EUのサイバーレジリエンス法に基づく報告義務が9月11日から適用開始

EUのサイバーレジリエンス法（CRA）に基づく「実際に悪用された脆弱（ぜいじゃく）性」と「重大インシデント」の報告義務が、2026年9月11日から適用開始された（プレスリリース）。CRAの主要な義務は2027年12月11日に適用開始となるが（2024年12月13日記事参照)、報告義務は先行して適用が開始され、適用開始日以前に市場投入された製品も対象となる。また、欧州委員会は9月4日、CRAの実施に関する「よくある質問（FAQ）」を更新した（プレスリリース）。

CRAの対象となる「デジタル要素を有する製品」は、「ハードウエア製品、ソフトウエア製品、およびそれらに関連する遠隔データ処理ソリューション」と定義され、スマートウォッチ、スマートフォン、ベビーモニターやコンピュータ向けのアプリやプログラムなど、幅広い製品が含まれる。「デジタル要素を有する製品」をEU市場に提供する製造事業者は、2026年9月11日以降、自社の製品に関して（1）実際に攻撃者に悪用された脆弱性（actively exploited vulnerability）や、（2）製品のセキュリティーに重大な影響を及ぼすインシデントを認識した場合、24時間以内に早期警告、72時間以内に詳細な通知の提出が求められる。最終報告書は、（1）については是正措置が利用可能になってから14日以内、（2）については72時間以内の通知から1カ月以内に提出する必要がある。

製造事業者は、欧州サイバーセキュリティー庁（ENISA）が運営する単一報告プラットフォーム（SRP）を通じて報告を行う。報告は、各加盟国の情報セキュリティー・インシデント対応チーム（CSIRT）とENISAに通知される。ただし、最終報告書の提出後も、製造事業者は引き続き脆弱性を管理できる体制を維持することが重要となる。

また、製造事業者には、影響を受ける利用者への通知義務も課される。通知する内容は、製造事業者が講じた、ならびに利用者自身が講じることができる是正措置または緩和措置である。ただし、欧州委が7月27日に公表したガイダンスによれば、当該情報を一般公開または無差別に開示する義務はない。特に、技術的詳細の公表によりサイバーセキュリティーリスクが高まったり、さらなる悪用を助長したりするおそれがある場合には、製造事業者は詳細情報の開示を関係する利用者に限定することができる。

報告義務違反に対しては、最大で1,500万ユーロまたは前会計年度の全世界売上高の2.5％のいずれか高い額の制裁金が科される可能性がある。今回の報告義務の適用開始により、製品の販売時だけでなく、販売後の運用・保守まで含めて、サイバーセキュリティーを確保することが求められる。

（坂本裕司）