EU外製造業者のサイバー・レジリエンス法義務

• CRAは2026年9月11日からEUで販売するEU外製造業者に適用される
• 第18条：EU拠点がない場合はEU認定代理人の任命が必要
• 悪用された脆弱性は24時間以内に報告義務（第14条）
• 適合評価の手続きは製品クラスによって異なる
• 違反時の罰金は最大1,500万ユーロまたは売上高の2.5％

更新済み 18 October 2026 · 9 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、18 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件（条文番号付き）

サイバー・レジリエンス法（CRA）は、ハードウェア、ソフトウェア、コンポーネントを含むデジタル要素を持つ製品に適用されるEUの新規制です。製造業者の所在地に関わらず、EU市場に製品を投入する場合に適用されます。法律は2024年12月10日に発効し、報告義務は2026年9月11日から開始、CEマーキングや適合評価を含む完全遵守は2027年12月11日から必要です。

• 第18条：EUに拠点がない非EU製造業者は、製品ラインごとにEU認定代理人を任命しなければなりません。この代理人は当局や市場監視の公式連絡先となります。
• 第14条：製造業者は悪用されている脆弱性や重大な製品セキュリティ事故を報告する義務があります。期限は厳格で、24時間以内の早期警告、72時間以内の完全通知、緩和または通知後14日以内の最終報告が求められます。報告プラットフォームはENISAが管理し、受領者は代理人の所在国が決定します。
• 付属書I＆II：製造業者は脆弱性対応、安全設計開発、利用者および当局が理解しやすい言語での明確な使用説明書など、基本的なサイバーセキュリティ要件を満たす必要があります。
• 適合評価：必要な手続きは製品クラスにより異なります。デフォルト製品は自己評価可能、重要クラスIは調和規格または第三者評価、重要クラスIIおよびクリティカル製品は通知機関または認証スキーム評価が必要です。
• サポート期間：製造業者は宣言したサポート期間（最低5年）にわたりセキュリティ更新と脆弱性対応を提供しなければなりません。
• 免除：マイクロ・小規模企業およびオープンソース管理者は遅延報告に対する罰金は免除されますが、技術的および報告義務は遵守する必要があります。

輸入業者や販売業者は、自社名義で製品を市場に投入したり大幅に改変した場合、製造業者とみなされます。そうでなければ、元の製造業者がCRAの遵守と報告責任を負います。

CRA代理人またはコンプライアンスプロバイダーの選び方

非EU製造業者にとって適切な第18条代理人やコンプライアンスプロバイダーの選択は重要です。市場は価格、透明性、サービス内容に大きな差があります。以下の点を考慮してください：

• 法人格と所在地：プロバイダーの法人格とEU拠点を確認しましょう。例えばREP27はプラハに拠点を置くEurope Services, SEで、チェコ商業登記簿に登録されています。支払い前に必ず確認してください。
• 委任範囲：一部のプロバイダーは法的に必要な第18条委任状のみ提供し、他はGDPRやNIS2の代理も含むパッケージを提供します。委任が第18条3項に限定され、第18条2項で禁止された義務を含まないことを確認してください。
• 価格の透明性：初年度と更新価格の両方を公開しているプロバイダーを選びましょう。初年度のみ安価で更新時に高額になるケースに注意。REP27は更新価格も明示しています。
• 検証とサポート：検証可能な証明書、公開検証方法、要請受付窓口の有無を確認してください。権限やCSIRTからの要請転送の手続き、対応言語、応答時間も問い合わせましょう。
• バンドルサービス：GDPR第27条やGPSR第16条の代理も必要なら、REP27などは割引価格で複数代理を提供しています。

判断マトリクス：

EU市場投入前に必ず書面委任状と証明書を取得してください。

価格に含まれる内容：プロバイダー比較

価格とサービス内容は大きく異なります。第18条委任状はCRA遵守の中で最も低コストの外部費用ですが、多くのプロバイダーは詳細を公開していません。2026年10月時点の各社の含まれるもの、含まれないもの、追加料金の可能性を比較します：

