非EU製造業者の24時間脆弱性報告コスト（CRA 2026）

• 2026年9月11日からEUで販売されるデジタル製品の全製造業者に義務付け
• REP27は年間€490、更新は€440で価格公開済み
• Kadano：年間€999、Euverify：£590（約€690）、価格公開済み
• サービスは報告伝達のみで、技術評価やテストは含まれない
• 違反時は最大€1500万または世界売上高の2.5%の罰金
• 輸入業者、流通業者、EU外販売のみの事業者は対象外

更新済み 22 October 2026 · 7 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、22 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件：CRA第14条

Cyber Resilience Act（EU規則2024/2847）の第14条は、EU内で販売されるすべてのデジタル製品の製造業者に対し、非常に厳格な報告義務を課しています。2026年9月11日以降、製造業者は製品に影響を与える積極的に悪用されている脆弱性や重大なセキュリティインシデントを認知後24時間以内に報告しなければなりません。報告はENISAが管理する統一プラットフォームを通じて行い、対象国のCSIRTコーディネーターに送信されます。

• 報告は3段階に分かれます：早期警告（24時間以内）、詳細通知（72時間以内）、最終報告（14日以内）。
• EU外製造業者も、直接またはマーケットプレイス経由でEU顧客に販売する場合は報告義務があります。
• 代理人は技術評価やセキュリティテストを行う必要はなく、報告の伝達と連絡窓口を担います。
• 製品のセキュリティに影響するインシデントも対象で、悪用済み脆弱性だけではありません。

報告遅延や未報告は最大€1500万または世界売上高の2.5%の罰金対象となります。対象はソフトウェア、ハードウェア、IoT機器、SaaSなどのデジタル製品の製造業者全般です。

情報源：NIS2.gov.ie、Licentium

プロバイダー選択のポイントと比較

CRAに基づく脆弱性報告の代理人選択は価格以外にも実務的な要素を考慮すべきです。主な評価基準は以下の通りです：

• 公開かつ透明な価格：年間費用と更新費用が明確なプロバイダーを選び、予期せぬ追加費用を避ける。
• 地理的カバー範囲：販売するEU各国で代理人としての対応が可能か。
• 認証と検証：電子署名された委任状が公開検証可能であることが信頼の証。
• 24時間365日対応チャネル：週末や祝日も含め、いつでも報告できる体制が必須。
• 除外事項の明確化：基本料金にセキュリティテスト、SBOM生成、技術サポートは含まれないことを理解する。

詳細比較：

実務アドバイス：契約前に含まれる内容、個別報告の追加費用、更新方法を必ず確認しましょう。公開検証可能な証明書を提供し、法的実体と対応範囲を明示するプロバイダーを推奨します。

価格に含まれる内容の詳細

公開価格はCRA第18条に基づく脆弱性報告の代理人委任に限定されます。代理人の役割は：

• 公式プラットフォームを通じてCSIRT/ENISAへ脆弱性やインシデント報告を受け取り転送する。
• 欧州監督当局からの問い合わせや確認依頼の連絡窓口となる。
• 署名済み委任状を提供し、QRコード等で公開検証可能にする。
• 24時間365日対応チャネルを維持（少なくともREP27は公式に表明）。

価格に含まれないもの：

• セキュリティテストや脆弱性評価
• ソフトウェア部品表（SBOM）生成
• 報告書作成に関する技術的・法的サポート
• 危機管理やエンドユーザーへの通知（報告転送以外）

例えばREP27は「適合性評価は認定機関、テストはセキュリティ企業、SBOM生成はビルドパイプライン、報告はセキュリティチームの責任」と明言しています。追加費用や隠れたアップセルはありません。

