CISO が向き合う EU CRA：主導者、24 時間報告、SBOM、予算をどう整理するか

CRA は CISO が主導すべきですか、それとも製品事業部門ですか？

CRA の義務の主体は「製造業者」という法的主体で（第 13 条）、部門は指定していません。

（R＝実行、A＝最終責任、C＝事前相談、I＝事後報告）

製品セキュリティやコンプライアンス部門は専門知識と監督を提供する第 2 線で、CISO は多くの場合ここに位置します。情報システム部門が管理するのは社内システムで、製品セキュリティを当然に任せるべきではありません。一つの作業に A は一人だけとし、「最終責任」と「独立した保証」を同じ人に置かないでください。

CRA 第 14 条の 24 時間早期警告を、既存のセキュリティ対応手順にどうつなぎますか？

積極的に悪用されている脆弱性と重大インシデントは、ENISA の単一報告プラットフォームを通じて、調整役に指定された CSIRT と ENISA に同時に報告します。24 時間以内に早期警告、72 時間以内に通知、最終報告は脆弱性なら是正措置が利用可能になってから 14 日以内、インシデントなら通知から 1 か月以内です。

• 経路を一本加え、別の仕組みは作らない：管控指引第 34 条の手順は自社の情報システムのインシデントを扱い、CRA は製品の脆弱性を扱うため、発動条件と外部窓口は分けて書きます。
• 窓口に権限を：報告するかどうかを決められない窓口では、24 時間を守れません。
• 期限を並べる：一つの事案が GDPR や NIS2 も同時に発生させることがあり、同じインシデント分類の手順で判断します。

公開発行会社でない企業は管控指引の対象外で、任意に参考にできます。

ISO 27001 や IEC 62443 の認証があれば、CRA はクリアできますか？

できません。CRA は「この製品」が附属書 I に適合しているかを見ており、27001 は組織の仕組みを見ます。どの ISO／IEC 認証も CRA 適合と同じではなく、IEC 62443 認証も適合の推定にはなりません。推定は、EU 官報に掲載された整合規格、共通仕様、指定された認証スキームからのみ生じます（第 27 条）。

適合性評価のルート：

• 一般の製品：製造業者が附属書 VIII のモジュール A で自己評価します。
• 重要製品クラス I：整合規格、共通仕様、欧州サイバーセキュリティ認証スキームを適用する場合のみ自己評価でき、それ以外は認証機関が必要です。
• 重要製品クラス II とクリティカル製品：認証機関または欧州サイバーセキュリティ認証の関与が必要です。

2026 年 8 月時点で CRA の整合規格は掲載されておらず、公開済みの規格案に基づいて今から準備すべきです。

SBOM と脆弱性対応はどこまで必要ですか？オープンソースやサプライヤーの部品はどう管理しますか？

附属書 I 第 2 部は次を求めています。一般的で機械可読な形式で、少なくとも最上位の依存関係を含む SBOM（第 1 項）、脆弱性の遅滞ない対応と修正（第 2 項）、CVD 方針の策定と実施（第 5 項）、報告の連絡先の提供（第 6 項）、セキュリティ更新が利用可能になった際の遅滞ない配布（第 8 項）。JRC と ENISA の対応分析では ISO/IEC 30111 が 8 項目中 5 項目に対応し、SBOM、定期的なテスト、更新の安全な配布は別途補う必要があります。

• 部品：オープンソースを含む第三者部品を組み込む際はデューデリジェンスを行い（第 13 条第 5 項）、部品に脆弱性を見つけたらその製造者または保守者に通知します（第 6 項）。
• サポート期間：少なくとも 5 年（想定使用期間がそれより短い場合はその期間）、期間中は脆弱性に対応し続けます。
• スキャン結果：スキャンでの検出をそのまま確認済みの脆弱性とせず、製品バージョンと処置まで追跡できるようにします。

CRA のスケジュールはどう組みますか？圧縮できない工程は？

五つの段階は前後に依存します。分類と役割の判断、サイバーセキュリティリスク評価、基本要求と技術文書の整備、適合性評価、サポート期間中の運用です。

圧縮できない点：第 1 段階を誤ると以降はすべてやり直しになり、第 4 段階で第三者が必要な場合、期間は認証機関の日程次第です。報告の手順は今すぐ機能している必要があり、適合性評価と並行して進め、後回しにしないでください。

予算が限られる中、CISO はどの部分から依頼すべきですか？見積は何で決まりますか？

サービスページでは、CRA の業務を三つに分け、段階的な依頼と項目別の見積に対応しています。

見積を左右する要素：製品シリーズとバージョンの数、入手できる SBOM と修正の証拠、既存のテストと手順の再利用度、文書の言語と評価ルート、顧客要求・社内の人員・期限。実際の修正、試験所、第三者評価の費用は含みません。

積穗科研は CISO の EU CRA 対応をどう支援しますか？

• まず判定：製品が CRA の対象か、どの分類か、どの適合性評価ルートかを判定します。
• プロセスを構築：附属書 I が求める脆弱性対応プロセス、SBOM、附属書 VII の技術文書を整備し、第 14 条の報告手順を準備します。
• 実際の部門へ：責任マトリクスと報告手順を、製品ラインごとに実際の部門と権限に落とし込みます。
• 役割分担：積穗科研はコンサルタントで、評価は行いません（CRA 第 39 条第 4 項は評価機関によるコンサルティングを禁じています）。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。
• 実績：2026-10 時点で、EU CRA（サイバーレジリエンス法）対応支援案件（秘密保持契約により社名非公開）は 6 社です。

関連ページ：EU CRA 対応支援、CRA は誰が主導するか、CRA のスケジュール、CRA の予算、CRA コンサルタントの選び方。無料の仕組み診断を申し込む