サイバー・レジリエンス法(CRA)の脆弱性報告サービス提供者比較

• CRAの脆弱性報告は2026年9月11日から義務化
• 価格やサービス内容を公開している提供者は限られる
• 代表者任命は報告の伝達のみで技術評価は含まれない
• 除外事項、更新、検証プロセスを比較する
• 報告義務違反の罰金は最大1500万ユーロまたは売上高の2.5%
• 代表者任命は評価、SBOM、技術サポートを含まない

更新済み 21 October 2026 · 12 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、21 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要求事項：義務、条文、期限

サイバー・レジリエンス法（CRA）、規則（EU）2024/2847は、EU市場にデジタル要素を含む製品（ハードウェア・ソフトウェア問わず）を投入する者に厳格な義務を課します。主な義務は以下の通りです：

• 代表者の任命（第18条）： 製造者がEUに拠点を持たない場合、EU内に書面で代表者を指定する必要があります。代表者は脆弱性や重大インシデントの報告をCSIRTやENISAなどの主管当局に伝達する責任を負います。
• 脆弱性報告（第14条）： 2026年9月11日以降、製造者は製品のセキュリティに影響する積極的に悪用されている脆弱性や重大インシデントを知った時点から24時間以内に報告しなければなりません。報告はENISAのプラットフォームを通じCSIRTコーディネーターへ行います。
• 完全な通知と最終報告： 初期報告から72時間以内に詳細な通知と初期対応策を提出し、14～30日以内に脆弱性と対策の最終報告を行います。
• すべてのデジタル製品が対象： 新製品だけでなく既存製品も対象で、ライフサイクル全体（更新やサポート含む）に適用されます。
• 罰則： 違反した場合、最大1500万ユーロまたは世界売上高の2.5%の罰金が科される可能性があります。

CRAの脆弱性報告とGDPR（個人データ侵害）やNIS2（サービスインシデント）など他の規制は対象者、期限、報告プラットフォームが異なるため区別が必要です。

提供者の選び方：実用的基準とリスク

CRAの脆弱性報告サービス提供者を選ぶ際は、実用的かつ透明な基準に基づいて判断してください。主な評価ポイントは以下です：

• 公開かつ透明な価格： 価格と更新費用を明示している提供者を選びましょう。導入価格や隠れた更新費用のある契約は避けてください。
• サービス内容の範囲： 代表者任命と報告転送のみか、技術サポートや文書化、SBOM、ワークフロー等の追加サービスがあるかを確認します。多くは法的代表のみを提供します。
• 検証可能な証明書： QRコード付きの証明書や公開検証ページがあると、監査やインシデント時のトラブルリスクが減ります。
• 24時間365日対応デスク： 報告はいつでも可能である必要があります。夜間や休日も対応しているか明確に確認してください。
• 対応言語と応答速度： 英語および必要に応じて他のEU言語で対応可能か、報告転送に24時間以上かからないかをチェックしましょう。
• 除外事項と制限： 技術的評価、セキュリティテスト、SBOM生成、エンジニアリングサポートは代表者任命に含まれません。これらは製造者または専門業者の責任です。

除外事項が明確でない提供者はサービス範囲を正確に定義していない可能性があるため注意してください。

価格に含まれる内容：比較表と分析

多くの提供者は代表者任命と報告転送を提供しますが、技術的な追加サービスを含むものは少数です。以下は比較表です：

「クラシック」な提供者（REP27、kadano、Euverify）は法的最低限の義務に限定し、「拡張」サービス提供者（Attestra AI、Seentrix、Illicium）はセキュリティワークフロー、SBOM自動化、ペネトレーションテストを提供します。ただしCRA第18条・第14条の遵守には代表者任命と報告転送の保証で十分です。

公開価格は明示された範囲のみをカバーし、技術サービスは別料金で高額になる場合があります。

隠れた費用、除外事項、提供者が言わないこと

多くの提供者は更新費用を公開せず、営業時間外の対応、新証明書発行、英語以外の言語サポートに追加料金を課すことがあります。注意点は以下の通りです：

• 更新費用： 契約前に必ず更新価格を確認してください。REP27は€440と明示していますが、他は要問い合わせです。
• 除外事項： 適合性評価、セキュリティテスト、SBOM生成、技術サポートは含まれません。これらは別途高額になることが多いです。
• 責任範囲の制限： 技術的ミスや顧客の報告不履行、脆弱性管理自体の責任は提供者は負いません。
• 通知期間： サービス終了や代表者変更には事前通知が必要な場合があります。契約条件を必ず確認してください。
• 追加費用： 公開情報がない場合は、追加要求、証明書発行、緊急対応の費用の有無を確認しましょう。

意思決定表：

まとめると、除外事項と隠れた費用の明確化は驚きを避け、完全な遵守を保証するために不可欠です。

任命の流れ：ステップバイステップと実用チェックリスト

CRA代表者の任命には重要な手順があります。詳細ガイドは以下の通りです：

1. 義務の確認： EUで販売するデジタル製品（ハード・ソフト）製造者でEUに拠点がないか確認します。該当すれば義務があります。
2. 提供者の選定： 価格、サービス内容、除外事項、検証プロセスを比較し、24/7デスクと公開検証可能な証明書がある提供者を優先してください。
3. 任命契約の署名： 契約は書面で、提供者の法人代表（例：REP27のEurope Services, SE）が署名し、第18条の義務に限定してください。第13条まで含む契約は避けましょう。
4. 証明書の受領： 提供者からQRコード付きやオンライン検証可能な任命証明書を受け取ります。
5. 社内手順書の準備： 代表者情報、エスカレーション手順、報告連絡先を社内文書に記載します。
6. 報告チャネルの設定： 脆弱性・インシデント報告用の社内チャネルを用意し、ENISAプラットフォームに最低2名の報告者を登録します。
7. チームの教育： 報告対象とタイミングを理解させ、シミュレーションで手順を確認します。

実用チェックリスト：

1. 製品カテゴリーとEU内販売先を特定したか？
2. 24/7デスクと更新価格が明確な提供者を選んだか？
3. エスカレーションと報告手順を書面化したか？
4. ENISAに最低2名の報告者を登録したか？
5. 報告フローをシミュレーションで検証したか？

これらの手順で不遵守や罰則のリスクを最小化できます。

リスク、罰金、実例：実務で起こりうること

脆弱性を24時間以内に報告しなかった場合、最大1500万ユーロまたは世界売上高の2.5%の罰金が科されるほか、評判の損失やEUでの販売停止リスクがあります。以下は具体的な3つのシナリオです：

• 米国SaaS企業： EU顧客向けサービスを提供する米国のSaaS企業はCRA代表者を任命し、24時間365日報告チャネルを設置、悪用される脆弱性を報告しなければなりません。代表者はENISA経由で報告を転送し、当局の問い合わせに対応します。
• 中国Amazon販売者： 製品の製造者であればCRA代表者を任命し報告期限を守る必要があります。単なる再販業者であれば義務は製造者にあります。報告チャネルは2026年9月11日までに準備が必要です。
• 英国オンラインショップ： EU向けにファームウェア搭載製品を販売する英国のショップはCRA代表者を任命しなければなりません。非デジタルサービスのみの場合は義務なし。インシデント発生時は24時間以内に報告する必要があります。

いずれの場合も、手順書不備、報告チャネル未整備、検証不能な代表者は対応遅延や法的・経済的影響を悪化させます。