【取扱説明書特集】
CEマーキング済み製品も対象になり得る
PLC・タッチパネル・ネットワーク接続を備えた機械をEUへ輸出している担当者の方へ。
「既にCEマーキングには対応している。機械規則への対応も進めている。」―― それでも2027年12月以降、もう一つの規制対応が必要になる可能性があります。
EUサイバーレジリエンス法（CRA：Regulation (EU) 2024/2847）は、デジタルデータの処理・交換が可能な製品全般を対象とする、EU初の水平的サイバーセキュリティ規制です。CRAは機械指令・機械規則とは別個に適用される規則です。CRAの適用対象となる製品は、機械関連法令だけでなく、CRAを含む適用可能なすべてのEU法令への適合を確認した上で、CEマーキングを表示する必要があります。
そしてCRAは、製品に添付する使用者向け情報および説明に含めるべき事項を、附属書II（Annex II）として明文化しています。実務上は、取扱説明書やセキュリティ関連文書、ウェブ上の参照情報として整備することが考えられます。
その中には、脆弱性報告窓口やセキュリティサポート期間の終了日など、従来の機械系取説には存在しない項目が含まれます。
本号では、CRAが取説に求める記載要件を条文ベースで整理し、既存取説との差分と、今から進めるべき準備をお伝えします。
自社の機械は対象か：「デジタル要素を持つ製品」の範囲
参照：Regulation (EU) 2024/2847 第2条・第3条
CRAの適用対象は「デジタル要素を持つ製品（Products with Digital Elements）」です。ポイントは、意図する用途または合理的に予見可能な使用において、他の機器やネットワークと直接・間接のデータ接続を持つかどうかです。
産業機械の文脈では、次のような構成要素の存在が適用対象となる可能性を示します。
- PLC・産業用PC・HMI（タッチパネル操作端末）
- Ethernet／Wi-Fi／Bluetooth等のネットワークインターフェース
- リモート監視・遠隔保守機能
- USBポート等を介したデータ入出力・設定変更機能
- 外部機器またはネットワークとのデータ接続機能を持つ、ファームウェアや組み込みソフトウェア
完全にスタンドアロンで、いかなるデータ接続も持たない機械は直接の適用対象外です。
ただし、複数のハードウェア・ソフトウェアで構成される複合システムを単一製品として上市する場合、システム全体として適用対象になり得ます。
対応期限は2段階：2026年9月と2027年12月
参照：Regulation (EU) 2024/2847 第14条・第71条
| 2024年11月20日 | 官報掲載（OJ L, 2024/2847 |
|---|---|
| 2024年12月10日 | 発効 |
| 2026年9月11日 | 脆弱性・重大インシデントの報告義務が先行適用（第14条） |
| 2027年12月11日 | 完全適用（取説記載要件・適合性評価・CEマーキング |
注意すべきは、報告義務が完全適用より1年以上早く始まる点です。報告期限は、発生事象の種類によって異なります。積極的に悪用された脆弱性を認知した場合は、原則として24時間以内の早期警告、72時間以内の脆弱性通知、是正措置または緩和措置が利用可能となってから14日以内の最終報告が求められます。
一方、製品のセキュリティに影響を与える重大インシデントについては、24時間以内の早期警告、72時間以内のインシデント通知に加え、原則としてインシデント通知後1か月以内の最終報告が必要です。
また、機械規則の適用開始（2027年1月20日）とCRAの完全適用（2027年12月11日）は同じ年に重なります。2027年は機械輸出企業にとって、二つの大型規制対応が集中する年になります。
CRA Annex IIが定める取説の記載要件（9項目）
参照：Regulation (EU) 2024/2847 Annex II ／ 第13条第18項
CRAの第13条第18項は、製品に「使用者への情報および説明（Annex II）」を、利用者が容易に理解できる言語で添付することを製造者に義務付けています。Annex IIの記載項目は以下の9つです。
- 製造者の連絡先情報
名称・住所・メールアドレス等のデジタル連絡先、およびウェブサイト。既存の機械系取説でも通常記載されているが、CRA適合の観点で記載位置と内容を確認する。 - 脆弱性報告の単一窓口と開示方針
製品の脆弱性を報告・受領できる単一窓口（Single Point of Contact）と、協調的脆弱性開示方針（CVD Policy）の参照先。機械系取説には従来存在しない、CRA固有の新規要件。 - 製品の一意識別情報
製品名・型式に加え、一意の識別を可能にする追加情報。製品名・型式・製造番号・ソフトウェアまたはファームウェアのバージョンなど、対象製品を一意に識別できる情報を記載する。 - 意図する目的・セキュリティ環境・セキュリティ特性
製品の意図する目的に加えて、製造者が定めるセキュリティ環境（前提となるネットワーク構成・アクセス制限等）、本質的機能、セキュリティ特性に関する情報を記載する。 - 重大なサイバーセキュリティリスクにつながる状況
