欧州サイバーレジリエンス法 (CRA) の概要と対策

承認：エディタ

欧州サイバーレジリエンス法 (CRA) とは？

欧州サイバーレジリエンス法 (Cyber Resilience Act) は、2024年10月10日にEUで採択制定された規制です。
デジタル要素を持つ製品（接続デバイスやソフトウェアなど）が、そのライフサイクル全体を通じて厳しいサイバーセキュリティ要件を満たすことを目的としています。
また、市場に提供されるデジタル要素を持つ製品のサポート期間に関する透明性を向上させるなど、ユーザーがデジタル要素を持つ製品を選択および使用する際にサイバーセキュリティを考慮できる条件を整備することも目的としています。

対象となるデジタル要素を持つ製品とは？expand_less

「デジタル要素を持つ製品」とは、ソフトウェア又はハードウェア製品や、製品の機能を果たすために不可欠な距離を隔てた場所でのデータ処理(=遠隔データ処理)のソリューションを指します。
また、個別に市場に出るソフトウェア/ハードウェアの部品も含みます。

CRA はデバイスやネットワークに接続する「デジタル要素を持つ製品」が対象になります。
→ IoTデバイスや産業用制御システムをはじめとして、非常に多くの製品が対象になります。

ただし、個別に規制対象となっている以下のものは対象外になります。

EU 2017/745で規制されている医療機器
EU 2017/746で規制されている体外診断用医療機器
EU 2019/2144で規制されている道路交通安全製品
EU 2018/1139で規制されている民間航空および航空輸送機器
指令2014/90/EUで対象となっている船舶用機器

施行スケジュールexpand_less

CRAは2027年12月11日より全面施行となりますが、製造事業者の報告義務は2026年9月11日より先行して既に施行されており、早急な対応が必要です。
CRAスケジュール

製造業者は何をしなければならないか？

CRA への対応にあたって、製造業者は様々な義務が課されます。特徴的なものを一部ご紹介します。

サイバーセキュリティ要件への準拠expand_less

対象となる製品を、リスクに基づいて適切なレベルのサイバーセキュリティを確保するように設計、開発、製造する必要があります。(=セキュリティ・バイ・デザイン)
例えば、認証やアクセス管理システムなどによる制御メカニズムによって不正アクセスからの保護を行う必要があります。
また、データの保存時や転送時に暗号化などの技術的手段を用いて、データの機密性を保護することも求められます。

ライフサイクルセキュリティの確保expand_less

製品のサポート期間中は、セキュリティアップデートやパッチ適用を継続的に行う必要があります。
設計から保守運用まで、ライフサイクル全体を通じた安全性を提供することが求められます。

技術文書・SBOMの作成expand_less

製品が CRA の必須要件をどのように満たしているかを説明する技術文書を作成する必要があります。
この技術文書には SBOM(ソフトウェア部品構成表)を含める必要があります。SBOM は製造業者やユーザーが脆弱性やサイバーセキュリティリスクを追跡するために役立ちます。

適合性評価と適合宣言expand_less

製品の分類に応じて、自己適合性評価または第三者認証機関による評価を実施する必要があります。
また、適合していると評価されたのちに、EU適合宣言書を発行しCEマークを貼付することで、製品がEUの基準に適合していることを示すことも求められます。

CRA と OPC UA の関係

CRAと国際規格(IEC 62443 / ISO 27000)の対応関係expand_less

CRA のサイバーセキュリティ要件へ対応する、標準規格の1つとして IEC 62443 があげられます。

IEC 62443-4-1に準拠した企画～開発～サービスまでのプロセス（製品ライフサイクルにおけるセキュリティ要件を規定）
IEC 62443-4-2に準拠したHW,SWなどのコンポーネントセキュリティ（具体的なセキュリティ機能の実装を規定）

上記の IEC 62443-4-1, IEC 62443-4-2 は、CRA の技術的な要件に対応する規格です。
また、CRA では組織/管理的な要件も定められており、対応する標準規格としては ISO 27000シリーズや IEC 62443-3-2 などがあります。
CRAと規格の対応

OPC UAが持つセキュリティ機能expand_less

OPC UA はIEC62443-3-3 および IEC 62443-4-2で定義された安全なシステムとコンポーネント設計のための要件に対し以下のような機能を持っています。

ロールベースのアクセス制御 (RBAC)
TLSなどの暗号化プロトコル
認証機能 (例: X.509証明書)

また、OPC UAは、セキュリティ・バイ・デザインの原則を採用しそのアーキテクチャの全ての層でサイバーセキュリティを実現しているため、CRA のサイバーセキュリティ要件に対する理念と一致しています。

OPC UA導入支援のご案内

SRA が提供する OPC UA 導入支援については、下のバナーからご覧ください。

サービスサイトロゴ

サービスサイトヘッダーリンク