Cyber Resilience ActにおけるEU外製造者の義務

• EU外製造者に対するEU認定代理人の指名義務（CRA第18条）
• 脆弱性の24時間以内報告義務（CRA第14条）を代理人経由で実施
• REP27：CRA代理人委任料490ユーロ/年（2026年10月公開価格）
• サービス内容や制限は提供者ごとに異なるため事前確認必須
• 適用外：適合性評価、テスト、SBOM、技術報告は含まれない
• 自社名義で販売しない輸入業者・販売業者は義務なし

更新済み 21 October 2026 · 4 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、21 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件：CRAの主要条文

Cyber Resilience Act（CRA、EU規則2024/2847）は、EUで販売されるデジタル要素を含む製品の製造者に厳格な義務を課します。EUに拠点がない製造者は、第18条に基づきEU内の認定代理人を指名しなければなりません。この代理人は市場監視当局との唯一の公式連絡窓口として機能し、正式な要請の受領と転送を担当します。

もう一つの重要な義務は脆弱性の報告で、第14条は製品の安全性に影響する深刻な脆弱性やインシデントを24時間以内に通知することを求めています。報告はENISAのプラットフォームとCSIRTコーディネーターを通じて行われ、代理人の所在地により決定されます。特に時差や欧州内スタッフ不在の企業にとって、代理人は迅速かつ正確な対応を保証する上で不可欠です。

注意すべきは、この義務は製造者に限定されていることです。輸入業者や販売業者は自社名義で販売しない限り代理人を指名する必要はありません。Amazon、Etsy、eBayなどのマーケットプレイス経由の販売者も、CRAの製造者定義に基づき義務の有無を判断する必要があります。CRA施行前に市場に出ていた製品も報告義務の対象です。

• CRA第18条：EU外製造者のためのEU代理人指名義務
• CRA第14条：24時間以内の脆弱性報告義務
• 除外対象：自社名義で販売しない輸入業者・販売業者

CRA代理人の選び方：基準、比較、重要質問

CRA代理人の選択はコンプライアンス、インシデント対応の迅速性、コスト透明性に大きく影響します。主な検討ポイントは以下の通りです。

• 公開価格と更新の明確さ：REP27など一部の提供者は価格と更新条件を明示。その他は問い合わせが必要。
• サービス内容：委任範囲（要請受領・転送、検証可能な証明書、報告支援、24/7対応デスクの有無）を必ず確認。
• 明示的な除外事項：適合性評価、セキュリティテスト、SBOM生成、技術報告は代理人サービスに含まれず製造者責任。
• 委任証明の確認：QRコード付き証明書や公開検証ページの提供が望ましい。
• 確認すべき質問：委任書の署名者、当局要請時の対応手順、対応言語、更新費用や追加料金の有無。

以下にサービス内容の比較表を示します。

サービス内容や価格の透明性が信頼性の指標です。不明瞭な提供者は注意しましょう。

価格に含まれる内容：透明性、制限、実務比較

CRA代理人の委任は法的代理と欧州当局との連絡管理に限定されます。REP27の公開価格（490ユーロ/年、更新440ユーロ）には以下が含まれます。

• CRA第18条に基づく電子署名付き委任書
• QRコード付き検証可能な証明書と公開ページ
• 市場監視当局からの全要請の受領と転送
• CRAの期限に沿った脆弱性報告の管理

含まれないもの：

• 製品の適合性評価（認定機関の役割、代理人の責任外）
• セキュリティテストやSBOM生成
• 技術報告の作成・送付
• 運用支援や技術コンサルティング

多くの提供者はサービス詳細を公開していません。kadano（999ユーロ/年）やEuverify（590ポンド/年）は含まれる内容を明示していないため、契約前に詳細確認が必須です。

自動更新や請求方針にも注意。REP27は年1回の請求と更新価格の事前公表を保証しています。

隠れたコストとリスク：CRAコンプライアンスの真の評価

代理人委任料はCRAコンプライアンス費用の一部に過ぎません。主な隠れコストは以下です。

• 適合性評価：重要または重大クラス製品は認定機関の関与が必須で、代理人費用を大幅に超えることも。
• 技術支援と更新：製造者は最低5年間のセキュリティ更新を保証する必要があります。
• インシデント管理と報告：迅速な脆弱性報告の怠慢は罰則、販売停止、評判失墜を招きます。
• 更新費用と追加料金：時間外対応、追加言語、複雑インシデント対応で追加費用が発生する場合があります。REP27は追加料金なしと明言していますが、他は不明確です。

