CRA はリスクマップ上どんなリスクで、影響度はどう見積もりますか？
「上市上櫃公司風険管理実務守則」第 18 条では、CRA は法令遵守リスクです。製品を EU に輸出する企業にとっては、実質的に市場参入のリスクです。要件を満たさない製品は EU 市場に出せません。
影響度評価の入力：
- 第 64 条の制裁金：必須要件の違反は最大 1,500 万ユーロまたは全世界年間売上高の 2.5%（いずれか高い額）
- 影響を受ける製品ラインと EU での売上
- 顧客の要求と評判の毀損。これらは通常制裁金より先に起こります
この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
2026 年 9 月 11 日から適用される報告義務について、CRO は何を確認すべきですか？
第 14 条の報告義務は 2026 年 9 月 11 日から適用され、2027 年 12 月 11 日より前に EU で上市された製品も対象です（第 69 条第 3 項、第 71 条第 2 項）。積極的に悪用されている脆弱性または重大インシデントを認識した後、単一報告プラットフォームを通じて、24 時間以内に早期警告、72 時間以内に通知します。最終報告は、脆弱性は修正措置が利用可能になってから 14 日以内、インシデントは通知から 1 か月以内です。
CRO が確認すべき三点：
- 報告窓口に事前に権限が与えられているか。なければ 24 時間は守れません
- 既存のセキュリティインシデント報告手順に、第 14 条の外部報告の経路が加えられ、発動条件と外部窓口が分けて書かれているか
- 報告の流れが適合性評価の後回しになっていないか
CRA は誰が主導すべきですか？三つのラインの中で CRO の位置は？
CRA は担当部門を指定しておらず、義務を負うのは「製造業者」という法的主体です（第 13 条）。実務では：
- 最終責任：製品設計と上市の決定権を持つ製品事業部門
- 第二線：製品セキュリティまたはコンプライアンス部門が専門性、監視、牽制を提供
- 第三線：内部監査が独立した保証を提供
CRO とリスク管理推進部門の接点は、CRA を法令遵守リスクとして、既存のリスク管理方針と定期報告に入れることです（守則第 13、15、18 条）。原則として、各業務の最終責任者は一人だけで、「最終責任」と「独立した保証」を同じ人に置かないようにします。
CRA に証明書はありますか？取締役会への適合状況の報告では何を示すべきですか？
独立した「CRA 証明書」はありません。デジタル要素を持つ製品は適合性評価を行い、EU 適合宣言に署名し、CE マーキングを付けます（第 28、30、32 条）。
| 製品区分 | 評価の経路 |
|---|---|
| 一般製品 | 製造業者が附属書 VIII のモジュール A で自己評価 |
| 重要製品クラス I | 整合規格、共通仕様、EU サイバーセキュリティ認証スキームを適用する場合のみ自己評価、それ以外は適合性評価機関 |
| 重要製品クラス II、重要（クリティカル）製品 | 適合性評価機関または EU サイバーセキュリティ認証の関与が必要 |
取締役会への報告は製品ラインごとに、区分の判断、評価の経路、技術文書と脆弱性対応の手順の完成状況を示せます。ISO 27001 は組織レベルのセキュリティマネジメント規格で、CRA の整合規格ではありません。
スケジュール上、自社で管理できないリスクは何ですか？
- 整合規格：2026 年 8 月時点で、CRA の整合規格は EU 官報に掲載されていません。使える整合規格がない重要製品クラス I は、適合性評価機関を計画と予算に入れる必要があります
- 適合性評価機関の日程：第三者評価が必要な場合、期間は適合性評価機関次第で、企業の管理外です
- 無線機器の切り替え：RED の委任規則 (EU) 2022/30 は 2027 年 12 月 11 日に失効し、その後無線機器のセキュリティは CRA に基づきます
- AI 機能：製品が EU AI 法の対象でもある場合、リスク評価と技術文書で両方を扱う必要があります
推奨される進め方は、公開済みの規格案に基づいて今から設計と準備を進め、規格が正式に掲載された後に差分を確認することです。
積穗科研は CRO の EU CRA 対応をどう支援しますか？
- まず判断：製品が CRA の範囲に入るか、どの区分か、どの適合性評価の経路か（型式認証を受けた車両部品は除外など）
- 要件の整備：附属書 I が求める脆弱性対応の手順、SBOM、附属書 VII の技術文書を整え、第 14 条の報告手順を用意します
- 一つの文書体系：CRA、NIS2、EU AI 法の共通要求に基づく単一の文書体系を作り、一度の構築で複数の法令の監査に対応します
- 役割の分離：積穗科研は支援を行うコンサルタントで、評価は行いません。副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。稼働後は 90 日間のフォローアップを行います
EU CRA 対応支援、CRA は誰が主導するか、CRA 対応の期間、CRA コンサルタントの選び方。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？
- CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？
- CRO の ISO 37001 導入：贈賄シナリオと海外リスク、誠実性指標をどう管理するか？
- CRO から見た営業秘密保護：流出シナリオ、合理的な秘密管理措置、KRI をどう設けるか？
- CRO から見た ISO 27001：情報リスクと全社リスクを同じ尺度でどう測るか？
- CRO から見た AI リスク：ISO 42001 と EU AI 法でまず何を決めるか？
- CRO から見た GDPR：制裁金リスク、グループ内移転、漏えいシナリオをどう評価するか？
- CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？
- CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか
- CRO と AI 変革：AI リスクをリスクマップ、KRI、取締役会報告にどう組み込むか