直答：CRA コンサルタントに最初に聞くべきことは「何社やったか」ではなく、「自社の製品シリーズごとにクラスを判定し、製品ラインごとにサプライチェーン上の役割を判定できるか」です。CRA の作業量と評価ルートはこの二つで決まり、判定を誤れば後続の技術文書と適合性評価はやり直しになります。次に、法令遵守・プロセス・セキュリティ技術を同時に扱えるか、通報義務がすでに運用できる状態かを見ます。
市場にある CRA 支援の三つの役割
| 役割 | 主にすること | 向いている課題 |
|---|---|---|
| 認証・試験機関 | 製品試験、第三者適合性評価 | 重要製品クラス II、クリティカル製品、または整合規格が使えないクラス I 製品 |
| セキュリティツールベンダー | SBOM、脆弱性スキャン、コード解析などのツール | 技術的証拠の生成と自動化 |
| マネジメントコンサルタント | クラスと役割の判定、制度とプロセスの構築、技術文書と証拠の準備 | 法規判定から審査可能な制度までの全体設計 |
三者は役割が異なり、多くの企業は組み合わせて使います。コンサルタントを選ぶときは、相手が三者の中で自分の位置づけを理解しているかを確認してください。
九つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 製品シリーズごとのクラス判定 | 自社の各製品シリーズは、一般、重要クラス I、クラス II、クリティカル製品のどれに当たるか。根拠は何か |
| 製品ラインごとのサプライチェーン上の役割 | 自社ブランド、ODM、OEM の各ラインで、自社は製造者、輸入者、販売者のどれか |
| 法令遵守・プロセス・技術の同時カバー | 法規判定は誰が、制度構築は誰が、技術的証拠の確認は誰が行うか。同じチームか |
| 通報義務の運用可能性 | 2026 年 9 月 11 日から適用されている 24 時間早期警告と 72 時間通報に、自社のプロセスは対応できているか |
| 整合規格を待たない | 整合規格はまだ公示されていないが、今は何に基づいて準備すべきか |
| 重なり合う法規の処理 | 無線機器の RED セキュリティ要件、機械規則、AI Act を CRA とどう一緒に設計するか |
| 誰が主導し、外注するか | 実際に案件を担当するのは誰か。どのような資格を持つか。再委託はあるか |
| 実名事例と照会先 | 同業種・同規模の実名事例や照会可能な顧客を示せるか |
| 見積範囲の明確さ | 見積に含まれる成果物は何か。含まれないものは何か。追加費用はどう計算するか |
外部コンサルタントが必要になる場合
製品が複数のクラスにまたがる、自社ブランドと ODM・OEM ラインが併存する、あるいは製品が重要クラス I 以上に当たる場合、クラスと役割の判定や評価ルートの設計は最も誤りやすく、外部コンサルタントの効果が最も高くなります。製品がすべて一般クラスで、成熟したセキュア開発プロセスと SBOM がすでにある場合は、外部リソースを判定と重要な節目の確認に集中させればよいでしょう。製品が重要クラス II またはクリティカル製品で、第三者評価だけが欠けている場合は、通知機関や試験所に直接依頼してください。SBOM や脆弱性スキャンなどの技術的証拠だけが必要なら、セキュリティツールベンダーのほうが直接的な場合があります。
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。現在 6 社が積穗科研の CRA コンサルティング支援を受けています。
- 製品シリーズごとのクラス判定：CRA 附属書 III・IV および実施規則 (EU) 2025/2392 の技術的記述に基づき項目ごとに判定します
- 製品ラインごとのサプライチェーン上の役割：ラインごとに判定し、ODM・OEM の契約条項について提案します
- 法令遵守・プロセス・技術の同時カバー：三つの専門性が同一チームにあり、一つの証拠セットで CRA と他の法規に対応します
- 通報義務の運用可能性：脆弱性・インシデント通報手順を優先して構築し、適合性評価と並行して進めます
- 整合規格を待たない：公開済みの規格草案に基づいて準備し、公示後に差分比較と補強を行います
- 重なり合う法規の処理：RED から CRA への移行、機械規則、AI Act 第 12 条との接続を一括で設計します
- 誰が主導し、外注するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません。チームは ISO 主任審査員資格を保有しています
関連する質問
- CRA コンサルティング費用はどう見積もるか 製品シリーズのクラス分布、各製品ラインのサプライチェーン上の役割、両者が生む組み合わせの数、既存プロセスの成熟度によって決まります。CRA の予算をどう見積もるか
- CRA 対応にはどれくらいかかるか 法定の期日と通知機関のスケジュールで決まります。CRA のスケジュールと短縮できないステップ
- 製品に AI 機能がある場合は CRA 第 12 条により、CRA に適合する高リスク AI 製品は、サイバーセキュリティの部分について AI Act 第 15 条への適合が推定されます。ISO 42001 と AI Act
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。