Cyber Resilience Act 24時間脆弱性報告：対応業者と料金（2026年版）

• CRA第14条は、悪用された脆弱性を24時間以内にENISAに報告することを義務付けています。
• 非EUメーカーは報告のためにEU内に認定代理人を任命しなければなりません。
• REP27 — Europe Services, SEは第18条義務を年間490ユーロで提供しています。
• 競合他社の価格例：kadano（年間999ユーロ）、Euverify（年間590ポンド）、その他は要問い合わせ。
• REP27は法的助言、SBOM作成、適合性評価を含みません。
• 輸入業者、販売業者、2026年9月11日以前に市場投入された旧製品は対象外です。

更新済み 17 October 2026 · 8 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、17 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件：CRA第14条および第18条

Cyber Resilience Act（CRA）は、EU市場にデジタル要素を含む製品を投入するメーカーに厳格な規制を導入します。第1条は対象範囲を定義し、接続機器、ファームウェア、アプリを含むハードウェアおよびソフトウェアが含まれます。第10条は製品ライフサイクル全体のサイバーセキュリティ対策の必須要件を定め、第11条はリスク評価、脆弱性対応、適合性評価などメーカーの義務を詳細に規定しています。

第14条は中心的条項であり、メーカーは実際に悪用された脆弱性や製品セキュリティに重大な影響を与えるインシデントを認知後24時間以内にENISAの単一報告プラットフォームを通じて報告する義務があります。この義務は単なる脆弱性の発見ではなく、悪用の確かな証拠や重大なセキュリティ事象によって発動します。24時間は暦時間で計測され、夜間、週末、祝日も含みます。

EU外に設立されたメーカーには第18条によりEU内に認定代理人の任命が義務付けられています。この代理人は24時間報告プロセスを担当し、EU当局の公式窓口として機能します。輸入業者や販売業者にも第12条に基づく義務がありますが、主な報告義務はメーカーまたはその代理人にあります。

2026年9月11日以前にEU市場に投入された製品は24時間報告義務の対象外ですが、他のCRA規定には準拠しなければなりません。違反した場合、最大1500万ユーロまたは世界年間売上高の2.5％のいずれか高い方の罰金が科されます。法律は明確で、2026年9月以降にEUでデジタル製品を販売する非EUメーカーは、いかなる該当インシデントでも24時間以内に対応可能な認定代理人を用意しなければなりません。

CRA認定代理人の選び方

適切な認定代理人の選定はコンプライアンスと運用効率の鍵です。まず、プロバイダーの法人格、EU内設立、実績を確認しましょう。例えば、REP27 — Europe Services, SEはチェコ・プラハに設立され2018年から活動し、24カ国の企業と契約実績があります。

選定の主な基準は以下の通りです：

• 透明な価格設定：明確な公開価格と更新条件があるか。REP27は初年度と更新価格を公開しています。kadanoやEuverifyも価格を公開していますが、他は見積もりが必要です。
• 委任範囲：第18条義務のみに限定されているか。過剰な範囲（第13条義務まで含む）を謳う代理人は第18条第2項で禁止されています。REP27は明確に第18条報告に限定しています。
• 対応可能時間：24時間365日体制か。REP27は常時対応を保証し、他社は確認が必要です。
• 証明書の検証性：REP27のQRコード付き公開証明書のように、任命証明が検証可能かどうか。これは当局や顧客の確認に有用です。
• 除外事項の明示：法的助言、SBOM作成、技術検査など含まれないサービスを明示しているか。REP27は明確に記載していますが、多くの競合は非公開です。

技術スキャンやSBOM作成などのバンドルサービスは社内リソース不足の場合に有用ですが、隠れコストや不明瞭な更新価格、サービス内容を必ず書面で確認してください。要請の処理方法、対応言語、対応時間も明確にしましょう。

最後に、代理人の委任証明が検証可能で、当局からの要請転送が迅速かつ記録されていることを確認してください。これは単なるコンプライアンスのチェックボックスではなく、遅延や誤解が法的・商業的リスクを招きます。

