背景・経緯

本件は日経クロステック（新しいタブで開きます）で報じられている。

2026年9月11日、EU（欧州連合）のサイバーレジリエンス法（Cyber Resilience Act、CRA）の部分適用が開始された。EUに通信機能を持つデジタル製品やソフトウエアなどの製品を出荷する日本企業は、対象製品に「積極的に悪用された脆弱性」や「重大インシデント」が見つかった場合、24時間以内に規制当局へ報告することが義務化された。違反した場合、1500万ユーロ（約26億8000万円）、または前事業年度の全世界年間売上高の2.5％のいずれか高い額が上限の罰則金支払いなどが生じる。

この動きは、サイバー攻撃の増加やデジタル製品の安全性に関する懸念の高まりを受けてのものである。EUは、デジタル製品の安全性を確保するために、CRAを制定し、部分適用を開始した。

日本企業は、EU市場に製品を出荷する場合、CRAの規制に従う必要がある。したがって、サイバーセキュリティー対応能力の向上やSBOMの整備が求められる。

詳細・ポイント

CRAは、デジタル製品の安全性を確保するために、製品の設計、開発、テスト、販売、保守のすべての段階でサイバーセキュリティーを考慮することを義務化する。さらに、製品に重大な脆弱性やインシデントが見つかった場合、24時間以内に規制当局へ報告する必要がある。

SBOMは、ソフトウエアの構成要素をリスト化したものである。SBOMの整備は、サイバーセキュリティー対応能力の向上や脆弱性の管理に重要である。日本企業は、SBOMの整備を進める必要がある。

違反した場合の罰則金は、1500万ユーロ（約26億8000万円）、または前事業年度の全世界年間売上高の2.5％のいずれか高い額が上限である。日本企業は、CRAの規制に従わない場合、重大な経済的損失を被る可能性がある。

業界への波及効果

CRAの部分適用は、デジタル製品の安全性に関する懸念の高まりを受けてのものである。サイバー攻撃の増加やデジタル製品の安全性に関する懸念は、世界中で高まっており、CRAの規制は、デジタル製品の安全性を確保するために重要である。

日本企業は、EU市場に製品を出荷する場合、CRAの規制に従う必要がある。したがって、サイバーセキュリティー対応能力の向上やSBOMの整備が求められる。さらに、違反した場合の罰則金は、重大な経済的損失を被る可能性がある。

実務者のアクション

実務者は、明日からサイバーセキュリティー対応能力の向上に取り組む必要がある。具体的には、SBOMの整備を進め、サイバーセキュリティーに関する教育や研修を受ける必要がある。さらに、CRAの規制に従うために、社内体制の構築やプロセスの整備が必要である。

実務者は、以下のアクションを取る必要がある。

* SBOMの整備を進める

* サイバーセキュリティーに関する教育や研修を受ける

* 社内体制の構築やプロセスの整備を行う