はじめに

2026年9月11日から、EU サイバーレジリエンス法（CRA）の脆弱性報告義務が先行して適用されます。 悪用が確認された脆弱性を知ったら 24時間以内に早期警告、72時間以内に本通知、という内容です。

CRA 全体の義務が始まるのは2027年12月11日ですが、報告義務だけが1年3ヶ月早く動き出します。 残り約7週間です。

📌 この記事の3行まとめ
  • 9月11日から始まるのは報告義務だけ。 CE マーキングなど本体の義務は2027年12月11日から
  • 対象は「EU 市場で提供される製品」で、作った人がどこにいるかは関係ない。 一方、欧州委員会は「商業活動の過程で供給されていない製品は CRA の対象ではない」と明記している
  • 日本の JC-STAR は任意のラベル制度で、義務ではない。CRA との関係について公式に書かれたものは見つからなかった

1. 📜 CRA とは何か

CRA（Cyber Resilience Act、サイバーレジリエンス法）は、デジタル要素を持つ製品のサイバーセキュリティについて EU が定めた規則です。2024年12月10日に発効しました。

欧州委員会の説明では、対象は EU 市場で提供される（made available on the market）ハードウェアおよびソフトウェア製品で、製造者がどこにいるかを問いません。 製品が対象になる条件として、「デバイスまたはネットワークへの直接的または間接的な、論理的または物理的なデータ接続」を持つことが挙げられています。

つまり ネットにつながる、あるいは何かとデータをやりとりする製品はおおむね範囲に入ると読めます。ベビーモニターからスマートウォッチ、アプリ、コンピュータプログラムまで、と例示されています。

3つの日付

日付 何が起きるか
2024年12月10日 CRA 発効
2026年9月11日 脆弱性・重大インシデントの報告義務が適用開始
2027年12月11日 本体の義務（CE マーキングを含む）が適用開始

手前に来ているのは報告義務のほうです。 設計要件や適合宣言よりも先に、「見つけたら報告する」義務が始まります。

2. ⏱️ 9月11日から始まる報告義務

欧州委員会の公式ページによれば、製造者は次の2つを通知する必要があります。

  • 実際に悪用されている脆弱性（actively exploited vulnerabilities）
  • 製品のセキュリティに影響する重大なインシデント（severe incidents）

期限は3段階

段階 期限
早期警告 認知から 24時間以内
本通知 72時間以内
最終報告 脆弱性の場合、是正措置が利用可能になってから14日以内。重大インシデントの場合は1ヶ月以内

報告先は1箇所にまとめられる

報告のたびに各国の当局へ個別に連絡する、という形にはなりません。公式ページはこう説明しています。

製造者は CRA 単一報告プラットフォーム（SRP）を通じて一度だけ報告します。通知は主たる事業所がある国の CSIRT 宛に行われ、例外的な状況がない限り、同時に ENISA にも共有されます。

最初に通知を受けた CSIRT は、その製品が提供されている他の国の CSIRT へ遅滞なく共有します。この単一報告プラットフォームは、2026年9月11日までに稼働する予定とされています。

💡 ワード解説：CSIRT / ENISA
  • CSIRT … Computer Security Incident Response Team。セキュリティインシデントに対応する組織で、EU 各国に置かれています
  • ENISA … 欧州連合サイバーセキュリティ機関。EU 全体のサイバーセキュリティを担当する機関です

罰則には例外がある

罰則そのものは各国が自国のレベルで定める形です。ただし欧州委員会の要約には、明示された例外が2つあります。

  • 小企業は、24時間の脆弱性報告期限を守れなかったことを理由に制裁金を科されない
  • オープンソースソフトウェア・スチュワードは、CRA 違反について制裁金を科されない

