Cyber Resilience Act認定代理人：義務・料金・選び方（2026年）

• EU外製造者がEUで販売する場合の義務（CRA第18条）
• 2026年10月時点の料金は年額€490～€999
• 代理人は当局対応、書類管理、通知を担当
• 評価・テスト・SBOMは含まず：委任と転送のみ
• 料金透明な主要プロバイダー比較：REP27、Kadano、Euverify
• 違反時は最大€1000万または全世界売上高の2%の罰金

更新済み 23 October 2026 · 8 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、23 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律が求める内容：CRA代理人義務（第18条）

Cyber Resilience Act（CRA）は、EU域外に拠点を置くデジタル製品製造者がEU市場に製品を投入する際の新たな義務を定めています。第18条によれば、これら製造者は書面による委任を伴う認定代理人を指名しなければなりません。代理人はEU外製造者と欧州監督当局の唯一の連絡窓口として機能し、以下の責任を負います：

• EU適合宣言書および技術文書を、販売後最低10年間またはサポート期間中保持
• 当局からの要請に応じて製品の適合性を示す情報・文書を提供
• 製品に関わるリスク除去のため当局と協力

この義務は製造者の国籍を問わず、EU市場向け製品に適用されます（出典）。輸入業者、流通業者、マーケットプレイスは製造者でない限り対象外です。代理人未指名の場合、最大€1000万または世界売上高の2%の罰金と販売停止措置が科される可能性があります。

代理人の指名は単なる形式ではなく、当局はいつでも技術文書や適合宣言の提示を代理人経由で求めることができ、セキュリティ事故時には迅速な対応が求められます。

CRA代理人の選び方：基準・比較・違い

CRA認定代理人の選択は、コンプライアンスと当局対応の効率化において重要です。主な評価ポイントは以下の通りです：

• 委任の明確さ：第18条に限定された責任範囲で、評価やテストなど法的に代理人が担わない業務を含まないこと。
• 価格の透明性：公開価格と更新料金が明示され、将来の追加費用がないこと。
• 検証可能な証明書：QRコードなどで公開・検証可能な委任証明書を提供するプロバイダーを推奨。
• 転送プロセス：当局からの要請の処理方法、対応言語、応答時間を確認。
• 除外事項と制限：評価、テスト、SBOM、技術支援の有無を明確に示すこと。

以下は含まれるサービスと追加料金の比較表です：

製品カタログのスクリーニングやGDPR・GPSRなど複数規制の一括対応も検討材料です。

価格に含まれるもの：見える費用と隠れた費用

公開価格は書面による代理人委任と監督当局からの要請対応に限定されます。含まれない項目は：

• 適合性評価（認定機関の役割で代理人は対象外）
• セキュリティテスト、SBOM作成、技術サポート
• 技術文書の作成・レビュー
• 法務相談や研修（Comply.Landなど特定サービスを除く）

以下はサービス内容の比較表です：

更新料金や追加要請、プロバイダー変更時の費用など隠れたコストに注意し、契約前に明確な見積もりと条件確認を必ず行いましょう。なお、代理人費用はCRAコンプライアンス全体の一部であり、技術対応や認証取得費用が主な負担となります。

隠れた費用と契約前に確認すべき事項

契約前に以下の点を明確にしておくことが重要です：

• 更新価格：契約書や見積書に明記されているか確認し、ウェブサイトのみの記載に依存しない。
• 追加要請料金：営業時間外対応や緊急対応、プロバイダー変更時の追加費用の有無。
• 委任範囲：第18条の範囲内に限定されているか。評価やテストを含む提案は法令違反の可能性。
• 検証可能な証明書：QRコード等の公開証明書があるか。監査時の証明に有効。
• 応答時間：当局からの要請の転送時間や休日対応の有無。

以下は意思決定支援表です：

含まれる内容・除外事項・追加料金のリストを必ず書面で受け取り、透明性の高いプロバイダーを選びましょう。

指名手順：ステップバイステップと実用チェックリスト

CRA代理人の指名は明確な手順に従います。罰則開始（2027年12月）前から準備可能です：

1. 自社の立場確認：EU外製造者でEU向けデジタル製品を販売しているか確認。
2. 対象製品の特定：EU市場向けのCRA対象製品を全てリストアップ。
3. 書類準備：EU適合宣言書と技術文書を用意。
4. プロバイダー選定：公開価格と透明な委任内容のある業者を選択（上表参照）。
5. 委任依頼：オンラインフォームや書面で依頼し、署名済み委任状を受領（多くはeIDAS電子署名対応）。
6. 代理人登録：社内ポリシー、運用マニュアル、技術文書に代理人情報を記載。
7. 運用管理：当局要請時は代理人が規定時間内（例：REP27は2営業日以内）に連絡を転送。

今日のチェックリスト：

1. 法的立場と対象市場を確認
2. 技術文書を収集・更新
3. 複数業者に見積依頼
4. サービス内容と更新価格を比較
5. 委任契約を締結し社内手続きを更新

リスク・罰金・代理人未指名時の影響

代理人を指名しない場合、以下のリスクがあります：

• 罰金：最大€1000万または世界売上高の2%（高い方）（出典）。
• 販売停止：EU市場から製品回収や税関での差止め。
• 遅延・非効率：明確な連絡窓口がないため、当局からの要請が流通業者や顧客に届き、対応遅延や評判悪化を招く。
• 事故対応の複雑化：セキュリティ事故時に代理人不在だと対応が遅れ、法的・商業的影響が拡大。

意思決定表：

代理人の早期指名は罰則回避と迅速な当局対応に不可欠であり、特にセキュリティ脆弱性報告の24時間以内通知など厳しい期限に対応可能です。

プロバイダーが通常言わないこと：制限・除外・リスク

多くの代理人プロバイダーが明示しない重要ポイント：

• 評価・テストは除外：代理人は適合評価、セキュリティテスト、SBOM作成を行えません。これらは認定機関や製造者の責任です。
• 委任は法的に限定：委任範囲は第18条に限定され、他の義務（例：第13条の管理）は含められません。
• 更新価格の透明性欠如：一部プロバイダーは更新料金を公開せず、追加費用を請求する場合があります。
• 責任範囲の限定：代理人は転送と文書保管のみ責任を負い、製品の技術的適合性や安全性には責任を負いません。
• 応答時間・対応言語の明示不足：対応速度や多言語対応の有無を明示しない業者もありますが、これは重要な選定基準です。

契約前に除外事項とサービス条件の書面リストを必ず求め、誤解や非適合リスクを避けましょう。

実例シナリオ：3つのケースと最も簡単な解決策

• 米国SaaS企業：米国のクラウドソフトウェア企業がEU顧客向けにサービス提供。CRA代理人指名、技術文書・適合宣言準備が必要。REP27やEuverifyのような透明価格・委任のプロバイダー選択が最適。基本クラス製品で調和規格適用なら評価不要。
• 中国Amazon販売者：中国のIoT機器製造者がAmazonでEU向け販売。マーケットプレイスは物流のみで代理人義務は製造者にあり、CRA代理人指名と文書への記載が必須。
• 英国オンラインショップ：英国のスマートハードウェア販売店。Brexit後はEU外扱いとなりCRA代理人指名、文書準備、検証可能な委任証明書を持つプロバイダー選択が必要。マーケットプレイス販売も製造者責任は変わらず。

いずれも最も簡単な解決策は、公開価格・書面委任・迅速指名が可能なプロバイダー（例：REP27：24時間以内指名、QR証明書、固定価格）を選ぶことです。