CRA認定代理人の代替手段：提供者と2026年の価格比較

• CRA第18条はEU外の製造業者に対し、EU内の代理人の指名を義務付けている
• EU内の製造業者は認定代理人を必要としない
• 輸入業者や販売業者が指名されれば代理人として機能可能
• 2026年の検証済み価格は年間€490から€999の範囲
• 代理人の権限は代表のみで、適合性評価や試験は含まれない
• EU外のB2BおよびB2Cのデジタル製品販売者は通常このサービスが必要

更新済み 19 October 2026 · 7 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、19 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

サイバー・レジリエンス法の要件（条文番号付き）

サイバー・レジリエンス法（CRA、規則（EU）2024/2847）は、EU市場に投入されるすべてのデジタル要素を含む製品に対し、義務的なサイバーセキュリティ要件を定めた包括的な規則です。新旧の製品に適用され、設計・開発から保守、製品寿命終了までの全ライフサイクルを対象とします。CRAは2024年12月10日に施行され、2027年12月11日から完全適用されます。

第18条はEU外製造業者にとって中心的な規定で、EU内に拠点を置く認定代理人の指名を義務付けています。この代理人は市場監視当局の公式連絡先として機能し、連絡や書類の転送を担当します。EU内製造業者は代理人の指名は不要ですが、EU外製造業者は代理人を指名するか、輸入業者または販売業者が正式にこの役割を引き受ける必要があります。指名は書面で明確に記録されなければなりません。

第14条は、製品セキュリティに影響する積極的に悪用されている脆弱性や重大なインシデントについて、24時間以内の報告義務を定めています。製造業者はその事象を知った後24時間以内にENISA（欧州連合サイバーセキュリティ機関）に通知し、その後72時間以内に完全な通知、14日以内に最終報告を行う必要があります。期限は営業時間ではなく暦時間で計算され、報告プラットフォームはENISAが管理します。義務は製造業者にあり、輸入業者や販売業者にはありません（ただし自社名義で市場に投入した場合は例外）。

第53条は違反時の罰則を規定し、最高で1500万ユーロまたは世界年間売上高の2.5%のいずれか高い方が科されます。CRAはCEマーキングと市場監視を通じて執行され、製造業者の所在地に関わらずEU内で販売されるすべてのデジタル要素を含む製品に適用されます。

• 第18条：EU外製造業者の認定代理人
• 第14条：24時間以内の脆弱性報告
• 第53条：罰金および執行

法文の詳細は公式EU概要をご覧ください。

CRA認定代理人の選び方

非EU製造業者にとって、適切なCRA認定代理人の選定は重要なステップです。代理人は規制および市場監視に関するEU内の公式窓口となります。以下のポイントに注意してください：

• 法人格と所在地：提供者がEU内に登録された法人であることを確認してください。例えば、REP27 — Europe Services, SEはチェコ共和国プラハに設立され、チェコ商業登記簿で検証可能です。
• 価格の透明性：初年度と更新価格を明示している提供者を選びましょう。REP27は初年度€490、更新€440（バンドル契約で割引あり）を公開しています。多くの提供者は更新価格を公開しておらず、予期せぬ費用が発生する恐れがあります。
• サービス範囲：代理権限に含まれる内容を確認してください。第18条の代理権限は書面による指名、検証可能な証明書、当局からの連絡を転送するリクエストデスクを含みます。適合性評価や製品試験は法的に代理人の範囲外です。
• 検証と書類：証明書にQRコードや公開検証ページがあるなど、当局や購入者が容易にコンプライアンスを確認できる提供者が望ましいです。
• 除外事項と制限：適合性評価、SBOM生成、インシデント対応など含まれない項目を明示している提供者を選び、誤解や隠れた費用を避けましょう。

以下は各提供者のサービス内容（判明している範囲）の比較です：

契約前に範囲、除外事項、更新条件の書面確認を必ず行ってください。

価格に含まれる内容の詳細

CRA認定代理人の費用は全体のコンプライアンス予算では小さい項目ですが、実際に何を購入するのか理解することが重要です。公開価格は第18条の代理権限のみをカバーし、通常以下を含みます：

• EU内での代理人の書面による指名
• QRコードや公開検証ページ付きの指名証明書
• 市場監視やCSIRTを含むEU当局からの連絡を受け取り転送するリクエストデスク

価格に含まれないもの：

• 適合性評価（重要なクラスIIやクリティカル製品は認定機関が担当し、代理人は含まれない）
• セキュリティ試験やSBOM（ソフトウェア部品表）生成
• インシデント対応やエンジニアリング作業
• ENISAへの報告（代理人は転送のみで作成・提出は製造業者の責任）

GDPR第27条、NIS2、GPSRの代理権限とセットで割引提供される場合もあります。例えばREP27はCRA＋GDPRで年間€690、CRA＋GDPR＋NIS2で€990です。更新価格が固定か変動か、他代理人からの切替費用の有無も必ず確認してください。

以下は公開価格と含まれる内容の概要です：

代理権限を署名する法人格の確認は必須です。支払い前に必ず検証してください。

隠れたコストと除外事項

CRA認定代理人の料金は明確なことが多いですが、CRAコンプライアンスの実際のコストは他に隠れている場合があります。主な費用は社内のエンジニアリング、書類作成、継続的な製品サポートに関わるものです：

• 適合性評価：重要なクラスIIやクリティカル製品は認定機関による適合性評価が必要で、数千ユーロの費用と数か月の期間がかかります。代理人はこのサービスを提供しません。
• セキュリティ試験とSBOM：ソフトウェア部品表の生成やセキュリティ試験は技術的要件であり、エンジニアリングチームや外部セキュリティ企業が担当します。代理人の権限には含まれません。
• サポート期間：CRAは製造業者に最低5年間のセキュリティアップデート提供を義務付けています。単発プロジェクトではなく製品ラインとしての保守予算を計上してください。
• インシデント対応：代理人は脆弱性報告を転送しますが、調査・報告・修正は製造業者の責任です。
• 自動更新や価格上昇：一部の提供者は更新価格を公開せず、無通知で料金を上げる場合があります。契約前に更新価格を必ず書面で確認してください。