「24時間」という数字だけを見ると身構えますが、期限を1分でも過ぎたら即座に罰金、という設計ではないことが公式資料から読み取れます。

3. 🧑‍🔧 自分は対象になるのか

ここが個人や小規模で作っている人にとって一番知りたいところです。公式資料から答えが出るものと、出ないものがあります。

「商業活動の過程で供給されていない製品」は対象外

欧州委員会の要約に、はっきりした一文があります。

市場で提供されていない製品、すなわち商業活動の過程で供給されていない製品は、CRA の対象ではありません。

CRA の「市場で提供する（making available on the market）」という概念は、商業活動と結びついているということです。趣味で作って自分で使っているもの、友人に渡したものが直ちに規制対象になる、という読み方は公式資料からは出てきません。

ただし「商業活動」の線引きがどこにあるかは、この一文だけでは決まりません。 同人ハードの有償頒布が該当するのか、実費のみの頒布はどうか、といった具体的な判断は、欧州委員会の公式ページには書かれていませんでした。

EU に売っていなければ関係ないのか

CRA が適用されるのは EU 市場で提供される製品です。製造者の所在地は問われませんが、裏を返せば EU 市場に出していない製品は、この規則が想定する対象ではないと読めます。

では、日本の通販サイトで売っていて、EU の個人が個人輸入で買ったら？ この点について、欧州委員会の公式ページには明確な記載が見当たりませんでした。一般論として断定できる状態ではありません。

GitHub に置いたファームウェアはどうなのか

オープンソースについては、CRA に専用の扱いが用意されています。欧州委員会の要約によれば、

  • 商業的に販売されていないフリー／オープンソースソフトウェアには適用除外がある
  • 前文（Recital）18 が、「オープンソースソフトウェアが市場で提供されるとはどういうことか」をさらに明確にしている
  • オープンソースソフトウェア・スチュワードという新しい区分がある。これは「商業活動を意図した特定のフリー／オープンソースソフトウェアの開発を、持続的かつ体系的に支援する法人」を指す
  • そのスチュワードは、CRA 違反について制裁金を科されない

つまり「オープンソースだから全部対象外」でも「公開したら全部対象」でもなく、商業活動との関係で線が引かれている構造です。

GitHub に置いた個人のファームウェアが具体的にどちらに落ちるかは、欧州委員会の公式ページの記述だけでは判断できません。 ここは Recital 18 の本文に当たる必要があります。

⚠️ ここまでで分かること・分からないこと

公式資料から読み取れること

  • 対象は EU 市場に出される製品で、作り手の所在地は問われない
  • 商業活動の過程で供給されていないものは対象ではない
  • オープンソースには専用の扱いがあり、スチュワードは制裁金の対象外
  • 小企業は24時間の報告期限について制裁金を科されない

読み取れなかったこと

  • 「商業活動」の具体的な線引き（有償頒布・実費頒布・投げ銭）
  • 個人輸入で EU に渡った場合の扱い
  • 個人が GitHub で公開しているファームウェアの位置づけ

大手メーカーは何を言っているか

Raspberry Pi は2026年6月24日に、CRA について公式ブログを出しています。自社製品の多くが CRA の範囲に入るとしたうえで、産業オートメーション、スマートビル、エッジコンピューティング、医療監視機器、小売システムといった用途を挙げ、セキュアブート、暗号化ストレージ、堅牢な更新機構、Product Information Portal での情報提供などを説明しています。「コンプライアンスはサプライチェーン全体で分担される責任である」とも書かれています。

Raspberry Pi のこの記事が想定しているのは、同社の製品を組み込んで製品を作る事業者です。メイカーやホビイスト、オープンソースの公開者、再販者については触れられていません。個人開発者の疑問は、大手の発信では埋まらないという状況になっています。

4. 🇯🇵 日本の JC-STAR はどうなっているか

日本にも IoT 製品のセキュリティに関する制度があります。JC-STAR です。

制度の概要

項目 内容
正式名称 セキュリティ要件適合評価及びラベリング制度（JC-STAR）
英語名 Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements
運用主体 IPA（独立行政法人 情報処理推進機構）
経緯 経済産業省の「IoT製品に対するセキュリティ適合性評価制度構築方針」（2024年8月23日）に基づく
運用開始 2025年3月25日（★1 の申請受付開始）
性質 任意の制度。参加は義務ではない

