直答：CRA の複雑さは製品数では決まりません。決めるのは二つの組み合わせです。各製品シリーズがどのクラスに当たるか、そして各製品ラインがどのサプライチェーン上の役割で上市されるか。同じ企業がデフォルト製品と重要製品を同時に持ち、製造者であると同時に輸入者でもあることは珍しくなく、組み合わせごとに評価ルートと義務が異なります。まずこの組み合わせ表を描き、それから予算を組んでください。
コストを決める五つの要因
| 要因 | 予算に影響する理由 | まず確認すること |
|---|---|---|
| 各製品シリーズのクラス | デフォルト製品は自己評価可。重要製品クラス I は整合規格を採用しない場合に第三者評価が必要。クラス II と重要インフラ製品は常に第三者評価。クラスはシリーズごとに判定し、同じ企業に複数クラスが併存することが多い | 各シリーズの中核機能が附属書 III／IV に当たるか |
| 各製品ラインのサプライチェーン上の役割 | 製造者、輸入者、販売者で義務が異なり、自社ブランドで上市すれば製造者。ODM、OEM、自社ブランドが併存する場合、ラインごとに役割が異なり得る | 各ラインが誰の名称・商標で上市され、EU で誰が輸入するか |
| クラス × 役割の組み合わせ | 複雑さを本当に決めるのは組み合わせの数。同じクラス・同じ役割の製品が十あるより、異なる組み合わせの製品が三つある方が複雑になり得る | すべての組み合わせを列挙する。組み合わせごとに評価ルートが一つ必要 |
| 脆弱性対応能力 | サポート期間中は脆弱性を有効に処理し、期限内に報告しなければならない | 脆弱性の報告と修正のプロセスがすでにあるか |
| サードパーティ部品 | 製造者は統合したサードパーティ部品についてデューデリジェンスの責任を負う | ソフトウェア部品表（SBOM）がすでにあるか |
六つの製品カテゴリと CRA クラスの対応
クラスは製品の中核機能で決まり、同じカテゴリの製品でも異なるクラスになり得ます。
| カテゴリ | デフォルト | 重要製品クラス I | 重要製品クラス II | 重要インフラ製品 |
|---|---|---|---|---|
| 産業用 | PLC、HMI、産業用コントローラ。管理プレーンのないアンマネージドスイッチ | 管理プレーンを持つ産業用スイッチ・ルーター。フィールドバスなどのネットワークインターフェース。VPN 産業用ゲートウェイ | 産業用ファイアウォール、侵入検知・防御システム | — |
| IC チップ | チップ以外の製品やネットワークを保護するセキュリティ機能を持たない MCU・MPU | セキュリティ機能がチップ以外の製品・ネットワークの保護に用いられる MCU・MPU・ASIC・FPGA。ネットワークインターフェースチップ・モジュール | 耐タンパ MCU・MPU（AVA_VAN 2 または 3） | セキュアエレメント（TPM、eUICC を含む）、スマートカード |
| ネットワーク機器 | 管理プレーンのないアンマネージドスイッチ | ルーター、モデム、管理プレーンを持つスイッチ。ネットワークインターフェース。ネットワーク管理システム。VPN 製品 | ファイアウォール、侵入検知・防御システム | — |
| セキュリティ製品 | 稀 | ID・アクセス管理、入退室・生体認証リーダー、パスワードマネージャー、アンチウイルス、SIEM、PKI | ファイアウォール、侵入検知・防御システム。仮想化基盤、コンテナ実行環境 | セキュリティボックスを備えたハードウェア（HSM、物理決済端末など） |
| 工作機械 | 工作機械、CNC コントローラ | 単体販売のルーティング、VPN、ネットワークインターフェースモジュールは別途判定 | 単体販売のファイアウォールモジュールは別途判定 | — |
| IoT・AIoT 機器 | センサー、家電などの一般機器 | 遠隔操作できるスマートホームセキュリティ製品、音声アシスタント、接続型玩具、健康・子ども向けウェアラブル。単体販売の通信モジュール | — | スマートメーターゲートウェイ |
判定の原則：製品全体の中核機能を見ます。Wi-Fi モジュール、OS、ファイアウォール機能を内蔵していても製品全体のクラスは変わりません（ファイアウォール内蔵のルーターはルーターのまま）。ただし製品全体は基本要件を満たす必要があります。単体販売のモジュールは、それ自体のカテゴリで判定します。スイッチは管理プレーンを持つ場合のみクラス I。MCU・MPU のセキュリティ機能は、チップ以外の製品・ネットワーク・サービスの保護に用いられるものが対象です。以上は実施規則 (EU) 2025/2392 に基づき、境界事例はその技術的記述と項目ごとに照合する必要があります。