以下は提供者ごとの含まれるものと除外事項の概要（判明している範囲）です：

予期せぬ費用を避けるため、除外事項、解約通知期間、追加手数料の有無を必ず確認してください。

指名の流れ：ステップバイステップ

CRA認定代理人の指名はシンプルですが、コンプライアンス確保のため慎重に進める必要があります。手順は以下の通りです：

1. 適用範囲の確認：自社がEU外に拠点を置き、デジタル要素を含む製品をEU市場に投入しているか確認。EU内製造業者は代理人不要。
2. 方法の決定：CRA認定代理人を指名するか、輸入業者や販売業者に代理人役を任せるか決定。書面で合意が必要。
3. 提供者の選定：公開価格、サービス範囲、透明性を比較。含まれるもの・除外事項の書面確認を依頼。
4. 代理権限の署名：提供者が通常電子署名で指名書を発行。範囲と法人格が明記されていること。
5. 証明書の受領：QRコードや公開検証ページ付きの指名証明書を取得し、技術文書やコンプライアンスファイルに添付。
6. 文書の更新：代理人情報を技術文書、運用マニュアル、調達資料に追加。
7. 報告準備：第14条の24時間以内脆弱性報告に対応できる体制を整備。代理人とENISAプラットフォームへの連絡方法を確認。

今日のチェックリスト：

1. CRA対象製品のポートフォリオを把握
2. EU販売チャネル（直販、マーケットプレイス、販売業者）を特定
3. 代理人役を誰にするか決定（必要な場合）
4. 提供者の価格、範囲、更新条件の書面確認を依頼
5. 脆弱性報告体制を整備し担当者を割り当て

適時の指名と明確な文書化は、市場アクセス遅延や規制措置回避に不可欠です。

違反時のリスクと罰金

CRAの代理人指名義務違反は重大な結果を招きます。第53条により、指名義務を怠った場合や報告・文書義務を満たさない場合、最高1500万ユーロまたは世界年間売上高の2.5%の罰金が科されます。

違反リスクには以下が含まれます：

• 規制罰金：代理人未指名、脆弱性報告期限遅延、文書不備に対し高額罰金が科される。
• 市場アクセス遅延：代理人不在で調達や認証、販売サイクルに遅れが生じ、購入者や当局からのコンプライアンス証明要求に応えられない。
• インシデント対応失敗：市場監視やCSIRTの要求に期限内対応できず、追加罰則や評判損失のリスク。
• 調達障壁：大手購入者や販売業者は有効な代理人指名がない製造業者との取引を拒否する可能性。
• 責任は製造業者に残る：代理人は連絡窓口であり、製品の適合性やセキュリティ、インシデント対応の法的責任は製造業者が負う。

リスク軽減には、指名の文書化、報告体制の強化、コンプライアンスファイルの最新化が不可欠です。代理人は遅延や誤解を防ぐ役割であり、製品の責任を肩代わりするものではありません。

判断マトリックス：CRA認定代理人は必要か？

以下のマトリックスでCRA認定代理人の指名が必要か判断してください：

マーケットプレイスの場合は必ず書面で輸入業者としての役割を確認してください。そうでなければ代理人指名が必要です。

提供者が通常言わないこと

CRA代理人の提供者がマーケティング資料であまり触れない点があります：

• 権限の制限：第18条の代理権限は代表のみであり、適合性評価、SBOM、インシデント対応は含まれません。これらを含むとする主張は誤解を招きます。
• 更新価格：多くの提供者は更新価格を公開せず、無通知の値上げが起こり得ます。契約前に更新条件を必ず書面で確認してください。
• 責任の所在：代理人は製品の適合性やセキュリティインシデントの法的責任を負いません。責任は製造業者にあります。
• 解約通知と切替条件：契約終了や代理人切替の条件が不明瞭な場合があります。契約前に詳細を確認してください。
• 追加手数料：特定のリクエストや緊急対応に追加料金を請求する場合があります。適用の有無を必ず確認してください。
• 言語と対応時間：多言語対応や営業時間外対応の有無は提供者により異なります。REP27は24時間有人デスクを提供していますが、他は異なる場合があります。

透明性が重要です。除外事項、制限、契約条件の完全なリストを請求してから決定してください。

現実的なシナリオ：どのルートを選ぶべきか

• 米国のSaaS企業がEU企業向けに販売：EU市場にデジタル製品を投入する非EU製造業者として、CRA認定代理人の指名が必要です。GDPR第27条代理人も必要で、REP27のように両方をバンドル提供するサービスを利用すると、連絡窓口が一本化され、更新価格も明確で費用対効果が高いです。
• 中国のAmazon販売者：Amazonが輸入業者として機能する場合は別途CRA代理人は不要です。ただし直接販売や輸入業者でないマーケットプレイス経由の場合は代理人指名が必要です。マーケットプレイスの役割を必ず書面で確認し、コンプライアンスの抜けを防ぎましょう。
• 英国のオンラインショップがEU消費者向けにIoT製品を販売：ブレグジット後、英国は非EUとみなされます。直接販売や代理人役を担わない販売業者経由の場合はCRA認定代理人の指名が必要です。販売業者や輸入業者が自社名義でEU市場に製品を投入する場合は、その者が代理人となれます。

いずれのケースも、指名の文書化、技術ファイルの更新、24時間以内の脆弱性通知体制の準備が重要です。