★のレベルは4段階

レベル 内容 評価方法
★1 すべての IoT 製品に共通する最低限のセキュリティ要件 ベンダによる自己適合宣言
★2 ★1 に加えて、製品類型ごとの要件 ベンダによる自己適合宣言
★3 政府調達・重要インフラでの利用を想定した要件 第三者評価
★4 最も高い保証レベル 第三者評価

現在、★1 と ★2 が自己適合宣言の形で運用中です。★3・★4 は整備が進んでいる段階で、2026年6月12日に「通信機器★3適合要件」と「ネットワークカメラ★3適合要件」が公表されています。

費用と有効期間

IPA の申請手続きページには、次のように書かれています。

★１（レベル１）での申請手数料は 198,000円（税込） です。適合基準のレベルにより、申請手数料が異なります。

適合ラベルの有効期間は、レベルによらず、適合ラベル発行日から最大2年間です。

★1 の適合ラベルの交付は2025年5月21日に始まりました。IPA の発表によれば、この時点で 11社26申請、型番ベースで477製品がラベルを取得しています。なお制度開始当初は、2025年9月30日までの申請に限り、★1 の手数料を 110,000円（税込） とする導入価格が設けられていました。

CRA との関係

JC-STAR は ETSI EN 303 645 や NISTIR 8425 といった国内外の規格と調和させる方針が示されており、国際的な相互承認も進んでいます。英国（PSTI 法）とは2025年11月6日、シンガポールとは2026年3月18日に相互承認の覚書が結ばれています。

一方、CRA との相互承認や整合について、IPA の公式ページに記載を見つけることはできませんでした。 現時点で、JC-STAR のラベルを取れば CRA の要求を満たす、という関係は確認できません。

✅ 2つの制度の性格の違い
CRA（EU） JC-STAR（日本）
性質 規則。対象なら義務 任意のラベル制度
罰則 あり（各国が規定） 制度上の罰則という枠組みではない
適用範囲 EU 市場に出される製品 参加した製品
評価 適合性評価（製品区分による） ★1・★2 は自己適合宣言、★3・★4 は第三者評価

「義務」と「任意」という、性格の異なる制度が並んでいる状態です。

5. 🧰 今から何をしておくか

対象になるかどうかがはっきりしない段階でも、やっておいて損のないことはあります。いずれも、規制と関係なく製品の質に効く内容です。

連絡先を1つ作る

脆弱性を見つけた人がどこに知らせればいいのかが分からない、という状態は避けたいところです。製品ページやリポジトリに、報告先のメールアドレスを1行書いておくだけでも違います。

何を使っているかを書き出しておく

ファームウェアやソフトウェアがどのライブラリのどのバージョンに依存しているかの一覧です。これがあると、脆弱性の報告が出たときに「自分の製品が影響を受けるか」を即座に判断できます。

💡 ワード解説：SBOM と、回路の BOM との違い

SBOM（Software Bill of Materials）は、ソフトウェアの部品表です。名前は KiCad などで出力する BOM（部品表） と同じ考え方ですが、対象が違います。

BOM（回路） SBOM（ソフトウェア）
並ぶもの 抵抗・コンデンサ・IC などの部品 ライブラリ・パッケージ・その依存関係
使い道 発注、実装 脆弱性が出たときの影響範囲の特定

ENISA（EU のサイバーセキュリティ機関）が2026年6月9日に公開した調査報告は、「CRA が SBOM 採用の加速要因として働いていることを、調査結果が裏づけている」としています。

なお、CRA の技術文書要件の中で SBOM がどう規定されているかの正確な条文は、欧州委員会の公式ページからは読み取れませんでした。

サポート期間を決めておく

欧州委員会の要約によれば、製造者は製品のサポート期間を定め、その間は脆弱性が適切に処理されるようにすることが求められます。「いつまで面倒を見るか」を決めて書いておく、というだけの話ですが、頒布物では曖昧になりがちな部分です。

