社長・CEO が見る EU CRA：欧州の受注、制裁金、責任者を今どう決めるか

CRA で自社製品が欧州に出せなくなることはありますか？社長・CEO はまず何を棚卸しすべきですか？

対象製品で準備が間に合わなければ、ありえます。2027 年 12 月 11 日以降、必須のサイバーセキュリティ要件を満たさず、適合性評価と CE マーキングを経ていない製品は EU 市場に出せません。

製品ラインに次の二点を確認させます。

• 対象範囲：デジタル要素を持つ製品（ソフトウェア、ファームウェアを含むハードウェア、製品機能に不可欠な遠隔データ処理）は対象です。一般的な SaaS クラウドサービスは CRA の対象外で、NIS2 が適用されます。型式認証を受けた車両の部品は CRA の適用外です（第 2 条第 2 項 (c)）。
• 分類 × 立場：製品シリーズごとに一般製品、重要製品クラス I、クラス II、クリティカル製品のどれか。製品ラインごとに製造業者、輸入業者、販売業者のどの立場で市場に出すか。

作業量を決めるのは製品数ではなく、この組み合わせの数です。

CRA 違反の制裁金はどれほど重いですか？会社が負うのか、社長・CEO 個人が負うのか？

• 制裁金の上限：附属書 I の必須要件、第 13 条・第 14 条への違反は、最大 1,500 万ユーロまたは全世界年間売上高の 2.5% のいずれか高い額（第 64 条）。
• 対象：CRA の義務を負うのは「製造業者」という法的主体です（第 13 条）。執行は各加盟国の市場監視当局が担い、製品が要件を満たさない場合、是正、市場からの撤去、または合理的な期間内のリコールを求めることができます（第 54 条第 1 項）。
• 個人の責任：社長・CEO 個人が別途責任を負うかは、各国の国内法と社内の権限委譲によるため、法律顧問が個別に判断します。

社長・CEO が実務上押さえられるのは、製品の上市判断、サポート期間の決定、報告権限をすべて文書で残し、場当たり的でない制度があることを示せるようにすることです。

CRA はどの部門が担当すべきですか？社長・CEO は誰を任命すべきですか？

CRA は担当部門を指定しておらず、義務は製造業者という法的主体にあります。実務では次のように分けます。

情報システム部門が管理するのは社内システムです。開発プロセス、部品リスト、上市判断は情報システム部門の手元にないため、製品セキュリティを同部門に当然のように任せるべきではありません。任命の原則は二つです。一つの作業に最終責任者は一人だけ。「最終責任」と「独立したアシュアランス」を同じ人に置かないこと。

CRA の報告義務はすでに始まっています。社長・CEO は今何を確認すべきですか？

第 14 条の報告義務は 2026 年 9 月 11 日から適用されており、すでに EU 市場に出ている製品も対象です。製造業者は、積極的に悪用されている脆弱性や重大インシデントを認識したら、ENISA の単一報告プラットフォームを通じて次を行います。

• 24 時間以内に早期警告
• 72 時間以内に通知
• 最終報告：脆弱性は是正措置が利用可能になってから 14 日以内、インシデントは通知から 1 か月以内

社長・CEO が確認すべきことは三つです。

1. 誰が報告を決められるか：窓口に報告の決定権がなければ 24 時間は守れません。権限は事前に与えます。
2. 夜間・休日の連絡体制：期限は認識した時点から数え、勤務時間は関係ありません。
3. 顧客との契約：ODM、OEM 契約の報告協力期限を法定期限と整合させます。

当社は ODM・OEM です。欧州のブランド顧客から CRA 対応への協力を求められています。受注前に何を詰めるべきですか？

まず、法的な製造業者が誰かを整理します。

受注前に、契約で納品範囲、サポート期間、報告協力の期限を明確にします。サポート期間は原則として少なくとも 5 年で、見積もりと人員に影響する継続的な約束です。同じ製品を自社ブランドでも EU で販売する場合、その部分は自社が製造業者です。契約条項は法務部門または法律顧問が確認します。

CRA は取締役会にどう報告し、予算はどう組むべきですか？

予算は四つに分けます：社内人員、コンサルティング費用、外部評価費用（第三者評価が必要な場合のみ）、継続コスト。サポート期間中の脆弱性対応と報告は毎年発生する経常費用で、一回限りのプロジェクトではありません。まずこの人員を確保します。

取締役会報告：CRA を法令遵守リスクとして、既存のリスク管理方針と定期報告に組み込み、別の仕組みは作りません。

• 上場・店頭登録会社リスク管理実務規範第 13、15、18 条：取締役会がリスク管理方針を承認し監督する。推進部門が少なくとも年 1 回とりまとめて報告する。リスク分類に法令遵守リスクを含む。
• 公開発行会社内部統制制度設置処理準則第 3 条：法令遵守は内部統制の目的の一つ。

これらの準則・規範は公開発行会社または上場・店頭登録会社に適用されます。非公開発行会社はこの規範の対象外ですが、任意で参考にできます。

積穗科研は社長・CEO の EU CRA 対応をどう支援しますか？

副社長・取締役クラスのコンサルタントが外注せず最初から最後まで自ら支援します。積穗科研はコンサルティングのみを行い、評価や認証は行いません。

• まず判定：製品が CRA の対象か、どの分類か、どの適合性評価ルートか。製品ラインごとのサプライチェーン上の立場。
• 次に整備：附属書 I が求める脆弱性対応プロセス、SBOM、附属書 VII の技術文書、第 14 条の報告手順。
• 作業範囲は三つのパッケージ：分類とギャップ診断、SBOM と脆弱性の証跡補強、技術文書と報告業務の統合。何を買い、何がすでにあるかが見えます。
• 実績：2026-10 時点で、EU CRA（サイバーレジリエンス法）対応支援案件（秘密保持契約により社名非公開）は 6 社です。

関連情報：EU CRA 対応支援、CRA はどの部門が主導するか、CRA のスケジュール、CRA の予算、CRA コンサルタントの選び方。

無料のメカニズム診断を申し込む