法務・コンプライアンス責任者と EU CRA：製造者責任、報告義務、ODM 契約をどう分けるか

当社は法的な製造者か？ODM・OEM 契約で CRA の責任をどう分けるか？

同じ製品を自社ブランドでも EU で販売する場合、その部分は製造者です。ODM、OEM、自社ブランドが混在する会社は、製品ラインごとに立場を判定します（サービスページの立場判定は第 13 条、第 19 条〜第 22 条に対応）。

契約審査の枠組み：協力義務を具体的な成果物と期限で書く。サポート期間を製品の想定使用期間と合わせる。相手方の設計や部品が原因の不適合について、責任と補償をどう分けるか。許容できる条件は法律顧問が個別に判断します。

CRA に違反すると、どんな制裁金と当局の措置があるか？

制裁金（第 64 条、いずれか高い方）：

市場措置：CRA は各加盟国の市場監視当局が執行します。不適合製品については、是正措置、市場からの撤去、合理的な期間内のリコールを求めることができます（第 54 条第 1 項）。

第 4 項は法務責任者への注意喚起です。当局に出す資料はすべて確認が必要です。制裁金より前に、顧客の要求と市場参入の問題が先に起きるのが通常です。

報告義務はすでに適用されている。24 時間以内の早期警告は誰が決め、法務は何を準備するか？

第 14 条は 2026 年 9 月 11 日から適用され、2027 年 12 月 11 日より前に EU で販売済みの製品も含みます。

EU に主たる事業所がない製造者は、第 14 条第 7 項の順序でどの加盟国の調整役 CSIRT に通知するかを決め、影響を受ける利用者にも知らせます（第 14 条第 8 項）。欧州委員会のガイダンス案では、2026 年 9 月 11 日より前に悪用を認知した脆弱性は遡って報告する必要はありません。

分担では、報告は製品セキュリティ（PSIRT）が主担当で、法務、カスタマーサポート、経営陣が協力します。法務が事前に準備すること：24 時間以内に送信する権限者、対外説明と利用者への通知の承認手順、「報告しない」と判断したときの記録です。

オープンソースとサプライヤーの部品：調達契約にどんな条項を入れるか？

• 第 13 条第 5 項：第三者の部品（オープンソースを含む）を組み込むときはデューデリジェンスを行います。サービスページは、これをサプライヤー評価項目と調達契約に書き込むことを勧めています。
• 第 13 条第 6 項：部品の脆弱性を見つけたら、その部品の製造者または保守者に通知します。
• サポート期間：製品の想定使用期間に応じて決め、原則として少なくとも 5 年です。各セキュリティ更新は提供後少なくとも 10 年またはサポート期間終了まで、いずれか長い方の期間利用可能にします。

調達契約の枠組み：サプライヤーが SBOM と脆弱性情報を提供する義務と期限、部品のサポート期間が自社が顧客に約束するサポート期間をカバーするか、サポート終了時の通知と代替策、自社の第 14 条報告への協力期限。公開発行会社の調達サイクルには既にサプライヤー管理の統制点があり（内部統制処理準則第 7 条）、条項は既存のサイクルにつなげます。公開発行会社でない企業は任意に参考にできます。

製品事故で顧客や利用者から賠償を求められたら、CRA と新製造物責任指令はどう関係するか？

• CRA は行政法規：制裁は第 64 条の行政上の制裁金と市場措置です。
• 損害賠償：EU の新製造物責任指令 (EU) 2024/2853 はソフトウェアと AI システムを対象に含み、2026 年 12 月 9 日以降に市場に出された製品に適用されます。損害賠償は同指令を国内法化した各加盟国の法律で扱われます。
• 証拠：CRA のリスク評価、技術文書、SBOM、脆弱性対応と報告の記録は、上市時とサポート期間中に何をしたかを示す記録です。欠陥に当たるか、責任をどう分担するかは、裁判所と法律顧問が個別に判断します。

顧客との契約では、保証とセキュリティ更新の約束がサポート期間と一致しているか、責任上限がセキュリティ上の欠陥を除外しているか、上流サプライヤーからの補償条項とつながるかを確認します。

当局や顧客から資料を求められたとき、どの文書をどれだけ保存するか？証明書で代替できるか？

• 技術文書と EU 適合宣言：少なくとも 10 年またはサポート期間のいずれか長い方の期間保存します（第 13 条第 13 項）。
• セキュリティ更新：各更新は提供後少なくとも 10 年またはサポート期間終了まで、いずれか長い方の期間利用可能にします（第 13 条第 9 項）。
• 脆弱性対応と報告の記録：協調的脆弱性開示の方針、脆弱性対応手順、報告訓練の記録は、サービスページに記載された成果物です。

証明書では代替できない：独立した「CRA 証明書」はなく、製品区分に応じた適合性評価と CE マーキングが必要です。ISO 27001 は CRA の整合規格ではなく、IEC 62443 の取得も適合の推定にはなりません。適合の推定は、EU 官報に掲載された整合規格、共通仕様、指定された認証スキームからのみ生じます（第 27 条）。

積穗科研は法務・コンプライアンス責任者の EU CRA をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。積穗は導入支援のコンサルタントで、評価は行いません
• 区分と立場の判定：製品シリーズごとに区分を、製品ラインごとにサプライチェーン上の立場（製造者、輸入者、販売業者。自社ブランド、ODM、OEM）を判定し、組み合わせごとに判定根拠と条文を示します
• 報告の仕組みを先に：第 14 条の 24／72 時間報告と利用者への通知の手順、机上訓練、訓練記録と報告ひな形
• 文書と証拠：SBOM と部品確認の記録、サポート期間の設定根拠、技術文書と EU 適合宣言
• 段階的な委託：実際の修正、試験所、第三者評価の費用は含みません。契約の最終的な法律意見は弁護士が出します
• 実績：2026 年 10 月時点で、EU CRA 適合支援の案件は 6 社（秘密保持契約により社名非公開）
• 最初の一歩：初回のメカニズム診断は無料です

詳しく：EU CRA 適合支援、CRA は誰が主導すべきか、CRA のスケジュール、CRA コンサルタントの選び方、CTO 向けページ、プロダクトマネージャー向けページ