サイバーレジリエンス法（CRA）が始動：よくある誤解を解消し、Single Reporting Platformの第一印象をレポート

【なぜ重要か】 EUのサイバーレジリエンス法（CRA）は、EU市場に製品を出荷するすべての企業（EU域外の日本企業も含む）に適用される。2025年9月11日に脆弱性・インシデントの報告義務が先行施行されており、2027年12月11日までにはすべての要件への完全準拠が求められる。誤解に基づく対応では法的リスクや製品の販売停止につながりかねないため、正確な理解が不可欠だ。

【ポイント】

• 報告対象は「すべての脆弱性」ではない： 報告義務が生じるのは、悪意ある第三者によって自社製品内で積極的に悪用されている脆弱性、または製品のセキュリティに重大な影響を与えるインシデントのみ。悪用の証拠や兆候がない脆弱性は報告不要。
• 報告タイムラインの正しい理解： 認知から24時間以内に早期警告、72時間以内に詳細通知、修正リリースから14日以内に最終報告（積極的悪用の脆弱性の場合）。「発見から14日以内に最終報告」という誤解が多いが、起点は修正のリリース後であり、それまでの期間は含まれない。
• 報告先はSRPのみではない： Single Reporting Platform（SRP）への報告に加え、インシデントの影響を受けるユーザーに対しても、被害を軽減するための是正措置を別途通知する義務がある。
• SRPへの事前登録は不要： ENISAは現時点での事前登録を推奨していない。未検証ユーザーでも最大20件の報告を提出可能であり、承認待ちの状態でも通知の送信は受け付けられる。
• 今後注目すべき標準規格： 製品の技術要件を定める調和規格（EN 40000-1-1およびEN 40000-1-3）のドラフトに早期から目を通しておくことが重要。準拠できていない設計のまま進むと、後から高コストな再設計が必要になるリスクがある。

【まとめ】 CRAの報告義務は「発見したすべての脆弱性」ではなく「実際に悪用されたもの」に限定されており、タイムラインも修正リリース基点など想定より柔軟な部分がある。EU市場に製品を提供している、または提供予定の企業は、誤解を解消した上で今から優先度の高い脆弱性（特に実際に悪用されているもの）の管理体制を整え、2027年12月の完全施行に向けて調和規格のドラフトを注視することが次のアクションとなる。