CTO の EU CRA 対応：開発プロセス、SBOM、上市時期で何を変えるか

EU CRA に向けて、CTO はどの開発ゲートに何を加えるべきか？

CRA 第 13 条第 1・2・6 項は、附属書 I 第 1 部の必須要件に従って設計・開発・生産すること、サイバーセキュリティのリスクを評価して計画、設計、開発、生産、出荷、保守に反映すること、部品の脆弱性を見つけたら部品の保守者に報告し修正することを求めています。既存のゲートには次のように組み込めます。

台湾の公開発行会社の内部統制は研究開発サイクルを既に対象にしているため（内部統制処理準則 第 7 条第 8 款）、新しい要求は既存の統制点につなげれば足ります。公開発行会社でない企業はこの準則の対象外で、任意に参考にできます。

上市時期：研究開発のスケジュールを止める期日と工程は？

• 2026 年 9 月 11 日：第 14 条の報告義務は既に適用されており、2027 年 12 月 11 日より前に上市した製品も対象です。報告プロセスは今すぐ機能していなければなりません。
• 2027 年 12 月 11 日：主要な義務が全面適用され、それ以降に上市する対象製品は適合性評価と CE マークが必要です。
• 短縮できない工程：製品分類と役割の判定を誤ると後工程はすべてやり直しになります。第三者評価が必要な場合、期間はノーティファイドボディの日程に左右されます。
• 整合規格：2026 年 8 月時点で、CRA の整合規格は EU 官報に一つも掲載されていません。公開済みの規格案（prEN 40000 シリーズなど）に沿って今から設計し、掲載後に差分を比較します。
• 無線機器：(EU) 2022/30 は 2027 年 12 月 11 日に失効し、以降の無線機器のサイバーセキュリティは CRA に従うため、技術文書の根拠を切り替える必要があります。

サービスページに固定の月数は記載されていません。期間は製品の種類と既存の基盤によって異なり、無料のメカニズム診断の後に個別に見積もります。

SBOM とオープンソース部品：研究開発はどこまで対応すべきか？

• SBOM：附属書 I 第 2 部第 (1) 号は、一般的で機械可読な形式で、少なくとも最上位の依存関係を含む SBOM を求めています。
• 第三者部品のデューデリジェンス：第 13 条第 5 項は、オープンソースを含む第三者部品を組み込む際のデューデリジェンスを求めており、通常は調達またはサプライチェーン部門が研究開発と組んで行います。
• 部品の脆弱性：第 13 条第 6 項は、部品に脆弱性を見つけた場合、その部品の製造者または保守者に通知することを求めています。
• スキャンのヒットは結論ではない：スキャンのヒットをそのまま確認済みの脆弱性とはみなしません。製品バージョンから部品、判定、処置まで追跡でき、影響の有無を VEX または同等の説明で示す必要があります。
• サポート期間：少なくとも 5 年で、その間は附属書 I 第 2 部に沿って脆弱性に有効に対応しなければなりません（第 13 条第 8 項）。

技術文書：附属書 VII で何を準備し、製品バージョンとどう整合させるか？

技術文書は CRA 第 31 条と附属書 VII に基づいて作成し、附属書 I の必須要件に項目ごとに対応させます。第 13 条は、サイバーセキュリティのリスク評価を文書化して技術文書に含め、サポート期間中に更新することも求めています。CTO が押さえるべき点は三つです。

1. 対照索引：要求、リスク、管理策、試験、技術文書の間に対照索引があること。
2. バージョンの一致：抜き取り確認で、文書と製品バージョンが一致していること。
3. 同じ保管ルール：技術文書、SBOM、脆弱性対応の記録を、研究開発記録と文書保管の既存ルールで管理すること。

EU AI 法も適用される製品では、同じ文書構成で AI 法の技術文書にも対応でき、一つの文書で両方の審査を満たして重複作業を避けられます。

エンジニアの人員配置：研究開発、PSIRT、プロダクト管理はそれぞれ何をするか？

CRA は担当部署を指定しておらず、義務を負うのは製造者です。第 13 条と第 14 条で作業を分けると次のとおりです。

最終責任は、製品設計と上市の決定権を持つ製品事業部門に置くべきです。IT 部門は社内システムを担当しており、製品セキュリティを当然に任せるべきではありません。報告窓口には事前に権限を与えておかないと、24 時間以内の早期警告の期限を守れません。

顧客監査で研究開発は何を提出するか？ODM、OEM、自社ブランドで違いはあるか？

自社ブランドで上市すれば製造者となり、すべての義務を負います。ODM と OEM ではブランドを持つ顧客が製造者ですが、顧客は次の証拠を求めてきます。

• ODM：リスク評価、技術文書の素材、SBOM、脆弱性対応の支援。
• OEM：部品の SBOM、生産側のセキュリティ、部品検証の証拠。

契約では範囲、サポート期間、報告協力の期限を明記します。また、独立した「CRA 認証書」はありません。対象製品は適合性評価を経て EU 適合宣言に署名し、そのうえで CE マークを付します。ISO 27001 は組織レベルの情報セキュリティマネジメント規格で、CRA の整合規格ではありません。IEC 62443 の認証そのものも CRA の適合推定にはなりません（第 27 条）。

積穗科研は CTO の EU CRA 対応をどう支援するか？

積穗科研はコンサルタントであり、適合性評価は行いません（CRA 第 39 条第 4 項は評価機関がコンサルティングを提供することを禁じています）。副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。サービスページ記載の進め方は次のとおりです。

1. まず製品が CRA の対象か、どの区分か、どの適合性評価の経路をとるかを判定します。
2. IEC 62443-4-1 のセキュア開発の実践を、SBOM の構築を含めて実装します。
3. 附属書 VII の技術文書、脆弱性対応プロセス、第 14 条の報告プロセスを整備します。
4. 運用開始後 90 日間フォローアップします。

研究開発部門は段階的に依頼することもできます：分類とギャップ診断、SBOM／脆弱性証拠の補強、技術文書と報告業務の統合。

詳しく：EU CRA 対応支援、CTO が研究開発プロセスに組み込む要求、CRA は誰が主導するか、CRA のスケジュール、CRA コンサルタントの選び方。無料のメカニズム診断を申し込む