アドバイス：報告準備や当局からの追加質問対応は社内で対応できる体制を整えましょう。

隠れたコスト、サービスの限界とリスク

代理人委任費用はCyber Resilience Act対応に必要な予算の一部に過ぎません。以下の点に注意が必要です：

• 社内準備：情報収集、報告書作成、代理人との連絡管理は製造業者の責任。
• 監査・評価：当局からの要請で外部監査や技術評価が必要になる場合、追加費用が発生。
• 技術・法務支援：代理人は報告伝達以外の技術的・法的助言を提供しないため別途手配が必要。
• 責任範囲：報告内容の誤りや漏れに対する責任は製造業者にあり、代理人は免責。
• 更新・切替：更新条件やプロバイダー切替時のペナルティを事前に確認。REP27は価格を公開、他は不明瞭。

実務リスク：

• 社内手続きが整っていないと期限遵守が困難。
• 報告遅延や未報告は高額罰金やEU販売停止リスクを伴う。

アドバイス：代理人委任は「プロセス保険」と考え、実際の準拠は社内体制に依存します。

代理人指名の流れ：ステップとチェックリスト

CRA代理人の指名は明確な手順に従います。実務ステップとチェックリストは以下の通りです：

1. EUでデジタル製品を販売しているか確認：製造業者であることを確認（輸入業者・流通業者は除く）。
2. プロバイダー選択：価格、サービス内容、契約透明性を比較。
3. オンラインでサービス申請：申込フォームを記入し、CRA第18条の委任状を受領。
4. 委任状署名・保管：双方署名の委任状を保管し、監査に備える。
5. 社内文書に代理人情報を登録：運用マニュアル、内部ポリシー、コンプライアンス文書を更新。
6. 報告手順の準備：誰が脆弱性を報告できるか、証拠収集方法、報告テンプレート（早期警告、通知、最終報告）を定義。
7. 最低2名の報告者を指名：ENISAプラットフォームへのアクセス権を持つ複数名を確保し、欠勤時の対応を保証。
8. すべての報告を記録：誰がいつどのように報告したかを記録し、監査対応に備える。

実務チェックリスト：

1. 自身の立場確認（製造業者、輸入業者、流通業者）
2. 代理人選定・指名
3. 報告手順の社内整備
4. 報告者指名と文書更新
5. 報告テンプレート事前作成
6. 報告・連絡記録の保管

アドバイス：手続きの明確さが代理人サービスの最大の価値です。

判断マトリックス：誰がサービスを必要とするか？

すべての企業が脆弱性報告代理人を必要とするわけではありません。実例に基づく判断マトリックスは以下の通りです：

アドバイス：流通業者や輸入業者で自社名義販売しない場合は代理人不要。非EU製造業者は罰則回避のため必須です。

プロバイダーが言わないが知るべきこと

多くのプロバイダーはコンプライアンスや実コストに影響する重要事項を公開していません：

• 除外事項：基本料金にセキュリティテスト、SBOM、技術評価は含まれず、報告伝達のみ。
• 責任範囲：報告の正確性・期限遵守は製造業者の責任で、代理人は内容を検証・修正しない。
• 更新・切替：更新価格や切替条件を公開しないプロバイダーも多いが、REP27は明示。
• 言語・対応時間：24時間365日対応や多言語対応の実態を確認すべき。
• サービス制限：代理人はユーザー通知、危機管理、法務相談を行わない。

アドバイス：契約前に除外事項と責任範囲の書面リストを必ず入手しましょう。

実例シナリオ：3つのケースと簡易対応策

• 米国SaaS企業がEU販売：CRA代理人を指名し、報告手順を整備。脆弱性発見時は代理人経由でENISA/CSIRTに報告。最も簡単な方法は24時間対応チャネルと検証可能な委任状を持つプロバイダー選択。
• 中国のAmazon販売者：製造業者なら報告義務と代理人指名が必要。流通業者なら不要。契約上の役割を明確にし、eコマースに強いプロバイダーを選ぶのが簡単な道。
• 英国のオンラインショップ：EU顧客に販売する場合は代理人指名と報告手順が必要。英国のみ販売なら義務なし。EU売上比率でコスト対効果を判断。

いずれも社内準備と手続きの明確化が期限遵守と罰則回避の鍵です。