直接の答え：研究開発プロセスに組み込むべき要求は 3 種類あります。第一は社内のもので、台湾の公開発行会社の内部統制は研究開発サイクル、すなわち基礎研究、製品設計、技術開発、試作と試験、研究開発記録と文書保管、知的財産の取得・維持・活用を対象にしなければならず、研究開発成果が営業秘密法で保護されるには合理的な秘密管理措置が必要です。第二は EU 市場に入る製品のもので、EU CRA 第 13 条は製造者に対し、サイバーセキュリティのリスク評価に基づいて計画、設計、開発、生産、出荷、保守の各段階で附属書 I の必須要件を満たし、オープンソースを含む部品の脆弱性に対応することを求めています。第三は顧客と業界の要求で、自動車向けの ISO/SAE 21434 と TISAX のプロトタイプ保護、産業制御向けの IEC 62443-4-1、脆弱性の開示と対応の ISO/IEC 29147 と 30111、AI 製品の ISO 42001 と EU AI 法です。CTO の仕事は、別の仕組みを作るのではなく、これらを既存の開発プロセスに組み込むことです。
規範に定められた研究開発責任者の責任
| 規範 | 原文の要点 | 研究開発責任者にとっての意味 |
|---|---|---|
| 公開発行会社の内部統制処理準則 第 7 条第 8 款：研究開発サイクル | 基礎研究、製品設計、技術開発、試作と試験、研究開発記録と文書保管、知的財産の取得・維持・活用に関する方針と手続き | 研究開発記録、文書保管、知財管理は内部統制の監査対象 |
| 営業秘密法 第 2 条・第 3 条 | 秘密性、経済的価値、合理的な秘密管理措置の 3 要件。従業員が職務上研究・開発した営業秘密は雇用者に帰属 | 研究開発成果を守るには、目に見える合理的な措置が必要 |
| 国家安全法 第 3 条 | 不正な方法で国家コア重要技術の営業秘密を取得することを禁止。国家コア重要技術は認定を経て行政院の公告により効力を生じる | 行政院が公告して認定した技術にのみ適用され、すべての研究開発が対象ではない |
| 台湾地区と大陸地区の人民関係条例 第 9 条 | 政府機関の委託・補助・出資が一定基準に達し、認定された国家コア重要技術に関わる業務に従事する者は、中国大陸に入る際に審査・許可が必要。離職後 3 年未満の者も同じ | 一定基準以上の政府委託・補助・出資プロジェクトの人員にのみ適用 |
| EU CRA 第 13 条第 1・2・6 項 | 附属書 I 第 1 部の必須要件に従って設計・開発・生産する。サイバーセキュリティのリスクを評価し、計画、設計、開発、生産、出荷、保守に反映する。部品の脆弱性を見つけたら部品の保守者に報告し修正する | セキュア設計と脆弱性対応を研究開発プロセスの一部にする |
台湾証券取引所の ESG 評価：研究開発責任者が準備する指標
ESG 評価は 2026 年からコーポレートガバナンス評価に代わるもので、対象は上場・店頭公開企業です。指標 S-10 は、事業目標と結びついた知的財産管理計画と実施状況を開示し、少なくとも年 1 回取締役会に報告しているかを問い、台湾知的財産管理システム（TIPS）、ISO 56001 または類似の規格を導入し第三者認証を受けていれば総合点に 1 点加算します（2026 年度・2027 年度で同じ文言）。
要求事項ごとに：研究開発責任者が判断すること、開発プロセスへの組み込み方、期間
EU サイバーレジリエンス法（CRA）
- 最初に判断すること：製品が CRA の対象か、どの区分か、どの適合性評価の経路をとるか。
- 研究開発プロセスに加えること：リスク評価に基づく附属書 I 第 1 部の必須要件、附属書 I 第 2 部の脆弱性対応プロセス（一般的で機械可読な形式の SBOM を含む）、附属書 VII の技術文書。
- 期日：第 14 条の報告義務は 2026 年 9 月 11 日から適用され、その他の主要な義務は 2027 年 12 月 11 日から全面適用されます。
- 詳しく：EU CRA 対応支援、CRA は誰が主導するか、CRA のスケジュール
IEC 62443-4-1 セキュア開発ライフサイクル
