- Regulation (EU) 2024/2847 — Cyber Resilience Act
- Regulation (EU) 2019/1020 — market surveillance
- Directive 2014/53/EU — Radio Equipment, for radio products
誰が選任するか
EU市場にデジタル要素を持つ製品を提供する、EU外に設立された製造業者。『デジタル要素を持つ製品』は、データ接続を含む目的を持つハードウェア — カメラ、ルーター、スマート家電、産業用センサー、ウェアラブル — と、別途提供されるソフトウェア（販売、ライセンス供与、または間接的に収益化されるものを含む）を含む。輸入業者および流通業者は独自の義務を持ち、自らの名前で製品を販売する場合、製造業者の立場に立つ。製造業者がEU外にあり、そこに設立された輸入業者がいない場合、認可代表者は当局が連絡を取る主体となる。
しきい値と適用除外
実質的な義務には売上高や規模の閾値は適用されない。商業活動の範囲外で開発または提供された無料およびオープンソースソフトウェアは対象外であり、オープンソースの管理者には軽い制度が適用される。マイクロ企業および小企業は、一部の文書に関して手続き上の軽減を受けるが、免除はない。医療機器、自動車、民間航空、海洋機器など、同等のセクターサイバーセキュリティ規則にすでに該当する製品は重複を避けるために除外される。
ラベルに必要な記載
製造業者の名称、登録商号または商標、郵送先住所、および認可代表者の同様の情報を製品、包装、または付随文書に記載すること。脆弱性を報告するための単一の連絡先が必要で、見つけやすく、実用的な場合は機械可読であること。2027年12月から適用される適合義務が発生した際のCEマーキング。セキュリティ更新が提供されるサポート期間、更新の提供方法、意図された目的および既知のリスクに関するユーザーへの情報。
マーケットプレイスの項目
専用のマーケットプレイスフィールドはまだ存在しないが、CEマーキングされた商品にすでに使用されているコンプライアンスフィールドがこれらの詳細を含むことになる。EU内の企業調達は、現在、CRA代表者が誰であるか、宣言されたサポート期間が何であるかを尋ねることが一般的になっている。2027年12月が近づくにつれて、マーケットプレイスはサポート期間フィールドを追加することが予想される。
保管すべき文書
設計、開発、脆弱性処理プロセスをカバーする技術文書。サポート期間中に更新されるサイバーセキュリティリスク評価が、附属書Iの重要要件がどのように適用されるかを決定する。一般的に使用される機械可読形式のソフトウェア部品表、最低限、トップレベルの依存関係をカバーする。公に利用可能な協調脆弱性開示ポリシー。脆弱性とその修正の記録。EU適合宣言。製品が附属書IIIまたはIVの重要またはクリティカルなクラスに該当する場合、通知機関の証明書または関連するスキーム認証。
規格と試験
適合評価ルートはクラスによって異なる。デフォルト製品は、重要要件に対する内部管理を使用できる。クラスIの重要製品は、調和された基準が完全に適用される場合に自己評価が可能であり、そうでない場合は第三者が必要。クラスIIは常に第三者が必要。クリティカルな製品は、欧州のサイバーセキュリティ認証が必要な場合がある。CRAの下での調和された基準はまだ開発中であり、現在の自己評価は、標準番号ではなく附属書Iに対する文書化された理由に基づいている。
言語要件
指示およびユーザー情報、サポート期間および脆弱性連絡先を含む、製品が市場に出される各加盟国のユーザーが容易に理解できる言語で提供されること、その言語はその国によって決定される。
いつから適用されるか
重要な日付は3つある。2026年9月11日から、附属書14の報告義務が適用される：積極的に悪用されている脆弱性および重大なインシデントは、単一の報告プラットフォームを通じて報告されなければならない。2027年12月11日から、残りの義務が完全に適用され、CEマーキング、適合評価および重要要件が含まれる。その日以前に市場に出された製品は、一般的に遡及的に適用されないが、実質的に変更された場合を除く。ただし、報告義務は早期に発生する。
文書の保管期間
製品が市場に出された後、少なくとも10年間、またはサポート期間の長さのいずれか長い方の技術文書およびEU適合宣言を保持すること。サポート期間は、期待される使用が短い場合を除き、少なくとも5年間でなければならず、短い期間の理由は文書化されなければならない。
違反した場合
重要要件または製造業者の核心的義務の違反に対して、最大1500万ユーロまたは全世界の年間総売上高の2.5%、いずれか高い方。その他の義務の違反に対しては最大1000万ユーロまたは2%、通知機関または当局に誤ったまたは誤解を招く情報を提供した場合は最大500万ユーロまたは1%。罰金を超えて、当局は市場からの撤回を命じたり、製品の提供を禁止または制限したり、リコールを要求することができる。
執行機関
CRAのために指定された国家市場監視当局、ENISA、および報告義務の調整者として指定されたCSIRT。委員会は、複数の加盟国にわたって重要なサイバーセキュリティリスクを呈する製品に対する執行権限を持つ。
境界線
ほとんどのビジネスソフトウェアは対象となるが、知っておくべき境界がある。EU外でのみ販売される製品は対象外であり、同じソフトウェアをEUユーザーにダウンロード可能にすることは対象となる。SaaSは一般的にCRAの対象外だが、製品の機能に不可欠なリモートデータ処理ソリューションである場合は、製品を通じて対象となる。医療機器、車両、航空はそれぞれ独自のサイバーセキュリティ制度に従う。また、CRAはNIS2と並行して存在し、置き換えるものではない：NIS2はエンティティとしてのサービスに影響を与えるインシデントに関するものであり、CRAは市場に出される製品の脆弱性に関するものである。
よくある質問
- 私たちは小さなソフトウェア会社ですが、これは本当に私たちに適用されますか？
- はい、ソフトウェアがEU内のユーザーに商業的に提供される場合は適用されます。中小企業の免除はなく、手続きの簡素化のみがあります。サイズによって変わるのは、期待される文書の深さであり、義務が存在するかどうかではありません。
- 私たちのSaaSプラットフォームは対象ですか？
- 通常は単独では対象外です。リモートデータ処理ソリューションであり、その欠如がデジタル要素を持つ製品の機能を妨げる場合に対象となり、その場合はその製品の一部として評価されます。
- 今すぐCEマーキングが必要ですか？
- まだ必要ありません。CEマーキングと適合評価は2027年12月11日から適用されます。報告義務は2026年9月11日から適用され、こちらが近い締切であり、ほとんどの製造業者が準備ができていないものです。
- サポート期間とは何ですか？
- セキュリティ更新を提供する期間であり、ユーザーが製品を使用できる期間を反映しなければならず、短い期間が正当化され文書化されない限り、少なくとも5年間でなければなりません。購入前にユーザーに宣言する必要があります。