直接の答え：プロダクトマネージャーは開発スケジュールの中で、製品シリーズごとにどの法規制を満たすか、どの評価経路をとるか、発売前にどの文書をそろえるかを確認する必要があります。EU 市場に入る製品について、EU CRA 第 13 条は、製造者が市場に出す前に技術文書と適合性評価を終え、EU 適合宣言を作成して CE マーキングを付すことを求めています。発売時には悪用可能な既知の脆弱性がなく、セキュアなデフォルト設定であること、そしてサポート期間中は脆弱性に有効に対応することが必要で、サポート期間は原則 5 年以上、想定使用期間がそれより短い場合は想定使用期間です。製品に高リスク AI が含まれる場合、EU AI 法第 16 条は提供者に、品質マネジメントシステム、適合性評価、適合宣言、CE マーキング、登録を求めています。自社ブランド、ODM、OEM では役割と義務が異なるため、まず役割を整理します。
発売前に確認すること（EU CRA）
| 判断事項 | 原文の要点 | プロダクトマネージャーがすること |
|---|---|---|
| 製品区分と評価経路 | 一般製品は内部管理（モジュール A）で自己評価できる。重要製品クラス I で整合規格を完全には適用しない場合、クラス II と重要（クリティカル）製品は第三者の手続きが必要 | 製品シリーズごとに区分を判定し、スケジュールに入れる |
| サポート期間（第 13 条第 8 項） | 5 年以上。想定使用期間が 5 年未満なら想定使用期間 | 企画段階でサポート期間を決め、セキュリティアップデートの資源を手当てする |
| 発売時の状態（附属書 I 第 1 部） | 悪用可能な既知の脆弱性がないこと。セキュアなデフォルト設定 | 脆弱性スキャンとデフォルト設定の確認を発売ゲートにする |
| 脆弱性対応（附属書 I 第 2 部） | 一般的で機械可読な形式の SBOM、セキュリティアップデートによる遅滞ない修正、協調的脆弱性開示の方針 | SBOM とアップデートの仕組みを製品と一緒に提供する |
| 発売前の文書（第 13 条第 12 項） | 第 31 条の技術文書を作成し、第 32 条の適合性評価を行い、第 28 条に基づく EU 適合宣言と第 30 条に基づく CE マーキング | 技術文書と評価を発売のマイルストーンに入れる |
| 時期 | 第 14 条の報告義務は 2026 年 9 月 11 日から適用。その他の主要な義務は 2027 年 12 月 11 日から全面適用 | 2027 年 12 月 11 日以降に発売する製品は、すべての要求を満たす必要がある |
要求事項ごとに：プロダクトマネージャーが判断すること、発売前に終えること、期間
EU サイバーレジリエンス法（CRA）
- 最初に判断すること：製品が CRA の対象か（例えば型式認証を受けた車両部品は除外）、どの区分か、自社ブランド、ODM、OEM のどの役割か。
- 発売前に終えること：附属書 VII の技術文書、適合性評価、EU 適合宣言と CE マーキング、脆弱性対応プロセスと SBOM。
- 期間：製品区分と既存の基盤によって異なり、無料診断の後に見積もりを提示します。
- 詳しく：EU CRA 対応支援、CRA のスケジュール、CRA の予算、CRA は誰が主導するか
EU AI 法
- 最初に判断すること：製品に含まれる AI システムの EU AI 法上の役割（提供者か導入者か）とリスク区分。
- 高リスク AI の提供者がすること（第 16 条）：第 2 節の要求を満たす、第 17 条の品質マネジメントシステムを整える、発売前に第 43 条の適合性評価を行う、EU 適合宣言を作成する、CE マーキングを付す、第 49 条第 1 項に基づき登録する。
- 期間（サービスページ記載）：高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月。
- 詳しく：EU AI 法、EU AI 法コンサルタントの選び方
ISO/IEC 29147 と 30111 脆弱性の開示と対応
- プロダクトマネージャーにとっての意味：CRA が求めるのは結果で、協調的脆弱性開示の方針、報告の連絡先、修正、そしてセキュリティアップデートの提供後に修正済み脆弱性の情報を公開することです。29147 は報告の受付と公表を、30111 は内部での検証、深刻度評価、修正を扱います。
- 典型的な成果物：security.txt と報告用メールアドレスまたはフォーム、受付と回答の SLA、CVD 方針、公表テンプレートと公開手順。
- 詳しく：ISO/IEC 29147、ISO/IEC 30111
IEC 62443-4-2 産業制御製品
- プロダクトマネージャーにとっての意味：産業制御・OT 製品の技術的なセキュリティ要求です。4-2 の製品認証の前に、組織は 4-1 の SDL 認証を完了する必要があります。IEC 62443 の認証は CRA の適合推定ではありません。