ほとんどの製造業者にとって第18条委任状は1ページの文書と要請転送義務のみです。適合評価、技術試験、SBOM生成は別途費用で、基本代理人料金には含まれません。

隠れた費用と除外事項

第18条委任状は法的必須ですが、CRA遵守全体の費用のごく一部です。最も高額な要素は適合評価、通知機関費用、技術文書、サポート期間で、多くの代理人パッケージに含まれていません。注意点は以下の通りです：

• 適合評価費用：重要クラスIIやクリティカル製品は通知機関や認証スキーム費用が数千ユーロに及び、完了まで数か月かかります。別途予算を確保してください。
• 技術文書：ReglyzeやEmberKatは技術ファイル作成、SBOM取り込み、文書ギャップ分析を提供しますが、標準代理委任には含まれません。
• 更新料・要請料：一部プロバイダーは更新料や要請・報告ごとの追加料金を請求する場合があります。契約前に更新価格や追加費用を必ず書面で確認してください。
• 通知期間と責任制限：無言の更新や不明確な解約条件は予期せぬ費用を招きます。コンプライアンス失敗の責任は通常代理人が除外または限定しています。
• サポート期間費用：法律は最低5年間のセキュリティ更新と脆弱性対応を要求しており、製品ラインとしてリソースと予算を確保する必要があります。

REP27は除外事項を明確にしており、法的助言、技術評価、SBOM生成は委任範囲外です。必ず除外事項と隠れた費用をプロバイダーに確認してください。

任命の流れ：ステップバイステップ

第18条代理人の任命とCRA遵守は具体的なステップを踏む必要があります。非EU製造業者向けの実践的な手順は以下の通りです：

1. 対象製品の特定：EU市場に投入するデジタル要素を持つ全製品（ハードウェア、ソフトウェア、コンポーネント、リモートデータ処理ソリューション）を特定する。
2. 製品分類：CRAの定義に基づき、製品をデフォルト、重要クラスI/II、クリティカルに分類し、適合評価ルートを決定する。
3. 代理人選定：検証可能なEU法人格を持つ第18条代理人を選び、範囲、価格、更新条件を文書で確認する。
4. 委任状締結：選定代理人と書面による委任状（第18条3項）を締結し、証明書と公開検証方法を取得する。
5. 文書準備：技術文書（付属書VII）、SBOM、EU適合宣言書、EU言語での使用説明書を用意する。
6. 24時間報告体制構築：脆弱性・事故の受付窓口を設置し、早期警告・通知テンプレートを事前作成する。
7. ENISA登録：ENISA報告プラットフォームに提出者を登録し、異なるタイムゾーンで少なくとも2名のアクセス権を割り当てる。
8. 継続遵守予算計画：サポート期間（最低5年）の更新費用、必要に応じて適合評価費用、文書メンテナンス費用を計画する。
9. 定期見直し：遵守状況、文書、報告プロセスを定期的にレビュー・更新する。

このチェックリストに従うことで、CRAの法的・実務的要求に備えられます。

違反時のリスクと罰金

CRAは違反に対して厳しい罰則を設けています。基本的なサイバーセキュリティ要件や製造業者義務の違反は、最大1,500万ユーロまたは世界年間売上高の2.5％の罰金が科されます。これらはEU内外の製造業者に適用されます。

• 報告義務違反：24時間以内の脆弱性報告期限を守らないと執行措置の対象となります。マイクロ・小規模企業やオープンソース管理者は遅延報告の罰金は免除されますが、報告義務自体は免除されません。
• 調達・市場アクセスリスク：第18条代理人がいないと調達が停滞し、企業販売や公共入札から除外される可能性があります。
• 市場監視措置：当局は不遵守製造業者に対し製品撤回や回収を命じることがあります。
• 販売業者・輸入業者リスク：代理人を任命しない場合、EUの輸入業者や販売業者が報告経路とみなされ、コンプライアンス管理の制御を失う恐れがあります。
• 無言の失効：委任状の更新忘れや文書の未更新は気づかれずに違反となり、警告なしに執行されるリスクがあります。