価格に含まれる内容：プロバイダー比較

公開価格に何が含まれるかを理解することは、予期せぬ追加費用を避けるために重要です。以下は入手可能な情報に基づく詳細比較です：

REP27の料金（年間490ユーロ、更新時440ユーロ）は第18条義務のみで、除外事項も明確です。kadanoやEuverifyは価格を公開していますが、含まれるサービスの詳細は非公開です。ResilienceWPやSeentrixは技術サービスを提供しますが、価格や範囲は要問い合わせです。

契約前に必ず詳細なサービス説明と更新価格の確認を取りましょう。技術的コンプライアンスや法的助言が含まれると誤解することが最も多いミスです。

隠れたコストとプロバイダーが通常言わないこと

表面上の価格は重要ですが、隠れたコストや除外事項はコンプライアンス予算や運用リスクに大きく影響します。以下はプロバイダーが前もって公開しないことが多い内容です：

• 除外事項：REP27は明示的に法的助言、DPOサービス、技術的コンプライアンス評価、SBOM作成、テストは含まないとしています。多くの競合は除外事項を公開しません。技術的コンプライアンスは代理人義務には含まれず別途予算が必要です。
• 更新価格：初年度は低価格でも更新価格を公開しないプロバイダーがあります。REP27は両方公開しています。更新条件は必ず書面で確認しましょう。
• 都度料金：当局やデータ主体からの要請、緊急報告に追加料金を請求する場合があります。REP27は明記していませんが他社は異なる可能性があります。契約前に確認してください。
• 解約・切替条件：代理人の解約や切替に関する通知期間や手数料はほとんど公開されていません。必ず確認しましょう。
• 責任制限：期限遅延や誤報告に対する責任制限が多くの代理人にありますが、公開されていない場合があります。
• バンドルサービス：SBOMやスキャンなど技術サービスを提供する場合、追加料金や長期契約が必要になることがあります。範囲と価格は書面で確認してください。

要約すると、コンプライアンスの真のコストは代理人料金だけでなく、社内エンジニアリング、技術的コンプライアンス、24時間体制のインシデント対応維持費も含みます。契約前に全条件の詳細と書面確認を必ず行いましょう。

任命の流れ：ステップバイステップ

CRA認定代理人の任命は慎重な計画と書面による手続きが必要です。以下は現行のベストプラクティスと法的要件に基づく実務的な手順です：

1. 適用確認：製品がデジタル要素（ハード/ソフト）を含み、2026年9月11日以降にEU市場に投入されるか確認します。該当すればCRAの24時間報告義務が適用されます。
2. プロバイダー選定：公開価格、範囲、除外事項、評判を比較し、全条件と更新価格を必ず書面で取得します。
3. 契約・委任：選定した代理人と書面契約を締結します。REP27は契約後24時間以内に署名済み第18条委任状と検証可能な証明書を発行します。法人格がEU内で登記されていることを確認してください。
4. 文書更新：代理人情報をコンプライアンスランブックに記録し、報告プロセス（誰がインシデントを宣言し証拠を記録するか）を明確に準備します。
5. 社内準備：ENISAプラットフォームの提出者を最低2名、可能なら異なるタイムゾーンで指名します。早期警告テンプレートを事前作成し、72時間通知やユーザー連絡の責任者を割り当てます。
6. インシデント対応：該当する脆弱性やインシデントを検知したら直ちに代理人に通知します。代理人は24時間以内にENISA/CSIRTに早期警告を提出し、その後72時間通知と最終報告を行います。
7. 記録保持：認知日時、提出時間、コミュニケーションの詳細ログを保持します。これは当局からの監査時に重要です。
8. 継続的見直し：連絡先、テンプレート、責任分担を定期的に見直し更新します。

この手順によりCRAの厳格な期限を守り罰則を回避できます。準備が鍵であり、トリガー定義、役割分担、ワークフローのリハーサルが重要です。

リスク、罰則、コンプライアンス期限

Cyber Resilience Actは違反時に重大な法的・財務リスクを伴います。第15条は執行手続きと罰則を規定しています。最も差し迫ったリスクは、悪用された脆弱性や重大インシデントの24時間報告期限の遅延です。期限は認知時点から始まり、調査完了時ではありません。遅延すると最大1500万ユーロまたは世界年間売上高の2.5％の罰金が科されます。

