Winners コンサルティング
繁中/EN/日本語

CFO × EU CRA 対応支援

CFO から見た EU CRA と EU AI 法：EU 売上のリスク、制裁金、予算をどう組むか？

更新日 2026-11-03

要点

EU CRA は 2027 年 12 月 11 日に全面適用され、適合性評価と CE マーキングを終えていないデジタル製品は EU 市場に出せません。第 14 条の報告義務は 2026 年 9 月 11 日から適用されており、既に上市した製品も対象です。制裁金の上限は、CRA の必須要件違反で 1,500 万ユーロまたは全世界年間売上高の 2.5%、EU AI 法は禁止行為の違反で 3,500 万ユーロまたは 7%、その他の義務の違反で 1,500 万ユーロまたは 3% で、いずれも高い方です。CRA の予算は内部人員、コンサルティング、外部評価、継続コストの 4 区分で組み、最も過小評価されやすいのはサポート期間中の継続コストです。

EU の売上に影響し、まず財務計画に入れるべき日付は？

日付内容
2026 年 8 月 2 日AI 法第 50 条の透明性義務が適用
2026 年 9 月 11 日CRA 第 14 条の報告義務が適用。2027 年 12 月 11 日より前に EU 市場に出た製品も対象
2027 年 12 月 2 日AI 法の独立した高リスク AI システム（附属書 III）の義務が適用
2027 年 12 月 11 日CRA 全面適用：適合性評価と CE マーキングを終えていない製品は EU 市場に出せない
2028 年 8 月 2 日規制対象製品に組み込まれた高リスク AI（附属書 I）が適用

AI 法の期限は規則 (EU) 2026/1744 による改正後のものです。

制裁金の上限はいくらか？年次報告書のリスク事項ではどう扱うか？

  • EU CRA 第 64 条：必須要件の違反で最大 1,500 万ユーロまたは全世界年間売上高の 2.5%
  • EU AI 法 第 99 条：禁止行為の違反で最大 3,500 万ユーロまたは 7%、その他の義務の違反で最大 1,500 万ユーロまたは 3%

いずれも高い方です。制裁金より先に、顧客の要求と市場参入の問題が生じるのが通常です。年次報告書準則第 20 条第 6 款は、国内外の重要な政策や法律の変化が財務・事業に与える影響と対応策の分析を求めており、EU 法規制はこのリスク事項に当たります。年次報告書準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。

CRA や AI 法の制裁金、製品を上市できないリスクについて、財務諸表に引当金を計上すべきか？

IAS 37 では、引当金の認識には三つの条件を同時に満たす必要があります。

  1. 過去の事象の結果として現在の義務（法的または推定的）がある
  2. 義務の決済のために資源の流出が必要となる可能性が高い
  3. 義務の金額について信頼できる見積りができる

満たさなければ引当金は認識しません。偶発負債は財政状態計算書に認識しませんが、資源流出の可能性がほとんどない場合を除き、注記で開示します。

一つ目の条件は、義務が「過去の事象」から生じることを求めています。まだ発生していない違反や市場参入のリスクは、まず年次報告書のリスク事項の分析に入れ、発生した違反や当局の手続があって初めて引当金や偶発負債の判断に進みます。認識、開示、金額は監査人が個別に判断します。

予算をどう分けるか？最も過小評価されやすいのはどこか？

CRA の予算は 4 区分です。

  1. 内部人員：製品セキュリティ、研究開発、法務が投入する時間
  2. コンサルティング：分類と役割の判定、リスク評価、技術文書、脆弱性対応と報告のプロセス
  3. 外部評価：認証機関による評価（第三者評価が必要な場合のみ）とテスト
  4. 継続コスト：サポート期間中の脆弱性対応と報告で、毎年発生する

最も過小評価されやすいのは継続コストで、サポート期間は原則 5 年以上です。複雑さは製品数ではなく、製品シリーズの区分とサプライチェーン上の立場の組み合わせ数で決まります。このページでは費用を記載しません。

自社ブランド、ODM、OEM：法的な製造業者は誰か？契約責任はどう分けるか？

事業形態CRA 上の立場準備するもの
自社ブランド製造業者サポート期間中の脆弱性対応と報告を含む製造業者の義務一式
ODMブランド顧客が製造業者リスク評価、技術文書の素材、SBOM、脆弱性対応の支援。契約で範囲、サポート期間、報告協力の期限を明記
OEMブランド顧客が製造業者部品の SBOM、生産側のセキュリティ、部品検証の証跡。契約で報告協力の期限を明記

同じ製品を自社ブランドでも EU で販売する場合、その部分については自社が製造業者です。

製品が CRA と AI 法の両方の対象になる場合、どの投資を共有できるか？認証で代替できるか？

CRA 第 12 条：製品が CRA 附属書 I の必須要件を満たし、CRA の適合宣言で AI 法第 15 条が求めるサイバーセキュリティ保護水準に達していると記載すれば、AI 法第 15 条のサイバーセキュリティ要件に適合すると推定されます。正確性と堅牢性は含まれません。

  • 共有できるもの：一つのリスク評価、技術文書、適合宣言のサイバーセキュリティ部分
  • 別に予算化するもの：AI のリスク分類、データガバナンス、人間による監督、正確性の検証

どちらの法律にも独立した認証はありません。ISO 27001 は CRA の整合規格ではなく、ISO 42001 の認証は AI 法への適合推定を生みません。サービスページ記載の AI 法の期間は、高リスク AI 対応が通常 6〜9 か月、ISO 42001 認証と統合すると 9〜12 か月です。

積穗科研は CFO の EU CRA と EU AI 法への対応をどう支援するか？

  • 副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。積穗はコンサルタントであり、評価は行いません
  • まず製品が CRA の対象か、どの区分か、どの適合性評価ルートかを判定し、脆弱性対応プロセス、SBOM、附属書 VII の技術文書を整備し、第 14 条の報告手順を準備します
  • 段階的に依頼できます：分類とギャップ診断、SBOM と脆弱性の証跡の補強、技術文書と報告業務の統合。実際の修正、試験所、第三者評価の費用は含みません
  • ISO 42001 と EU AI 法を統合し、一つの文書と証跡を共有します

2026-10 時点で、EU CRA（サイバーレジリエンス法）対応支援案件（秘密保持契約により社名非公開）は 6 社です。詳しく：EU CRA 対応支援、EU AI 法、CRA の予算、AI ガバナンスの予算、CFO 向けページ。無料のメカニズム診断を申し込む

サービス紹介：EU CRA 対応支援無料のメカニズム診断を申し込む

ほかの役割から見たこのサービス

同じ役割のほかのサービス

役割の概要に戻る：CFO はセキュリティ、リスク、コンプライアンスへの投資をどう判断すべきか？8 の要求事項を一つずつ解説

公式情報源