サイバーレジリエンス法 (CRA)

EUサイバーレジリエンス法（CRA）は、EU市場で販売されるすべてのデジタル要素を含む製品（ハードウェアおよびソフトウェアを含む）に対し、サイバーセキュリティの必須要件を定める欧州連合の規則です。これらの製品がライフサイクル全体を通して高いセキュリティ水準を維持できるようにすることが目的です。

CRAは、デジタル要素を含むすべての製品が対象です。接続されたハードウェア（例：スマートフォン、IoT機器、ルーター）、ソフトウェア（例：オペレーティングシステム、アプリケーション、ソフトウェアライブラリ）など、直接または間接的にデバイスやネットワークに接続可能な製品が範囲となります。対象外となるのは、他の規則で既にカバーされている医療機器、自動車、非商用目的で開発されたオープンソースソフトウェアなどです。Moxaの産業用通信機器製品はCRAの適用範囲に含まれ、産業用セキュアルータ、イーサネットスイッチ、シリアルデバイスサーバー、ネットワーク管理ソフトウェアなど主要カテゴリをカバーしています。

製品の市場投入前にサイバーセキュリティリスクアセスメントを実施し、基本的なサイバーセキュリティ要件の遵守、ライフサイクル全体にわたるセキュリティアップデートおよび脆弱性対応を実施しています。また、技術文書の作成や適合性評価の実施、CEマーキングの貼付、悪用された脆弱性または重大インシデントの関係当局への報告も実施しています。

CRA整合規格は、欧州委員会の要請に基づき、認定欧州標準化機関（CEN、CENELEC、ETSI）が策定する欧州規格です。規則で定められた基本的なサイバーセキュリティ要件を具体的な技術仕様へと落とし込むものであり、サイバーレジリエンス法（CRA）に則るために非常に重要です。標準化作業は進行中であり、既存の国際規格・欧州規格を基盤としています。水平規格の利用可能時期は2026年8月、垂直規格は2026年10月に予定されています。 （出典：www.cencenelec.eu）

製造者は、2026年9月11日から脆弱性およびインシデントを報告する必要があり、それ以外のすべてのCRA要件（市場投入前のコンプライアンスを含む）は2027年12月11日から適用されます。

CRAを遵守しなかった場合、企業は多額の罰金を科される可能性があります。最も重大な違反には、最大1,500万ユーロまたは企業の全世界年間売上高の2.5%のいずれか高い方が適用されます。

CRAとNIS2指令はいずれも欧州におけるサイバーセキュリティの向上を目的としていますが、重点分野が異なります。NIS2指令は、重要インフラおよび重要サービス提供者のネットワーク・情報システムセキュリティに重点を置く一方、CRAはデジタル製品自体のセキュリティ確保と、設計段階からのセキュリティ組み込みに重点が置かれています。

SBOM（Software Bill of Materials:ソフトウェア部品表）は、製品に使用されているすべてのソフトウェアコンポーネントやライブラリを詳細に記載した、ソフトウェアの「材料表」のようなものです。CRAは、メーカーに対して脆弱性対応を円滑に行うためにSBOMの作成を求めていますが、現時点での公開義務はありません。規制執行を容易にするために、完全なSBOMは要請があった場合、認証機関および市場監視当局に提供する必要があります。