依存先が汚染される可能性を知っておく

SBOM が効いてくるのは、まさに依存しているパッケージ側に問題が起きたときです。開発環境やパッケージレジストリを狙う攻撃は実際に起きており、その一例は 目に見えないマルウェア「GlassWorm」｜Unicode不可視文字が突いたVS Code拡張とnpmのサプライチェーン にまとめています。

まとめ

  • 2026年9月11日から、CRA の脆弱性・重大インシデント報告義務が先行適用される。 24時間で早期警告、72時間で本通知、最終報告は是正措置から14日以内（重大インシデントは1ヶ月以内）
  • 報告は単一報告プラットフォーム（SRP）に一度だけ。主たる事業所の CSIRT 宛で、ENISA にも同時共有される。SRP は9月11日までに稼働予定
  • CE マーキングを含む本体の義務は2027年12月11日から
  • 対象は EU 市場で提供される製品で、製造者の所在地は問わない。一方で商業活動の過程で供給されていない製品は対象ではないと明記されている
  • オープンソースには専用の扱いがあり、スチュワードは制裁金の対象外。小企業は24時間の報告期限について制裁金を科されない
  • 日本の JC-STAR は任意の4段階ラベル制度。★1・★2 は自己適合宣言で運用中、★1 の申請手数料は198,000円（税込）、ラベルの有効期間は最大2年
  • JC-STAR と CRA の相互承認・整合については、IPA の公式ページに記載を見つけられなかった

よくある質問（FAQ）

Q1. 9月11日までに CE マーキングを取らないといけないのですか？

いいえ。9月11日に始まるのは報告義務です。 CE マーキングを含む本体の義務は2027年12月11日からと欧州委員会が示しています。

Q2. 個人で作ったものを BOOTH などで頒布しています。対象ですか？

欧州委員会の公式資料だけでは判断できません。 欧州委員会は「商業活動の過程で供給されていない製品は CRA の対象ではない」としていますが、有償頒布がどこから「商業活動」にあたるかの線引きは、公式ページには書かれていませんでした。 また CRA は EU 市場で提供される製品を対象とする規則です。国内向けの頒布がそのまま対象になる、と読める記述は見当たりませんでした。

Q3. GitHub で公開しているファームウェアはどうなりますか？

CRA にはオープンソース専用の扱いがあり、商業的に販売されていないフリー／オープンソースソフトウェアには適用除外があるとされています。また「オープンソースソフトウェア・スチュワード」（商業活動を意図した特定の FOSS の開発を持続的・体系的に支援する法人）という区分が設けられ、スチュワードは制裁金の対象外です。ただし、個人が公開しているファームウェアが具体的にどう位置づけられるかは、欧州委員会の公式ページからは読み取れませんでした。 前文18に当たる必要があります。

Q4. 24時間を過ぎたら罰金ですか？

小企業については、24時間の脆弱性報告期限を守れなかったことを理由に制裁金を科されないと欧州委員会の要約に明記されています。罰則そのものは各国が定める形です。

Q5. 日本の JC-STAR を取っておけば CRA の対応になりますか？

そう言える根拠は見つかりませんでした。 JC-STAR は ETSI EN 303 645 や NISTIR 8425 と調和させる方針が示され、英国・シンガポールとは相互承認の覚書が結ばれていますが、CRA との相互承認・整合について IPA の公式ページに記載を確認できませんでした。

Q6. JC-STAR は取らないといけないのですか？

任意の制度です。取得は義務ではありません。★1 の申請手数料は198,000円（税込）で、適合ラベルの有効期間はレベルによらず最大2年間です。

Q7. まず何から手を付ければいいですか？

対象かどうかがはっきりしなくても、脆弱性の連絡先を1つ用意する、依存しているライブラリとバージョンを書き出しておく、サポート期間を決めて書いておくの3つは、規制と関係なく効きます。

関連記事

参考

本記事は法令の内容を公式資料にもとづいて整理したものであり、法的助言ではありません。個別の判断は専門家にご相談ください。