ソリューション
EUサイバーレジリエンス法(CRA)対応支援
EU向け製品のCRA対応を、現状分析から体制・プロセス構築まで一気通貫でご支援します
欧州に向けて装置、制御盤、PLCなどを出荷するメーカーには、CRAへの対応が求められます。2026年9月からは脆弱性・インシデントの報告義務、2027年12月からは全面適用に向けて対応が必要です。これらはCEマークの取得にも大きな影響を及ぼします。RYODENは、対象製品の整理から現状分析、対応ロードマップの策定のご支援は勿論、PSIRT体制やセキュア開発プロセスの構築など、お客様の状況に応じたご支援も提供します。
EUサイバーレジリエンス法(CRA)とは
EUサイバーレジリエンス法(CRA)は、欧州市場で販売されるデジタル要素を含む製品に対し、製品の設計・開発から販売後の保守まで、ライフサイクル全体を通じたサイバーセキュリティ対応を製造者に求める法規制です。
対象には、ソフトウェアやネットワーク通信機能を備えた製品が含まれます。FA分野では、EU向けに出荷する装置・設備、制御盤、PLC、産業用PC、リモートI/O、通信ゲートウェイなどが対象となる可能性があり、対応が急務となっています。
CRA適用スケジュール
2026年9月11日からは、悪用された脆弱性や製品のセキュリティに影響する重大なインシデントについて、24時間以内に関係当局へ報告する義務が適用されます。そのため、対象製品の特定、脆弱性情報の受付窓口、社内の判断基準、当局への報告手順、PSIRTなどの対応体制を事前に整備する必要があります。
2027年12月11日からはCRAが全面適用され、製品リスクアセスメント、セキュア開発、SBOMによるソフトウェア構成管理、脆弱性の監視・修正、セキュリティアップデートの提供、技術文書およびEU適合宣言の作成などが求められます。CRAへの適合はCEマーキングの前提となるため、要件を満たさない対象製品はEU市場へ上市できません。

CRAで製造業者に求められる義務
-
01
セキュア・バイ・デザイン
製品の設計・開発段階からリスクを評価し、必要なセキュリティ対策を組み込むことが求められます。
-
02
脆弱性ハンドリング
製品出荷後も脆弱性情報を継続的に収集・評価し、修正やアップデート、必要な報告を行うことが求められます。
-
03
組織的な対応
PSIRTなどの対応体制を整備し、脆弱性の受付、判断、報告、インシデント対応の手順を明確にすることが求められます。
こんなお悩みはありませんか
自社製品がCRA対象か分からない
何をしたらCRA対応したと言えるのか、明言できない
SBOM・脆弱性管理・リスクアセスメントの進め方が分からない
CEマーキング対応との関係を整理したい
24時間以内の報告義務のフローがわからない
既存の開発プロセスにCRA対応をどう組み込むか分からない
CRA対応では、まず自社製品の構成や使用しているソフトウェアを整理し、開発から出荷後の保守までの各工程について要求事項との差分を確認します。RYODENは、この結果をもとに優先課題を明確にし、各部門の役割と実施時期を整理した対応ロードマップの策定を支援します。
対象となるお客様
欧州市場に製品を上市・上市予定のメーカー様
産業機器・農機・建機・FA装置メーカー様
通信・ソフトウェア・ファームウェア・クラウド連携機能を持つ製品の開発企業様
CEマーキング取得を目指されているメーカー様
ご支援ステップ
CRAでは製品が満たすべき要件が示されている一方、具体的な対策や実装方法までは詳細に定められていません。そのため、自社の製品にどこまで対策を講じればよいのか判断に迷うケースがあります。 私達は国際標準規格 IEC 62443等を参考に、準拠に必要となるお客様の「組織」と「製品」のセキュリティ対策を支援します。


まとめ
CRAへの対応には、製品のセキュリティ対策だけでなく、脆弱性報告の体制整備、リスクアセスメント、技術文書の作成、出荷後の継続的な対応が求められます。
RYODENでは、お客様の製品や対応状況やご予算に合わせて、報告義務への対応から全面適用に向けた体制・プロセスの構築まで段階的に支援します。パートナー企業とも連携し、現状整理から運用定着まで一貫してサポートします。
CRA対応をどこから始めるべきか分からない場合や、自社製品が対象となるか確認したい場合も、まずはお気軽にご相談ください。
エレクトロニクス事業へのお問い合わせ
まずは、自社製品がCRA対応の対象となるか確認しませんか。
「対象になるか分からない」「何から着手すべきか分からない」という段階でも構いません。お客様の製品・体制・課題に合わせて、CRA対応の進め方をご提案します。