- 研究開発責任者にとっての意味：IEC 62443-4-1 は組織のセキュア開発ライフサイクル（SDL）を定めます。4-2 の製品認証の前に、組織は 4-1 の認証を完了する必要があります。IEC 62443 の認証は CRA の適合推定ではありません（CRA 第 27 条）。
- 期間（サービスページ記載）：4-1 SDL の組織認証は通常 6〜9 か月、4-2 の製品認証は 4〜8 か月（4-1 を除く）。
- 詳しく：IEC 62443、IEC 62443 コンサルタントの選び方
ISO/SAE 21434 車載サイバーセキュリティエンジニアリング
- 研究開発責任者にとっての意味：中心は TARA（脅威分析とリスク評価）で、ここからサイバーセキュリティの目標と要求を導き、開発と検証に一貫して反映します。車両の電気電子システムの構想、開発、生産、運用、保守から廃棄までのライフサイクル全体が対象です。
- 既存プロセスへの組み込み方：ASPICE や ISO 26262 のプロセスがある組織は、既存の開発の枠組みに 21434 を段階的に追加できます。26262 と統合する場合、セキュリティ分析の結果を安全上のハザード分析に反映します。
- 詳しく：ISO/SAE 21434、21434 コンサルタントの選び方
ISO/IEC 29147 と 30111 脆弱性の開示と対応
- 研究開発責任者にとっての意味：29147 は外部からの報告の受付と公表を、30111 は内部での検証、深刻度評価、根本原因分析、修正の開発と試験を扱います。JRC と ENISA の対応付けでは、30111 は CRA 附属書 I 第 2 部の脆弱性対応 8 項目のうち 5 項目に対応し、SBOM、定期的なテスト、アップデートの安全な配布はほかの規格や手順で補います。
- 推奨：二つを対で導入し、引き継ぎ部分に監査上の穴を残さないようにします。
- 詳しく：ISO/IEC 29147、ISO/IEC 30111
ISO 42001 と EU AI 法
- 最初に判断すること：各 AI システムの EU AI 法上の役割（提供者か導入者か）とリスク区分。
- 研究開発が準備すること：高リスク AI の技術文書、データガバナンス、正確性と堅牢性。ISO 42001 の認証は EU AI 法への適合ではありません。
- 期間（サービスページ記載）：EU AI 法の高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月。
- 詳しく：EU AI 法、ISO 42001
営業秘密保護
- 研究開発責任者にとっての意味：研究開発情報には、区分と秘密表示、保護範囲を具体的に示した秘密保持の約定、知る人の限定とアクセス記録、外部への開示前の秘密保持契約が必要です。秘密保持契約に署名しただけでは足りません。
- 期間（サービスページ記載）：通常 3〜6 か月。最後に、退職者による資料持ち出しを想定し、ログから証拠保全まで模擬して穴を直します。
- 詳しく：営業秘密保護制度支援、営業秘密コンサルタントの選び方
ISO 56001 イノベーションマネジメントシステム
- 研究開発責任者にとっての意味：ISO 56001:2024 は ISO 56000 シリーズで初めての認証可能な要求事項規格です。知財は ISO 56005 に基づき、営業秘密保護と連動させます。ESG 評価 S-10 は ISO 56001 の第三者認証で 1 点加算します。
- 期間（サービスページ記載）：通常 6〜9 か月、ISO 9001 または 27001 がある組織は約 5〜7 か月。進行中のイノベーションプロジェクト 2〜3 件で全プロセスを回す必要があり、この段階は短縮できません。
- 詳しく：ISO 56001、ISO 56001 コンサルタントの選び方
TISAX のプロトタイプ保護
- 研究開発責任者にとっての意味：自動車メーカーが求める TISAX の評価範囲にはプロトタイプ保護を含めることができ、レベルは評価目的で決まり自由には選べません。2027 年 1 月 1 日以降に委託する評価は VDA ISA2027 が適用され、プロトタイプ保護を含み 2027 年以降に委託する場合は ISA2027 に合わせて文書を作り直す時間を見込む必要があります。
