サイバー・レジリエンス法で24時間以内に脆弱性を報告する方法

• CRA 第14条：悪用されている脆弱性・重大インシデントの24時間以内報告義務。
• 報告はENISAのプラットフォームを通じて調整CSIRTへ行う。
• EU外製造者は認定代理人を任命する必要がある。
• REP27 — Europe Services, SE：€490/年の委任料（価格確認済み）。
• 隠れた費用：内部エンジニアリング、サポート期間、適合性評価。
• 提供者ごとに公開価格、サービス内容、透明性が異なる。

更新済み 19 October 2026 · 12 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、19 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

サイバー・レジリエンス法の要件（条文番号付き）

サイバー・レジリエンス法（CRA）は、EU市場に投入されるハードウェア・ソフトウェアを問わず、デジタル要素を含むすべての製品に適用される包括的な規制です（第1条、出典）。製品の設計・開発・保守にサイバーセキュリティを組み込むことが目的です。2024年12月10日に施行され（第71条1項）、報告義務を含む多くの義務は2026年9月11日から第14条に基づき義務化され、2027年12月11日から完全適用されます（第71条2項）。

第14条はインシデント対応の中心で、製造者は製品のセキュリティに影響する積極的に悪用されている脆弱性や重大インシデントを認知後24時間以内にENISAプラットフォーム経由で調整CSIRTに報告しなければなりません。報告期限は認知時点から始まり、調査や確認後ではありません。完全な通知は72時間以内、最終報告は14日以内に提出します。報告期限には週末・祝日も含まれ、延長や停止はありません。

第18条はEU外製造者にEU内に認定代理人を任命することを義務付けています。代理人は公式の報告経路および当局の連絡窓口となります。これがない場合、輸入者や販売者が責任を負い、商業的・準拠リスクが生じます。

2027年12月11日以前に市場投入された製品は、その後に実質的な改変があった場合のみCRAの対象となります（第69条2項）。違反すると最大1500万ユーロまたは世界年間売上高の2.5％の罰金が科されます（出典）。

• 第14条：悪用されている脆弱性・重大インシデントの24時間以内報告
• 第18条：EU外製造者の認定代理人任命
• 第69条2項：レガシー製品規定

CRA認定代理人の選び方

EU外製造者にとって、CRA認定代理人の選択は極めて重要です。代理人はEU内での脆弱性報告および規制当局との公式窓口となります。主な検討ポイントは以下の通りです：

• 価格の透明性：価格を公開している提供者は限られています。REP27 — Europe Services, SEは明確に€490/年（更新€440）を提示し、kadanoは€999/年、Euverifyは£590/年を公開。他は見積もりが必要です。
• サービス範囲：料金に含まれる内容を確認してください。第18条委任は最低限ですが、監視、証拠保管、自己評価文書などの追加サービスを提供する場合もあります（CRAguard、ProvenVEX、SECURiMENT参照）。
• 除外事項：適合性評価、セキュリティテスト、SBOM生成はどの提供者も委任料に含まれていません。これらは別途エンジニアリング費用や認証機関費用が発生します。
• 証明書と検証：QRコード付きの検証可能な証明書を提供する代理人を選びましょう（REP27は対応）。
• 更新条件：初回請求前に更新価格が明示されているか確認してください。不透明な更新はトラブルの元です。
• 対応体制：当局からの要請対応方法、対応言語、対応時間を確認しましょう。24時間365日の対応デスクが必須です。

以下は公開情報に基づく各提供者の含まれる内容と除外内容の比較表です：

必ず契約書で含まれる内容・除外事項・更新条件を明記してもらいましょう。

価格に実際に含まれるもの

公開価格に何が含まれ、何が含まれないかを理解することは、予算計画と準拠対策に不可欠です。第18条委任料は通常、法的な代理人任命とEU内での報告デスク運営のみをカバーします。具体的には：

• 委任と報告デスク：代理人は脆弱性報告の公式窓口としての権限を持ちます。REP27は24時間対応デスク、CSIRT/ENISA経路管理、QRコード付き検証可能証明書を含みます。kadanoとEuverifyも委任を提供しますが、追加機能は公開していません。
• バンドルサービス：CRAguard、ProvenVEX、SECURiMENTは依存関係監視、証拠保管、インシデント対応などの追加サービスを提供しますが、価格は非公開で追加費用が発生する可能性があります。
• 含まれないもの：適合性評価、セキュリティテスト、SBOM生成はどの提供者も含みません。これらは認証機関や自社エンジニアリングの別費用です。
• 更新価格：更新価格を公開しているのはREP27のみで、初年度より低価格の€440/年です。kadanoとEuverifyは非公開です。

比較時は価格に含まれる内容と追加費用の詳細を必ず確認してください。GDPR第27条やNIS2の代理人をセットで提供する場合もあります（REP27：CRA+GDPR €690/年、CRA+GDPR+NIS2 €990/年）。

まとめ表：

隠れた費用と除外事項

代理人委任料はCRA準拠費用の中で最も小さいことが多いですが、隠れた費用や除外事項は大きな負担となる可能性があります：

• 内部エンジニアリング時間：自己評価、文書作成、SBOM準備は必須ですが代理人費用に含まれません。専任の技術リソースが必要です。
• サポート期間：CRAは多くの製品に最低5年間のセキュリティ更新を要求します。単発ではなく製品ラインとしての継続的メンテナンス予算が必要です。
• 適合性評価：重要なクラスIIやクリティカル製品は認証機関による評価が必要で、数千ユーロかかり数ヶ月要します。代理人はこの費用を負担しません。
• インシデント検知：代理人は脆弱性検知を行いません。検知と初期対応は自社のセキュリティチームの責任です。
• インシデント毎や要請毎の料金：REP27は追加料金なしと明記していますが、他社は追加サービスやインシデント管理で料金を請求する場合があります。必ず書面で確認してください。
• 責任制限：提供者は委任範囲内の責任に限定し、内部の報告漏れなどは責任を負いません。
• 通知期間と更新条件：不透明な更新は予期せぬ費用やカバレッジ切れを招きます。REP27は更新価格を公開していますが、他は非公開です。