- 期間（サービスページ記載）：4-2 の製品認証は 4〜8 か月（4-1 を除く）。
- 詳しく：IEC 62443
ISO/SAE 21434 車載製品
- プロダクトマネージャーにとっての意味：車両の電気電子システムの構想、開発、生産、運用、保守から廃棄までのライフサイクル全体が対象です。規格自体に公式の認証制度はなく、より重要なのは自動車メーカーの開発監査に通ることです。
- 詳しく：ISO/SAE 21434
ISO 42001 AI マネジメントシステム
- プロダクトマネージャーにとっての意味：顧客が AI 製品のガバナンスの証明を求める場合、ISO 42001 は認証可能なマネジメントシステム規格です。ただし認証は、EU AI 法の適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性を代替できません。
- 期間（サービスページ記載）：ISO 27001 があれば通常 4〜6 か月、ゼロからなら約 6〜9 か月。
- 詳しく：ISO 42001
TISAX のプロトタイプ保護
- プロダクトマネージャーにとっての意味：自動車メーカーがサプライヤーにプロトタイプを渡す場合、TISAX の評価範囲にプロトタイプ保護を含めるよう求めることがあります。2027 年 1 月 1 日以降に委託する評価は VDA ISA2027 が適用されます。
- 詳しく：TISAX 評価支援、TISAX のスケジュール
既存の制度にどう組み込むか
製品開発には既にマイルストーンと発売審査があります。新しい要求は別のプロセスを作るのではなく、既存のゲートに入れます。
| 既存のゲート | 新しい要求の組み込み方 |
|---|---|
| 製品企画と承認 | CRA の区分と評価経路、AI システムのリスク区分を判定し、サポート期間を決める |
| 設計審査 | CRA 附属書 I の必須要件に対するリスク評価、車載製品の TARA |
| 発売審査 | 悪用可能な既知の脆弱性がないこと、セキュアなデフォルト、SBOM、技術文書、適合宣言と CE マーキング |
| 発売後の保守 | 脆弱性対応とセキュリティアップデート、協調的脆弱性開示、CRA 第 14 条の報告 |
積穗科研の進め方
以下は積穗科研自身の説明です。上の質問で、ほかのコンサルタントと同じように私たちも確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
- 製品シリーズごとに判定：製品シリーズごとに CRA の区分とサプライチェーン上の立場を判断し、セキュア設計、SBOM、脆弱性対応を開発プロセスに組み込みます
- 一つの技術文書：CRA、NIS2、EU AI 法の共通要求に基づく一つの文書体系を作り、EU AI 法も適用される製品では一つの技術文書で両方の監査に対応します
- 最初の一歩：初回のメカニズム診断は無料です
関連する質問
- EU CRA のサポート期間はどのくらいにすべきですか？ 第 13 条第 8 項により 5 年以上で、製品の想定使用期間が 5 年未満なら想定使用期間です。サポート期間中は、製品と部品の脆弱性に有効に対応する必要があります。EU CRA 対応支援
- CRA では発売前にどんな文書が必要ですか？ 第 13 条第 12 項により、第 31 条の技術文書を作成し、第 32 条の適合性評価手続きを行い、その後に第 28 条に基づく EU 適合宣言を作成し、第 30 条に基づき CE マーキングを付します。EU CRA 対応支援
- CRA は発売時の脆弱性について何を求めますか？ 附属書 I 第 1 部は、悪用可能な既知の脆弱性がなく、セキュアなデフォルト設定で市場に出すことを求めています。第 2 部は、一般的で機械可読な形式の SBOM、セキュリティアップデートによる遅滞ない修正、協調的脆弱性開示の方針を求めています。ISO/IEC 30111
- CRA はいつから適用されますか？ 第 14 条の報告義務は 2026 年 9 月 11 日から適用され、EU 市場で既に供給されている製品も対象です。その他の主要な義務は 2027 年 12 月 11 日から全面適用されます。CRA のスケジュール
- 製品に高リスク AI が含まれる場合、提供者は何をすべきですか？ EU AI 法第 16 条により、第 2 節の要求を満たし、第 17 条の品質マネジメントシステムを整え、発売前に第 43 条の適合性評価を行い、EU 適合宣言を作成し、CE マーキングを付し、第 49 条第 1 項に基づき登録します。EU AI 法
- IEC 62443 の認証があれば CRA に適合しますか？ いいえ。IEC 62443 の認証は CRA の適合推定を生じません。適合推定は、EU 官報に掲載された整合規格、共通仕様、指定された認証スキームからのみ生じます（CRA 第 27 条）。IEC 62443
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。