24時間脆弱性報告対応の提供業者：市場概観＆価格（2026年）

• 2026年9月11日以降、デジタル製品メーカーに24時間以内の報告義務（CRA第14条）
• REP27、kadano、Euverifyが対応代理を提供
• 価格：REP27は年間EUR 490～、kadanoはEUR 999、EuverifyはGBP 590／年
• サービス内容は契約内容や報告チャネルにより異なり、技術的検査やSBOM作成は含まれない
• 輸入業者、流通業者、純粋なマーケットプレイス販売者は対象外

更新済み 26 October 2026 · 4 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、26 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要求事項とは？（CRA第14条、第18条）

EUのサイバー・レジリエンス法（CRA）は、2026年9月11日以降、デジタル要素を含む製品の製造者に対し、重大なセキュリティインシデントや悪用されている脆弱性を認知後24時間以内に報告する義務を課します（第14条）。報告はENISAの中央ポータルを通じて加盟国のCSIRTへ行います。期限は厳格で、24時間以内に初期警告、72時間以内に完全な報告、14日以内に最終報告が必要です。時間はリアルタイムでカウントされ、夜間や休日も含みます。

EU外の製造者はCRA第18条に基づき、EU内に代理人を指定しなければなりません。この代理人が報告窓口となり、当局との連絡役を担います。代理人がいなければ法的に適正な報告はできません。輸入業者、流通業者、AmazonやEtsy、eBayなどのマーケットプレイス販売者で自社名義で製品を流通させない場合は義務対象外です。非営利のオープンソースプロジェクトは軽減された報告体制ですが、報告義務は残ります。

• CRA第14条：24時間以内の初期警告、72時間以内の完全報告、14日以内の最終報告
• CRA第18条：EUに拠点がない製造者のための代理人指定義務

報告義務の対象となる脆弱性の定義が重要です。実際に悪用されている脆弱性や製品の安全性に重大な影響を及ぼすインシデントのみが対象であり、未発見や未悪用の脆弱性は対象外です。期限遵守は製造者の責任であり、遅延や誤報は厳しい制裁の対象となります。

サービス内容比較：何が含まれ、何が含まれないか？

提供業者はサービスの透明性や範囲に大きな差があります。REP27は唯一すべての価格を公開し、代理権に含まれる内容と除外事項を明確に示しています。代理権にはCRA第18条に基づく法的代理、欧州内の24時間対応デスク、報告の受付・当局への転送、公的な代理権検証が含まれます。技術的検査、SBOM作成、適合性評価、テストは含まれず、製造者側で対応または別途委託が必要です。

kadanoとEuverifyは価格は公開していますが、サービス内容の詳細や追加費用の有無は「お問い合わせ」となっており、契約前に具体的な内容と料金を文書で確認することが推奨されます。

重要：技術的な分析、SBOM（ソフトウェア部品表）の作成、安全性検査は基本的に代理権の価格に含まれません。これらが必要な場合は専門業者に別途依頼する必要があります。

判断マトリックス：誰が何を必要とするか？

CRA代理人と24時間報告が必要かどうかは、サプライチェーン内の役割、所在地、販売構造によります。以下のマトリックスで簡単に分類できます：

実例：米国のSaaS提供者はEU顧客向けに販売するため代理人と24時間報告が必要。中国のIoT製造者も自社ブランドでEU販売する場合は義務あり。英国のオンラインショップは単なる販売者で自社ブランドなしなら代理人も報告も不要です。

購入者向けチェックリスト：進め方

1. 役割を確認：デジタル要素を含む製品の製造者でEU内で販売していますか？
2. 所在地を確認：企業の拠点はEU外ですか？
3. 提供業者を比較：価格公開と明確な代理権内容がある業者を選び、追加費用の有無を確認。
4. サービス内容を文書で確認：契約前に含まれる内容・除外事項を必ず書面で確認。
5. 社内体制を整備：24時間報告の責任者を決め、手順書と報告テンプレートを作成。
6. 代理人情報を登録：代理人と連絡先をコンプライアンス資料に記録し、社内に周知。
7. 報告プロセスをテスト：期限前に24時間報告のシミュレーションを実施し、問題点を洗い出す。
8. 定期的に見直し：販売構造や製品ラインの変更が報告義務に影響しないか毎年確認。

このチェックリストにより、典型的なミスを防ぎ、期限内に適切な対応が可能になります。

業者があまり言わないこと（除外事項、期限、料金）

多くの業者は代理権に含まれるサービスの詳細や除外事項を明確にしません。REP27は技術的検査、適合性評価、SBOM作成、テストは含まれないと明示しています。テンプレート作成支援や技術分析、顧客対応も除外されています。

• REP27の価格は定額で隠れた料金なし。更新価格も事前に固定され、予告なく変更されません。
• kadanoやEuverifyは追加費用、解約期限、責任範囲について情報がなく、事前に確認が必要です。
• 報告期限の遵守と報告内容の品質は製造者の責任であり、代理人は報告の受付・転送のみを行い技術評価は行いません。
• REP27の代理権付与は24時間以内。その他業者は「お問い合わせ」となっています。

誤解されやすい点：代理権はCRAコンプライアンス全体をカバーしません。適合性評価や技術文書、SBOM作成などコストと手間のかかる部分は別途手配が必要です。準備不足は遅延や罰金のリスクを招きます。

実務シナリオ：誰が何をすべきか？

• 米国のSaaS提供者：米国拠点で欧州企業向けクラウドソフトを提供。デジタル製品の製造者としてCRA代理人を指定し、24時間報告体制を構築。社内で報告責任者を決定しテンプレートを準備。
• 中国のAmazon販売者：中国企業が自社ブランドのIoT機器をEU顧客に直接販売。EU拠点がないためCRA第18条に基づく代理人が必要。報告は代理人経由で行う。単なる販売者であれば義務なし。
• 英国のオンラインショップ：英国のショップが第三者製品を販売し自社ブランドは使用しない。製造者ではないため24時間報告も代理人指定も不要。責任は製造者にある。

これらの例は自社の役割を正確に把握する重要性を示しています。誤った判断は不要なコストやコンプライアンス違反を招きます。