CRA 対応にはどれくらいかかるか、圧縮できないステップはどれか

直答：スケジュールは法規が決めるもので、企業が決めるものではなく、整合規格が正式に公示されるまで待つこともできません。報告義務は 2026 年 9 月 11 日からすでに適用され、その他の主要義務は 2027 年 12 月 11 日から適用されます。今日から逆算すると、2027 年 12 月までに終えるべきことの多くは、すでにクリティカルパス上にあります。

法定の時点

CE マーキングのサイバーセキュリティ根拠が切り替わる：無線機器のサイバーセキュリティ要件は現在、無線機器指令の委任規則 (EU) 2022/30 に基づき、2025 年 8 月 1 日から適用され、EN 18031 シリーズで適合を示すのが一般的です。欧州委員会はこの規則の廃止を採択済みで、2027 年 12 月 11 日から失効し、以後、無線製品のサイバーセキュリティは一律 CRA に基づきます。RED のために行った EN 18031 の作業は無駄になりませんが、2027 年 12 月以降に上市する製品は、技術文書と適合性評価を CRA に基づくものへ切り替える必要があります。これは軌道の切り替えであり、早めに予算に組み込むべきです。

整合規格は重要だが、正式公示を待ってから始めるのでは間に合わない：整合規格に従って設計し評価を完了した製品は「適合推定」を得られ、重要製品クラス I はこれがなければ自己評価ルートを使えません。問題は時間です。2026 年 8 月時点で、EU 官報に公示された CRA 整合規格は一つもなく、主要義務は 2027 年 12 月 11 日から適用されます。製品の設計変更、技術文書の補完、通知機関の検査日程の確保にはいずれも時間がかかり、CE マーキングが関わる製品では特にそうです。正しい進め方は、すでに公開されている規格草案（prEN 40000 シリーズなど）に基づいて今すぐ設計と準備を始め、規格の正式公示後に差分比較と補強を行うことであり、公示後に着手することではありません。

草案に基づいて準備する際、最初に判定すべき二つのこと

• 製品クラス：デフォルト製品は自己評価可。重要製品クラス I は、整合規格、共通仕様、または EU サイバーセキュリティ認証スキームを採用する場合に限り自己評価でき、そうでなければ通知機関が必要。重要製品クラス II と重要インフラ製品は常に第三者評価が必要です。整合規格の公示が遅れている以上、クラス I 製品は今すぐ通知機関を計画と予算に入れるべきです。
• サプライチェーン上の役割：製造者の負担が最も重く、輸入者と販売者は上流の適合を確認する義務があります。自社の名称や商標で上市すれば、製品を他社から調達していても法規上の製造者です。台湾企業に多い ODM、OEM、自社ブランドの混在モデルでは、製品ラインごとに役割が異なり得るため、一つずつ判定する必要があります。

五つの段階は前後に依存する

1. 分類と役割の判定：自己評価か第三者評価かを決め、以降のすべての作業がここから展開します。
2. サイバーセキュリティリスク評価：法規は設計、開発、製造、納入、保守の各段階で考慮することを求めています。
3. 基本要件と技術文書の補完：附属書 I に従って実装し、リスク評価と採用した規格を技術文書に記載します。
4. 適合性評価：自己評価、または通知機関の検査日程への組み込み。
5. サポート期間の運用：脆弱性対応と報告を、サポート期間終了まで継続します。

圧縮できないところ：第 1 段階を誤れば以降をすべてやり直すことになります。第 4 段階で第三者評価が必要なら、スケジュールは通知機関の予定次第で、企業の管理下にはありません。報告プロセスは今すぐ運用できる状態でなければならず、猶予期間はありません。

AI 機能を持つ製品は AI Act のスケジュールを重ねる：EU 理事会が 2026 年 6 月 29 日に採択した「AI デジタルオムニバス」により、規制対象製品に組み込まれる高リスク AI は 2028 年 8 月 2 日から、単独の高リスク AI システムは 2027 年 12 月 2 日から適用されます。製品が CRA と AI Act の両方の規制を受ける場合、第 1 段階で AI のリスク等級も併せて判定し、第 2 段階のリスク評価にデータポイズニングや敵対的攻撃など AI 特有の脅威を含め、技術文書で二つの法規を一度にカバーすべきです。

積穗科研の見方

最もよくある誤解は、2027 年 12 月を唯一の期限と考えることです。報告義務はすでに始まっており、上市済み製品にも適用されます。この部分は後回しにせず、適合性評価と並行して最優先で構築すべきです。