登録作業に消える。事前に終えられるのは、EU Loginアカウントの用意と、第14条7項に照らした調整役CSIRTの特定の2つである。SRPへの登録自体はENISAが事前登録を勧めておらず、具体的な通知が必要になった時点で登録と検証の手続きを始めるよう案内している[5]。誰がどの手順で登録するかを決めておくところまでが事前の準備になる。
よくある質問（FAQ）
CRAの報告義務はもう始まっていますか。
第14条は2026年9月11日から適用されている。規則自体が発効したのは2024年12月10日で、全面適用は2027年12月11日である[2]。
SBOMがなくても24時間報告はできますか。
早期警告で書くのは悪用中の脆弱性であることと、把握している範囲で製品が提供されている加盟国なので、部品の一覧そのものは求められない[3]。ただし72時間通知では影響を受ける製品と脆弱性の性質を書く必要がある[3]。
報告先はどこですか。
ENISAの単一報告プラットフォーム（SRP）から出すと、調整役CSIRTとENISAの双方に届く[1][3]。EU域内に主たる拠点がない製造業者は、第14条7項の順序で調整役CSIRTが決まる[3]。
まとめ
CRA第14条の報告義務は2026年9月11日から適用されている。悪用中の脆弱性は認知から24時間以内の早期警告、72時間以内の詳細通知、是正措置が利用可能になってから14日以内の最終報告という3段階で処理する[3]。第69条3項により、2027年12月11日より前に上市した製品も対象に入る[3]。
事前に片づけられるのは窓口側である。多要素認証つきのEU Loginアカウントと、第14条7項に沿った調整役CSIRTの特定は、事象が起きる前に終えられる[5]。SRPへの登録は、ENISAが通知の必要が生じた時点で始めるよう案内しているため、手順と担当者を決めておくにとどめる[5]。SBOMの法定期限は2027年12月11日だが、72時間で影響範囲を答えるにはそれより前に要る[2][3]。
制裁金の上限は1500万ユーロまたは全世界年間総売上高の2.5%の高いほうで、報告義務違反は3段階のうち最も重い区分に入る[3]。期限は既に動いており、体制を後回しにするほど、次に悪用中の脆弱性が見つかったときの初動が遅れる。
出典
[1] Cyber Resilience Act – Reporting obligations（欧州委員会）[2] The Cyber Resilience Act – Summary of the legislative text（欧州委員会）
[3] Regulation (EU) 2024/2847（サイバーレジリエンス法 本文、EUR-Lex）
[4] CRA SRP Guidance – AR Notification submission and update（ENISA）
[5] CRA SRP Guidance – AR User Registration（ENISA）