その他のリスクには：

• 市場アクセス遅延：代理人未任命や検証可能な証明書未提出は製品発売遅延や調達停滞を招きます。特に企業向け販売で影響が大きいです。
• 執行措置：当局が調査を開始し、文書提出や是正措置を要求する場合があります。
• 評判リスク：報告義務違反はブランドイメージや顧客信頼を損ないます。
• 複数報告義務：単一インシデントがCRA、NIS2、GDPR、GPSRなど複数の規制で報告を要する場合があります。例えばランサムウェア攻撃で3件の報告が必要になることもあります。

コンプライアンス期限は厳格で、新製品は2026年9月11日以降に24時間報告義務が発生します。旧製品は24時間報告義務免除ですが他のCRA義務は適用されます。最低5年間のセキュリティ更新サポート期間も計画し、製品ライン単位で予算化が必要です。

まとめると、違反リスクは甚大で、準備不足のコストは適切な代理人任命費用よりはるかに高くつきます。

判断マトリクス：CRA認定代理人は必要か？

以下のマトリクスでCRA認定代理人の必要性を判断してください：

このマトリクスは大半のケースをカバーします。疑問があれば法務担当者やプロバイダーに相談してください。報告義務はメーカーまたはその代理人にあり、輸入業者や販売業者は自社名義で製品を投入しない限り負いません。

チェックリスト：CRA 24時間報告準拠までの手順

1. 製品の把握：EUで販売するデジタル要素を含む全製品と発売日をリストアップ。
2. 社内プロセス評価：脆弱性の検知、エスカレーション、記録方法を見直す。
3. 代理人選定：プロバイダーを比較し、全料金、更新価格、サービス範囲の書面確認を取得。
4. 委任契約締結：署名済み第18条委任状と検証可能な証明書を取得。
5. 文書更新：代理人情報をランブックに追加し、早期警告・通知テンプレートを準備。
6. 報告担当者指名：ENISAプラットフォームの提出者を最低2名、可能なら異なるタイムゾーンで指名。
7. ワークフローテスト：悪用脆弱性を想定した模擬演習で役割と期限を周知。
8. スタッフ教育：24時間報告トリガーとエスカレーション方法を教育。
9. 規制更新監視：2026年9月前にCRA要件や報告プラットフォームの変更を把握。
10. 定期見直し：年次または重大インシデント後にプロセスと文書を更新。

このチェックリストに従うことで、CRAの厳格な報告義務を満たし、高額な罰則を回避できます。

現実的なシナリオ：どのルートが適用されるか？

• 米国SaaS企業がEU企業向けに販売：非EUメーカーとしてEU市場にデジタル製品を投入。REP27、kadano、Euverifyなどの認定代理人を任命し、社内セキュリティチームが脆弱性を検知後、代理人が24時間以内にENISA/CSIRTへ報告。輸入業者や販売業者は関与せず、義務は直接。
• 中国のAmazon販売者がEU消費者向けIoT機器を出荷：メーカーかつ非EU設立なら認定代理人を任命が必要。Amazonが輸入者の場合、報告義務はAmazonに移る可能性あり。販売者はプラットフォームと確認し、必要なら代理人任命と製品文書更新を行う。
• 英国のオンラインショップが自社ブランドルーターをEUで販売：非EUメーカーとして24時間報告のため認定代理人を任命。代理人情報をコンプライアンス文書に記載し、迅速なインシデントエスカレーション体制を整備。ショップが輸入者または販売者として自社名義で製品を投入する場合は追加義務が発生する可能性あり。

これらのシナリオはサプライチェーンのマッピングと役割明確化の重要性を示しています。最も簡単かつ確実な対応は代理人を任命し、プロセスを文書化し、チームを訓練して迅速対応可能にすることです。