工作機械はもう一つの法規も見る：機械規則 (EU) 2023/1230 は 2027 年 1 月 20 日から適用され、制御システムは悪意ある、または偶発的な改ざんを防止しなければなりません。これは機械の CE マーキングの要件で、CRA と並行します。
自社ブランド、ODM、OEM：誰が法的な製造者か
| 事業モデル | CRA 上の役割 | 準備すべきこと |
|---|---|---|
| 自社ブランド | 製造者 | 製造者としての全義務：リスク評価、技術文書、適合性評価、CE、サポート期間中の脆弱性対応と報告 |
| ODM（自社が設計・製造し、顧客がブランドを付ける） | ブランド顧客が製造者 | 顧客からリスク評価、技術文書の素材、SBOM、脆弱性対応の支援を求められる。契約で範囲、サポート期間、報告への協力期限を明記する |
| OEM（顧客が設計し、自社が製造） | ブランド顧客が製造者 | 顧客は部品 SBOM、製造側のセキュリティ、部品検証の証拠を求めることが多い。契約で報告への協力期限を明記する |
同じ製品を自社ブランドでも EU で販売するなら、その部分については自社が製造者です。ODM・OEM は法的な製造者ではありませんが、顧客の評価ルートは製品クラスで決まり、クラスが高いほど顧客から求められる証拠は増えます。
予算は四つのブロックに分ける
- 社内工数：製品セキュリティ、研究開発、法務が投入する時間。
- コンサルティング費用：製品分類と役割判定、リスク評価手法、技術文書体系、脆弱性対応・報告プロセスの構築、適合性評価前の準備。この費用が、社内工数をどれだけ節約できるか、一度で仕上がるかを決めます。
- 外部評価費用：通知機関による評価（第三者評価が必要な場合のみ）、試験。
- 継続コスト：サポート期間中の脆弱性対応と報告。毎年発生する経常費用であり、一回限りのプロジェクトではありません。
積穗科研の見方
多くの台湾メーカーが過小評価しているのは継続コストです。CRA は CE を取得して終わりではなく、サポート期間中の脆弱性対応と報告は継続的な義務で、しかも 2026 年 9 月 11 日からすでに上市済み製品に適用されています。予算はまず継続運用の人員を確保し、その上で一回限りの適合性評価を検討すべきです。
三者の分担：法令遵守の面では製品カテゴリと経済的役割を判定し、適合性評価ルートと報告義務を決めます。プロセスの面ではセキュア開発、脆弱性対応、報告の作業手順と記録を整えます。技術の面では SBOM、セキュアデザイン、脆弱性テスト、更新メカニズムを実装します。三つのうち一つでも欠ければ、技術文書は CE マーキングを完全には裏付けられません。
製品に AI 機能がある場合：CRA と AI Act を一緒に進める
製品が CRA の範囲内にあり、同時に AI Act で高リスク AI システムに分類される場合、CRA 第 12 条が橋を架けています。製品が CRA 附属書 I の基本要件（製品面と脆弱性対応プロセス面）を満たし、CRA の EU 適合宣言で AI Act 第 15 条が求めるサイバーセキュリティ保護水準に達していることを示せば、AI Act 第 15 条のサイバーセキュリティ要件への適合が推定されます。ただし正確性と頑健性はこの橋に含まれず、引き続き AI Act に従って対応が必要です。適合性評価は原則として AI Act 第 43 条に従い、重要製品と重要インフラ製品には別途例外規定があります。
予算上の意味：同じリスク評価、技術文書、適合宣言で二つの法規のサイバーセキュリティ部分をカバーできます。AI のリスク分類、データガバナンス、人間による監督、正確性の検証は別途予算化が必要です。ISO 42001 は AI マネジメントシステムの枠組みを提供し、CRA が求めるセキュア開発・脆弱性対応プロセスと一つの管理制度に統合できるため、二つを並行して運用する必要はありません。ISO 42001 と AI Act の予算とスケジュール
コンサルティング費用の組み方
見積もりは評価範囲に基づきます。主に製品シリーズのクラス分布、各製品ラインのサプライチェーン上の役割、両者が生む組み合わせの数、既存のセキュア開発プロセスの成熟度、必要な成果物で決まります。まずメカニズム診断を一度行って範囲を確定し、その上で見積もりを取得し、コンサルティング費用と社内工数を合わせて来年の予算に組み込むことをお勧めします。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。