自社製品は EU CRA の対象か？プロダクトマネージャーが最初に判断すべき三つのことは？
CRA の対象はデジタル要素を持つ製品、つまりソフトウェア、ファームウェアを含むハードウェア、製品の機能に不可欠な遠隔データ処理です。製品シリーズごとに判断します。
- 対象かどうか：例えば型式認証を受けた車両部品は除外されます。一般的な SaaS クラウドサービスは CRA の対象外で、NIS2 が適用されます。
- どの区分か：区分は製品の中核機能で決まり、同じ大分類の製品でも区分が分かれることがあります。境界事例は実施規則 (EU) 2025/2392 の技術的記述と一項目ずつ照合します。
- どの立場で市場に出すか：自社ブランドや商標で市場に出せば製造者です。ODM・OEM ではブランド顧客が製造者です。
一社で複数の区分と立場を持つことが多く、組み合わせごとに評価経路が一つ必要です。
製品区分によって発売は遅れるか？評価経路を製品スケジュールにどう組み込むか？
遅れることがあります。違いは第三者が必要かどうかです。
| 製品区分 | 評価経路 |
|---|---|
| 一般製品 | 内部管理（モジュール A）による自己評価が可能 |
| 重要製品クラス I | 整合規格、共通仕様、欧州サイバーセキュリティ認証スキームを適用する場合のみ自己評価可能。それ以外は認証機関（ノーティファイドボディ）が必要 |
| 重要製品クラス II、重要（クリティカル）製品 | 常に第三者評価 |
第三者が必要な場合、期間は認証機関の日程次第で、企業はコントロールできません。2026 年 8 月時点で CRA の整合規格は EU 官報に掲載されておらず、クラス I の製品は今から認証機関を計画に入れる必要があります。サポート期間の長さや発売を遅らせるかどうかは、製品の意思決定です。
発売審査では何を確認するか？製品仕様と技術文書は何をそろえるか？
次の項目を発売ゲートにします。
- 発売時の状態（附属書 I 第 1 部）：悪用可能な既知の脆弱性がなく、セキュアなデフォルト設定であること。
- 脆弱性対応（附属書 I 第 2 部）：一般的で機械可読な形式の SBOM、遅滞ない修正とセキュリティアップデート、協調的脆弱性開示の方針。
- 発売前の文書（第 13 条第 12 項）：第 31 条の技術文書、第 32 条の適合性評価、その後に第 28 条に基づく EU 適合宣言と第 30 条に基づく CE マーキング。
独立した「CRA 認証書」はありません。顧客に示せるのは適合宣言、CE マーキング、そしてその裏付けとなる技術文書です。
サポート期間はどのくらいにすべきか？顧客と販売チャネルにどう表示し約束するか？
サポート期間は製品企画の時点で決める対外的な約束です。
- 期間（第 13 条第 8 項）：5 年以上。想定使用期間が 5 年未満なら想定使用期間。期間中は製品と部品の脆弱性に有効に対応する必要があります。
- 表示（第 13 条第 19 項）：サポート期間の終了日（少なくとも年と月）を購入時に明確に表示します。
- アップデートの保持（第 13 条第 9 項）：期間中に出した各セキュリティアップデートは、10 年以上またはサポート期間終了までのいずれか長い方の間、利用可能にします。
- 提供方法：カスタマイズ製品で事業者と別段の合意がある場合を除き無償で、利用者がとるべき対応の説明を付けます。
サポート期間中の脆弱性対応は毎年発生する継続コストで、一回限りのプロジェクトではありません。
既に販売中の製品も対象か？CRA はいつ出荷を止めうるか？
二つの日付を分けて考えます。
- 2026 年 9 月 11 日：第 14 条の報告義務が適用され、2027 年 12 月 11 日より前に EU 市場に出た製品も対象です。積極的に悪用されている脆弱性や重大インシデントを認識してから 24 時間以内に早期警告、72 時間以内に通知し、ENISA の単一報告プラットフォームから提出します。
- 2027 年 12 月 11 日：その他の主要義務が全面適用されます。対象製品で必須サイバーセキュリティ要件を満たさず、適合性評価と CE マーキングを終えていないものは EU 市場に出せません。必須要件違反の制裁金は最大 1,500 万ユーロまたは全世界年間売上高の 2.5% のいずれか高い方です。
販売中の製品はまず報告手順を整え、2027 年 12 月 11 日以降に発売する製品はすべての要求に沿って準備します。
当社は ODM・OEM。ブランド顧客に何を約束するか？
ODM・OEM の法的な製造者はブランド顧客ですが、顧客は証拠の要求をあなたに回してきます。
| 事業形態 | 顧客がよく求めるもの | 契約で明確にすること |
|---|---|---|
| ODM（自社で設計・製造し、顧客ブランドで販売） | リスク評価、技術文書の素材、SBOM と脆弱性対応の支援 | 範囲、サポート期間、報告協力の期限 |
| OEM（顧客が設計し、自社が製造） | 部品の SBOM、生産側のセキュリティ、部品確認の証拠 | 報告協力の期限 |
同じ製品を自社ブランドでも EU で販売するなら、その部分はあなたが製造者です。顧客の製品区分が高いほど、求められる証拠は多くなります。
積穗科研はプロダクトマネージャーの EU CRA 対応をどう支援するか？
積穗科研は製品シリーズごとに CRA の区分とサプライチェーン上の立場を判断し、セキュア設計、SBOM、脆弱性対応を開発プロセスに組み込みます。サービスページには段階ごとに依頼できる三つの業務が載っています。
- 区分とギャップ診断：対象、区分、評価経路の判断根拠
- SBOM／脆弱性証拠の補強：製品バージョンから部品、判定、処置までの追跡可能な記録
- 技術文書と報告業務の統合：技術文書の対照索引と報告訓練の記録
EU AI 法も適用される製品では、一つの技術文書で両方の監査に対応します。積穗科研は支援コンサルタントで評価は行いません。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。2026-10 時点で、EU CRA（サイバーレジリエンス法）対応支援案件（秘密保持契約により社名非公開）は 6 社です。
詳しく：EU CRA 対応支援、CRA のスケジュール、CRA の予算、CRA は誰が主導するか。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU AI 法：製品の AI は発売前に何を終えるべきか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと IEC 62443-4-2：産業制御製品の認証で発売は遅れるか？
- プロダクトマネージャーと ISO/SAE 21434：車載製品は自動車メーカーの開発監査をどう通るか？
- プロダクトマネージャーと ISO 42001：AI 製品のガバナンス要求に顧客へどう応えるか？
- プロダクトマネージャーと TISAX プロトタイプ保護：ラベルがないと自動車メーカーの案件は止まるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？