意図する使用または予見可能な誤使用に関連して、重大なサイバーセキュリティリスクにつながり得る既知・予見可能な状況を記載する。機械側の安全リスク（残留リスク）とは別立てのセキュリティリスク記載が必要。 - 適合宣言書（DoC）へのアクセス先
DoCにアクセスできるインターネットアドレス（該当する場合）。機械規則に基づくEU適合宣言書の提供方法や、取扱説明書からの参照方法の見直しと一体で整備できる。 - キュリティサポートの種類とサポート期間の終了日
製造者が提供する技術的セキュリティサポートの種類と、脆弱性対応・セキュリティアップデートを受けられるサポート期間の終了日（月・年）。
終了日は購入時点で明確に分かるよう示す必要があり、取説担当者だけでは決められない経営レベルの判断事項。
サポート期間は製造者が自由に短く設定できるものではなく、原則として製品の使用が見込まれる期間を反映し、少なくとも5年間とする必要があります。ただし、製品の使用期間が5年未満と合理的に見込まれる場合は、その期間に対応させることができます。 - セキュアな使用のための詳細手順（またはそのURL）
(a) 初期立ち上げ時および製品ライフタイムを通じたセキュアな使用のための措置、(b) 製品の変更がデータのセキュリティに与える影響、(c) セキュリティアップデートのインストール方法、(d) データの安全な削除を含むセキュアな廃棄方法、(e) 自動セキュリティアップデート既定設定のオフ方法、(f) 他製品への組込みを想定する場合に統合者が必要とする情報 ―― の6点。 - SBOMの参照先（製造者が利用者への提供を決めた場合）
ソフトウェア部品表（SBOM：Software Bill of Materials）を利用者に提供する場合、そのアクセス先。
製造者は、少なくとも製品のトップレベルの依存関係を含むSBOMを作成する必要があります。ただし、SBOMを一般の利用者に開示すること自体は一律の義務ではなく、利用者への提供を決めた場合に、その参照先をAnnex IIの情報として示します。
既存の取説との差分：全面改訂は不要、追加は6領域
参照：CRA Annex II ／ EN ISO 20607:2019 §5 ／ EU 2023/1230
Annex IIの9項目を既存の機械系取説（EN ISO 20607準拠を想定）と突き合わせると、対応の全体像は次のようになります。
| CRA Annex II の記載項目 | 既存の機械系取説 | 必要な対応 |
|---|---|---|
| ①製造者の連絡先 | 記載済みが通常 | 記載位置の確認のみ |
| ②脆弱性報告窓口・開示方針 | なし | 新規追加（窓口はIT部門と協議） |
| ③製品の一意識別情報 | 記載済みが通常 | ソフトウェアバージョンの追記 |
| ④意図する目的・セキュリティ環境 | 一部あり（意図する使用） | セキュリティ環境の追記 |
| ⑤サイバーセキュリティリスク | なし（安全リスクのみ） | 新規追加（独立セクション推奨） |
| ⑥DoCのアクセス先URL | 機械規則対応と共通 | 機械指令から機械規則への対応と一体で実施 |
| ⑦サポート期間の終了日 | なし | 新規追加（経営判断が必要） |
| ⑧セキュリティ運用の詳細手順 | なし | 新規追加（6項目：本文参照） |
| ⑨SBOMの参照先（任意提供時） | なし | SBOM提供方針の決定後に追記 |
表の通り、①③など既存取説でカバーされる項目もある一方、②⑤⑦⑧は機械系取説に存在しない新規領域です。実務上は、既存構成を崩さずに「サイバーセキュリティ情報」の章を新設し、そこにCRA対応項目を集約する方法が、審査対応・改訂管理の両面で扱いやすくなります。
今から進める4つの準備ステップ
ステップ1 適用対象の棚卸し
EU向け製品のデジタル接続仕様（有線・無線・USB・組み込みソフトウェア）を一覧化し、CRA適用対象の候補を特定する。判断に迷う複合システムは専門家・認証機関に確認する。
ステップ2 脆弱性報告体制の整備（〜2026年9月11日）
報告義務の先行適用に向けて、脆弱性受付窓口の設置、社内エスカレーションフロー、ENISAが設置する単一報告プラットフォームを通じた、関係CSIRT等への報告手順を整備する。これは取説記載事項（Annex II 項目②）の前提にもなる。
ステップ3 サポート期間・開示方針の決定（〜2027年前半）
セキュリティサポート期間の終了日と協調的脆弱性開示方針を、製品戦略として決定する。決定内容がそのまま取説の記載内容（項目②⑦）になる。
ステップ4 取説へのCRA章の追加（〜2027年12月11日）
「サイバーセキュリティ情報」章を新設し、Annex II対応項目を集約して記載する。機械規則対応（DoC電子化・デジタル取説）と同じ改訂サイクルで実施すると効率的。
まとめ
- CRA（EU 2024/2847）は2027年12月11日に完全適用。データ接続を持つ産業機械も対象になり得る
- 脆弱性・インシデント報告義務は2026年9月11日から先行適用。取説対応より先に体制整備が必要
- CRA Annex IIは取説への9つの記載項目を規定。脆弱性報告窓口・サポート期間終了日など機械系取説にない項目を含む
- 全面改訂は不要。「サイバーセキュリティ情報」章の新設で対応可能
- 2027年は機械規則（1月）とCRA（12月）の対応が重なる年。並行対応の計画づくりが急務