- 詳しく：TISAX 評価支援、TISAX コンサルタントの選び方
既存の制度にどう組み込むか
公開発行会社の内部統制は研究開発サイクルを既に対象にしています。新しい研究開発の要求は、別の仕組みを作るのではなく、研究開発サイクルの既存の統制点につなげるべきです。内部統制処理準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。
| 規範 | 既にあるもの | 新しい要求の組み込み方 |
|---|---|---|
| 内部統制処理準則 第 7 条第 8 款：製品設計、技術開発、試作と試験 | 設計審査、試作、試験の統制点 | CRA のリスク評価と附属書 I の必須要件、21434 の TARA、62443-4-1 のセキュア開発活動を、既存の設計審査と試験のゲートに入れます |
| 内部統制処理準則 第 7 条第 8 款：研究開発記録と文書保管 | 研究開発記録と文書管理 | CRA 附属書 VII の技術文書、SBOM、脆弱性対応の記録を同じ文書保管ルールで管理します |
| 内部統制処理準則 第 7 条第 8 款：知的財産の取得・維持・活用 | 知財管理と特許のプロセス | 営業秘密の区分、表示、アクセス記録と、ISO 56001 の知財管理を同じプロセスにつなげます |
積穗科研の進め方
以下は積穗科研自身の説明です。上の質問で、ほかのコンサルタントと同じように私たちも確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
- 既存プロセスに組み込む：まず既存の開発の枠組み（ASPICE、ISO 26262 など）を確認し、新しい要求を段階的に追加します
- 対で導入：29147 と 30111 は一緒に、62443-4-1 は 4-2 より先に導入します
- 最初の一歩：初回のメカニズム診断は無料です
関連する質問
- 内部統制の研究開発サイクルには何が含まれますか？ 公開発行公司建立内部控制制度処理準則第 7 条第 8 款により、基礎研究、製品設計、技術開発、試作と試験、研究開発記録と文書保管、知的財産の取得・維持・活用に関する方針と手続きが含まれます。営業秘密保護制度支援
- EU CRA は研究開発プロセスに何を求めますか？ 第 13 条は、附属書 I 第 1 部の必須要件に従って製品を設計・開発・生産し、サイバーセキュリティのリスク評価の結果を計画、設計、開発、生産、出荷、保守に反映することを求めています。オープンソースを含む部品に脆弱性を見つけた場合は、部品の製造者または保守者に報告し修正する必要があります。EU CRA 対応支援
- 従業員が職務で開発した技術の営業秘密は誰のものですか？ 営業秘密法第 3 条により、従業員が職務上研究・開発した営業秘密は雇用者に帰属します（契約に別段の定めがある場合を除く）。保護されるには、第 2 条の秘密性、経済的価値、合理的な秘密管理措置を満たす必要があります。営業秘密保護制度支援
- すべての研究開発成果が国家コア重要技術に当たりますか？ いいえ。国家コア重要技術は認定を経て行政院の公告により効力を生じます。両岸人民関係条例第 9 条の中国大陸入境の審査も、一定基準以上の政府委託・補助・出資を受け、認定された技術に関わる業務に従事する者にのみ適用されます。営業秘密保護制度支援
- IEC 62443-4-1 と 4-2 はどちらが先ですか？ 4-1 です。4-2 の製品認証の前に、組織は 4-1 のセキュア開発ライフサイクル認証を完了する必要があります。IEC 62443
- ISO/SAE 21434 を導入するには開発プロセスを作り直す必要がありますか？ いいえ。ASPICE や ISO 26262 のプロセスがある組織は、既存の開発の枠組みに 21434 を段階的に追加でき、中心は TARA です。ISO/SAE 21434
積穗科研の EU CRA 対応支援における支援実績は？
2026-10 時点で、EU CRA（サイバーレジリエンス法）対応支援案件（秘密保持契約により社名非公開）は 6 社です。
その他の事例は秘密保持契約により業種のみ記載の匿名です。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。