最も重大なリスクは24時間365日の連絡体制がないこと。代理人は夜間・祝日も対応可能でなければなりません。

まとめると、CRAコンプライアンスは計画的な社内リソース配分と代理人選定が不可欠で、単に価格だけで選ぶべきではありません。

指名の流れ：運用ステップとベストプラクティス

CRA代理人の指名は明確な手順に従い、コンプライアンスと迅速な対応を保証します。

1. 必要性の確認：EU外製造者でEU内にデジタル製品を販売しているか確認。
2. プロバイダー選定：公開価格、サービス内容、委任証明の確認、24/7対応の有無を検討。
3. サービス申請：選択したプロバイダーのサイトで申請フォームを記入。
4. 委任書署名：CRA第18条に基づく委任書を受領し、電子署名（例：eIDAS）で署名。
5. 証明書受領：QRコード付き検証可能な証明書を取得し、技術文書に組み込む。
6. 社内手続き更新：代理人情報をセキュリティポリシー、インシデント対応マニュアル、技術文書に反映。
7. 報告準備：脆弱性報告テンプレート（早期警告、72時間通知、最終報告）を事前作成し、ENISAプラットフォームアクセス権を持つ提出者を最低2名指名。
8. 連絡体制確認：代理人が24時間365日対応可能か確認し、期限内報告を確実に。

ベストプラクティスとして、契約前に代理人に報告シミュレーションを依頼し、対応速度や手順の明確さを評価しましょう。

CRAコンプライアンスチェックリスト（EU外製造者向け）

1. EU内でデジタル製品を販売しているか確認
2. CRAに基づく製品分類（デフォルト、重要I/II、重大）を判定
3. CRA第18条に基づくEU代理人を指名
4. 24時間対応の脆弱性報告チャネルと手順を準備
5. 技術文書と社内ポリシーに代理人指名を記録
6. ENISAプラットフォームアクセス権を持つ提出者を最低2名指名
7. 報告テンプレート（早期警告、通知、最終報告）を事前作成
8. 最低5年間のセキュリティ更新リソースを確保
9. 代理人が対象EU全域をカバーしているか確認
10. 報告シミュレーションを実施し運用準備を検証

提供者があまり語らないこと：除外事項、制限、実務リスク

• 委任は法的代理のみ：適合性評価、セキュリティテスト、SBOM、技術支援は基本サービスに含まれません。
• 主なコストは社内負担：CRAコンプライアンスにはエンジニアリングやサポート、更新のリソースが必要です。
• 自動更新と非公開価格：一部提供者は更新価格を非公開または不透明にしています。REP27は明示的に公開。
• 24/7デスクは必ずしも保証されない：時間外対応の体制を必ず確認してください。
• 責任範囲の限定：代理人は製品の技術的責任を負わず、連絡伝達のみを担当します。
• 追加料金の可能性：複雑な要請、追加言語、時間外対応で追加費用が発生する場合があります。契約前に必ず確認を。

意思決定マトリックス：誰がCRA代理人を指名すべきか

このマトリックスは役割とビジネスモデルに基づく指名義務の迅速な判断に役立ちます。

実務シナリオ：3つの実例と最も簡単な解決策

• 米国SaaS企業：EU顧客向けソフトウェアプラットフォームを提供。CRA代理人を指名し、脆弱性報告チャネルを準備、証明書を技術文書に組み込む必要あり。解決策：REP27の490ユーロ/年プラン、24/7対応デスク、検証可能証明書。
• 中国Amazon販売者：製品の製造者なら代理人指名と報告準備が必要。単なる再販業者・輸入者は不要。解決策：CRAの製造者定義を確認し、必要に応じて代理人を指名。
• 英国ショップ：自社製造・EU販売のデジタル機器は代理人指名と報告手順準備が必要。第三者製品の単なる輸入販売は不要。解決策：サプライチェーン内の役割を明確化し、公開価格と24/7対応のプロバイダーを選択。

いずれのケースも透明性の高いプロバイダー選択がリスクと予期せぬコストを軽減します。