提供者が通常言わないこと：

• 委任は脆弱性検知、パッチ適用、ユーザー通知を含みません。これらは自社責任です。
• 当局からの文書要求は、ランブックが不完全だったりチームが準備不足だと遅延します。
• 委任が第18条3項に限定されていない場合、代理人変更は複雑になることがあります。

必ず除外事項リストを要求し、契約前にすべての条件を明確にしてください。

任命の流れ：ステップバイステップ

CRA認定代理人の任命は体系的なプロセスです。実務的な手順とポイントは以下の通りです：

1. 自社の状況確認：EU市場にデジタル要素を含む製品を投入する製造者か？輸入者・販売者のみなら、自社名義でない限り不要。
2. 設立状況確認：EU内に法人がなければ代理人を任命。EU子会社が製造者なら直接報告可能。
3. 提供者選定：公開価格、サービス範囲、透明性で比較。REP27、kadano、Euverifyは価格公開。他は見積もり要。
4. 書面で委任契約締結：提供者（例：REP27）から署名済み委任状を受領。eIDAS電子署名や検証可能証明書付き。第18条3項に限定されているか確認。
5. 準拠文書更新：技術ファイル、ランブック、CRA要求の製品文書に代理人情報を追加。
6. 報告体制構築：ENISAプラットフォームにアクセス可能な提出者を最低2名指名。早期警告・通知テンプレートを事前準備。
7. トリガーと内部手順定義：悪用脆弱性や重大インシデントの認知基準を文書化。宣言者や必要証拠（悪用観察、信頼できる顧客報告など）を決定。
8. 記録管理：認知、提出、更新のタイムスタンプを保持。期限遵守の証明となる。
9. 継続的準備：チーム教育、報告手順のテスト、ランブックの定期見直しを実施。

この手順により24時間以内報告期限を守り、準拠ギャップを防げます。

リスクと罰金

CRA違反のリスクは財務的・運用的に重大です：

• 罰金：期限遅延、代理人未任命、不十分な対応で最大1500万ユーロまたは世界年間売上高の2.5％の行政罰金が科されます（出典）。
• 運用リスク：報告遅延は規制調査、製品リコール、市場アクセス禁止につながる可能性があります。正当なEU代理人を示せなければ調達・流通が停止されることも。
• 評判リスク：ユーザーや当局への迅速な通知失敗は悪評や顧客信頼の喪失を招きます。
• 内部混乱：報告手順が不明確だとインシデント対応に貴重な時間を浪費し、リスクとコストが増大します。

起こりうる問題例：

• インシデント発生直後に正しいCSIRTや報告経路を探すのに時間を費やす。
• 文書要求が異なるタイムゾーンの事務所に届き、対応が遅れる。
• 販売者がデフォルトの報告経路とされ、対応権限を失う。
• 更新条件不明瞭で委任が無効になっていることに気づかない。

透明で応答性の高い代理人を任命し、堅牢な内部手順を維持してリスクを軽減しましょう。

判断マトリクス：CRA代理人は必要か？

以下のマトリクスで、事業形態と所在地に基づきCRA認定代理人の必要性を判断してください：

代理人任命前に必ず自社の状況と義務を確認してください。

チェックリスト：CRA 24時間報告準拠の手順

1. 製品がCRA対象か確認（デジタル要素、EU市場）。
2. 製造者であることを確認（輸入者・販売者のみでない）。
3. EU外ならCRA認定代理人を任命し、署名済委任状を取得。
4. 代理人情報を技術ファイル・準拠記録に記載。
5. 脆弱性報告の24時間365日受付体制を構築（自社または代理人経由）。
6. ENISAプラットフォームにアクセス可能な提出者を最低2名指名。
7. 早期警告・通知テンプレートを事前作成。
8. 報告トリガーと対応方法をスタッフに教育。
9. 認知基準と必要証拠を文書化。
10. すべてのタイムスタンプを記録し、監査証拠とする。
11. ランブックと報告手順を定期的に見直し更新。

このチェックリストを守ることで、最も多い準拠失敗を回避できます。

現実的なシナリオ：どの義務が適用されるか？

• 米国のSaaS企業がEU向け販売：EU外製造者としてCRA認定代理人（例：REP27）を任命し、24時間365日受付体制を構築。ENISAプラットフォームに報告できるスタッフを2名以上用意し、早期警告テンプレートを準備。悪用脆弱性認知の判断プロセスを文書化。
• 中国のAmazon販売者（自社ブランド）：EU向けに自社ブランドのデジタル製品を製造・販売する場合はCRA代理人が必要。第三者ブランドの再販のみなら不要。代理人任命、準拠ファイル更新、24時間報告準備を行う。
• 英国のオンラインショップで自社IoT機器販売：EU消費者向けに直接販売する場合は製造者としてCRA代理人を任命。英国国内のみ販売ならCRA対象外。EUの販売代理店が自社名義で市場投入する場合は代理店が責任を負う。

いずれの場合も、透明で固定価格の代理人を任命し、報告プロセスを文書化し、法施行前にチーム教育を行うことが最も簡単な準拠方法です。