報告義務は2026年9月11日に始まった
EUのサイバーレジリエンス法（Cyber Resilience Act、CRA）は2024年12月10日に発効しました。適用は2段階で、脆弱性とインシデントの報告義務が2026年9月11日から、製品の設計・適合性評価などの主要義務が2027年12月11日から適用されます。欧州委員会は2026年7月27日に実務向けのガイダンスを公表しています。
対象は「デジタル要素を持つ製品」で、ハードウェアとソフトウェアの両方を含みます。製造業でいえば、ネットワークにつながるPLC、産業用PC、エッジAI装置、通信機能付きの検査装置やロボットコントローラ、それらに付属するソフトウェアが該当しうる範囲です。AIを搭載しているかどうかではなく、デジタル要素を持ち、他の機器やネットワークにつながるかどうかが基準になります。
製品の約9割は、製造者自身の評価で済むデフォルトのカテゴリーに入るとされています。残りは「重要」「重大」のカテゴリーで、一部はノーティファイドボディ（認証機関）による第三者評価が必要です。自社製品がどのカテゴリーに入るかを最初に確認します。
4つの義務を製品ライフサイクルで整理する
CRAの義務は、製品を出す前だけでなく、出した後のサポート期間全体にかかります。
| 義務 | 内容 | 製造業での具体例 |
|---|---|---|
| 1. 設計段階の要求 | 既知の悪用可能な脆弱性がない状態で出荷、安全な初期設定、アクセス制御、データの保護 | 初期パスワードの共通化をやめる、不要な通信ポートを閉じる |
| 2. 脆弱性への対応 | サポート期間中の脆弱性の特定・修正、セキュリティ更新の提供 | エッジAI装置のOSやライブラリの更新を配信する |
| 3. 報告 | 悪用されている脆弱性と重大なインシデントを当局に報告 | 出荷済みの装置で攻撃に使われた脆弱性が見つかった場合 |
| 4. 文書化 | 技術文書、リスク評価、ソフトウェア部品表（SBOM）など | AIの推論ソフトが使うOSSの一覧と版を管理する |
義務の詳細と報告の期限は、規則本文と欧州委員会のガイダンスで確認してください。上の表は要点の整理です。
AI搭載製品で特に問題になる3点
ソフトウェア部品の多さ
AIを載せた装置は、推論エンジン、画像処理ライブラリ、Python実行環境など、多数のオープンソースソフトウェアに依存します。SBOMで部品と版を把握していないと、脆弱性が公表されたときに自社製品が影響を受けるかを判断できません。
モデル更新の配布経路
学習済みモデルを更新するための通信経路は、攻撃者から見るとソフトウェアを書き換える入口です。更新ファイルの署名と検証、更新の失敗時に元に戻す仕組みを設計に入れます。
クラウド接続とデータ処理
推論や監視をクラウドで行う製品は、装置とクラウドの間の通信、クラウド側のアクセス管理も製品のセキュリティの一部として扱われる可能性があります。工場側から見た設計はIEC 62443とAI・データ基盤を参照してください。
日本の装置メーカー・部品メーカーの準備
- EU向け製品のうち、デジタル要素を持つものを洗い出し、カテゴリー（デフォルト・重要・重大）を判定する
- 出荷済み製品を含めて、脆弱性の情報を受け付け、評価し、報告する社内の窓口と手順を作る（報告義務はすでに適用中）
- 製品ごとのSBOMを作り、AI関連のライブラリも含めて版を管理する
- サポート期間を製品ごとに決めて明示し、その期間の更新提供の体制とコストを見積もる
- 部品やソフトウェアを仕入れている場合は、仕入れ先にSBOMと脆弱性情報の提供を求める契約条件を入れる
よくある質問
工場内で使うために自社で作ったAIシステムも対象ですか
CRAは市場に出す製品を対象にしています。自社工場で使うために自社で作ったシステムは、一般には対象外と考えられますが、それを他社に販売・提供する場合は対象になりえます。
日本国内向けの製品には関係ありますか
直接の義務はEU市場に出す製品にかかります。ただし、日本で作った部品や装置がEU向けの製品に組み込まれる場合、完成品メーカーから脆弱性情報やSBOMの提供を求められることがあります。
SaaSのAIサービスも対象ですか
CRAは主に製品を対象とし、クラウドサービスの多くは別の規制（NIS2指令など）の範囲とされています。ただし、製品の機能に不可欠な遠隔データ処理は製品の一部として扱われる場合があるため、個別に確認が必要です。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
