EUの新しいサイバーレジリエンス法が製造業に与える影響と対策

EUのサイバーレジリエンス法（CRA）について

2026年9月から、EUにおいてサイバーレジリエンス法（CRA）の報告義務が先行適用される。この法律は、デジタル製品を欧州に輸出する製造業に対し、重大なインシデントや脆弱性の悪用について報告することを求めている。これにより、今後の報告義務が製造業に及ぼす影響は計り知れない。

CRAの背景と目的

CRAは、サイバー攻撃がますます巧妙になる現在の状況に対抗するため、EU域内で流通するデジタル製品のセキュリティを強化することを目的としている。2027年の完全施行に先駆けて、2026年9月からは製品の脆弱性や重大なインシデントに関する報告が義務化される。この法律は、製品がデジタルネットワークに接続されている限り、すべての製造業者に適用されるため、リアルタイムでの対応が求められる。

製造業が直面するリスク

製造業者がCRAへの対応を遅らせると、EUでの市場流通が停止する可能性すらある。ITセキュリティ部門に丸投げせず、自社製品に関しても積極的にリスクヘッジを図る必要がある。特に、子会社や外部パートナーとの協力が不可欠であるが、従来のセキュリティ管理がIT部門から分離している企業が多く、全社的な対応策が不足している。

報告体制の整備が課題

CRAでは報告義務に「24時間以内の通知」「72時間以内の報告」が求められるが、このためには社内における体制が必須である。製品のソフトウェアやファームウェアの脆弱性を把握し、報告するプロセスが未整備な企業が多いため、具体的な対策を講じることが困難だ。これにより、対応が後回しにされ、最終的には法令違反になるリスクが高まる。