【CE基礎特集】
近年、IoT機器やネットワーク接続機能を持つ製品の普及に伴い、サイバーセキュリティへの関心が急速に高まっています。
EU向け製品の認証対応を進める中で、「CRAという新しい規則があるらしい」「CEマークとの関係はありますか？」といったお問い合わせをいただく機会も増えてきました。
CRAは比較的新しい法規制であり、これからEU市場へ製品を投入する企業にとって重要なテーマとなります。
今回は、EUのサイバーセキュリティ規則である「CRA（Cyber Resilience Act）」について、その概要や対象製品、実務上のポイントを分かりやすく解説します。
CRAとは
CRAとは、「Cyber Resilience Act」の略称で、日本語では「サイバーレジリエンス法」と呼ばれています。
デジタル機能を持つ製品に対して、サイバーセキュリティ要件を定めたEU規則です。
従来のEU法規制では、製品の安全性や電磁環境適合性に重点が置かれていましたが、近年のサイバー攻撃の増加を背景に、新たなセキュリティ要件が求められるようになりました。
CRAは、製品が市場に投入される前だけでなく、販売後も継続的なセキュリティ確保を求める点が大きな特徴です。
なぜCRAが必要なのか
インターネットに接続される機器が増える一方で、サイバー攻撃の被害も世界的に拡大しています。
家庭用IoT機器やネットワーク機器だけでなく、産業用設備や制御システムも攻撃対象となるケースが増えています。
こうした課題に対応するため、EUでは製品設計段階からセキュリティ対策を組み込む「Security by Design」の考え方を重視しています。
CRAは、その考え方を法的要求事項として定めた規則といえます。
対象となる製品
CRAの対象となるのは、デジタル要素を持つ製品です。
例えば、IoT機器、ネットワーク機器、ソフトウェア製品、スマート家電、産業用機器などが該当します。
従来は機械や電子機器として扱われていた製品でも、ネットワーク接続機能やソフトウェア機能を備えている場合には対象となる可能性があります。
そのため、多くの製造業にとって無関係ではない規則といえるでしょう。
製造者に求められること
CRAでは、製造者に対してサイバーセキュリティリスクの評価を実施することが求められます。
また、既知の脆弱性への対応や、セキュリティアップデートを提供する仕組みを整備する必要があります。
さらに、市場投入後に発見された脆弱性についても継続的に管理しなければなりません。
つまり、安全設計だけでなく、市販後管理まで含めた対応が必要になるのです。
技術文書の整備
CRAに対応するためには、技術文書の整備が重要になります。
リスク評価結果、セキュリティ設計内容、試験結果、脆弱性管理手順などを記録し、適合性を説明できる状態にしておく必要があります。
これはEMC指令やRoHS指令の対応で求められる技術文書と共通する考え方です。
後から説明できるよう、開発段階から文書化を進めることが重要となります。
CEマークとの関係
CRAはCEマーキング制度と密接に関係しています。
対象製品については、CRAの要求事項への適合を確認したうえでCEマークを表示することになります。
つまり、サイバーセキュリティもEU市場で求められる製品適合性の一部となるのです。
今後は安全性や環境規制への対応だけでなく、セキュリティ対応も重要な確認事項になります。
よくある誤解
「IT機器だけが対象」と考えられることがありますが、CRAは幅広いデジタル製品を対象としています。
また、「セキュリティ機能を搭載すれば対応完了」というわけでもありません。
リスク評価、脆弱性管理、アップデート体制、技術文書整備など、製品ライフサイクル全体での対応が求められます。
そのため、開発部門だけでなく品質保証や法規制担当との連携も重要になります。
まとめ
CRAは、デジタル要素を持つ製品に対してサイバーセキュリティ要件を求めるEUの新しい規則です。
対象製品を扱う企業は、リスク評価や脆弱性管理、技術文書整備などを計画的に進める必要があります。
今後のEU市場では、製品性能だけでなくセキュリティ体制も重要な評価ポイントとなるため、早めの準備が重要です。
当社「海外認証PRO」では、CRA適用判断から技術文書整備、CEマーク対応まで総合的にサポートしております。
ご不明な点がございましたら、ぜひお気軽にご相談ください。
次回のコラムでは、「PPWR＆EPRって何するの？」をテーマに解説する予定です。
ぜひご覧ください。