効果的な遵守は罰金回避だけでなく、市場アクセスの維持と顧客・パートナーからの信頼確保にもつながります。

プロバイダーが通常言わないこと

多くのプロバイダーは第18条委任状の法的必要性に焦点を当てますが、全体像を伝えないことがあります。よく省略される点は以下の通りです：

• 委任範囲：第18条委任状は要請転送と連絡窓口に限定され、法的助言、技術評価、SBOM生成は明示されない限り含まれません。
• 適合評価：重要クラスIIやクリティカル製品の通知機関費用は代理人料金よりはるかに高額で、完了に数か月かかります。基本委任には含まれません。
• サポート期間：最低5年間のセキュリティ更新と脆弱性対応は大きな運用コストであり、どの代理人サービスにも含まれていません。
• 更新・通知条件：一部プロバイダーは初年度のみ低価格で更新料が高額、または長期間の解約通知を要求します。更新条件は必ず書面で確認してください。
• 責任範囲：代理人は通常、コンプライアンス違反の責任を除外または限定し、製造業者が全責任を負います。

含まれない内容の透明性は含まれる内容と同じくらい重要です。契約前に除外事項の全リストを要求し、プロバイダーの役割を明確にしましょう。

現実的なシナリオ：どのルートが適用されるか？

• 米国のSaaS企業：米国拠点のSaaSプロバイダーがEU顧客に直接ソフトウェアを販売。第18条代理人を任命し、技術文書とSBOMを準備、24時間報告体制を構築。デフォルトクラス製品は自己評価可能だが、重要・クリティカルなら通知機関が必要。最も簡単な方法はREP27等の代理人任命、文書準備、ENISA登録。
• 中国のAmazon販売者：中国の製造業者が自社名義でAmazon上でEU購入者にIoT機器を販売。第18条代理人を任命し、CRA要件を全て遵守。EU拠点の輸入業者が市場投入する場合は輸入業者が義務を負うが、そうでなければ元の製造業者が報告・文書責任を負う。
• 英国のオンラインショップ：英国拠点の小売業者がEU顧客に接続機器を出荷。第18条代理人を任命し、技術ファイルを準備、24時間脆弱性報告体制を確保。EU拠点の販売業者が自社名義で販売する場合は販売業者が義務を負うが、そうでなければ英国小売業者が責任を負う。

全シナリオに共通するのは、販売チャネルの把握、誰が市場投入者かの特定、第18条代理人の任命です。これにより調達遅延を防ぎ、遵守を確実にし、罰金を回避します。

今日からできる遵守チェックリスト

1. EUの販売チャネルを把握し、デジタル要素を持つ全製品を特定する。
2. CRA定義に基づき製品を分類（デフォルト、重要I/II、クリティカル）。
3. 第18条代理人が必要か判断（非EU製造業者は必須）。
4. 選定したプロバイダー（例：REP27、kadano、Euverify）から書面委任状と証明書を取得。
5. 技術文書（付属書VIIファイル）、SBOM、EU適合宣言書、EU言語の使用説明書を準備。
6. 有人の24時間脆弱性報告窓口を設置し、早期警告・通知テンプレートを事前作成。
7. ENISA報告プラットフォームに2名以上（異なるタイムゾーン推奨）を登録。
8. 重要クラスIIまたはクリティカル製品の場合、通知機関や認証スキームの予算を確保。
9. 最低5年間のセキュリティ更新・脆弱性対応のサポート期間を宣言・リソース確保。
10. 定期的な遵守レビューと文書更新をスケジュール。

これらの手順を踏むことで、2026～2027年のCRA施行期限に備え、コストのかかる遵守ギャップを回避できます。