（11/17）EUサイバーレジリエンス法(CRA)の理解と対応

ESTCJ（Electric product Safety Technical Consultant Japan) 代表 井原 房雄 氏

セミナーポイント

「2026年9月11日」より、EU市場で「デジタル要素を持つ製品」を展開するすべての製造業者に対し、「脆弱性およびインシデント」の報告義務が先行して適用開始されます。
＊日本国内にのみ拠点を置く企業であっても例外ではありません。
＊さらに、「2027年12月11日」からは、セキュリティ要件への適合、適合性評価、CEマーキングの表示といったほぼすべての義務が全面的に適用されます。
＊違反した場合には多額の罰金リスクが科されるため、今からの具体的な準備が不可欠です。
＊本セミナーでは、CRAの全体像から、今すぐ着手すべき対応ロードマップまでを分かりやすく解説します。

■受講対象者　
・特にEUにデジタル要素を備えた製品（IoT機器、ソフトウェアなど）を輸出・販売している、または計画している企業の経営層、企画部門、海外事業部門の責任者
製品の設計・開発部門、品質保証部門、情報セキュリティ部門、法務・コンプライアンス部門の担当者
EU向け製品のサプライチェーンに関わる部品・ソフトウェアを提供する企業の担当者

■受講後、習得できること
・RA法の適用可能性の判断: 自社製品がCRA法の対象となるか、またどの**製品分類（Class I, II, III）**に該当するかを判断できるようになります。
・製造業者として負うべき義務の明確化: 必須要件の遵守、技術文書の作成、CEマーキングといった市場投入に必要な法的義務を明確に理解できます。
・SBOM・リスク管理体制の構築に向けた知識: SBOMを作成・管理するための具体的な要件と、CRAが求めるリスクアセスメントの実施方法を習得し、体制構築の第一歩を踏み出せます。
・セキュリティサポート期間と報告義務への対応計画: 製品ライフサイクルを通じたセキュリティサポート期間の設計、およびインシデント・脆弱性の報告義務に関する具体的な手続きと罰則リスクを理解し、対応計画を策定できます。

セミナー内容

1. CRA成立の背景とEU規制の整理　
　1.1　サイバーリスクの現状、制定の目的
　1.2 タイムライン(制定の経緯）
　1.3 GDPRとの違いと関連性
　1.4　NIS2指令との関係性
　1.5　EUサイバー戦略と「CRA等EU法」との関係
　1.6　CRAの罰則
　1.7　CRAの「EU公式サイト」

2. CRAの概要と適用範囲
　2.1　CRAの概要
　2.2　製造業者に課される主な義務
　2.3　適用範囲と滝用外
　2.4　CRAの構成図
　2.5　「章、および条」の簡易説明
　2.6　製品ｶﾃｺﾞﾘー区分と対象品(例)

3. 製造業者に求められる主要な義務と要件
　3.1　製造業者の「ライフサイクル」における義務
　3.2　現在、推奨される設計・評価手順
　3.3　「必須サイバーセキュリティ要件」の組込み
　3.4　「整合規格」の未発行と「既存の関連規格」の活用
　3.5　技術文書の作成
　3.6　EU適合宣言の作成
　3.7　輸入者・販売業者の義務

4. CRA対応-1「リスク管理と脆弱性管理」
　4.1　リスクアセスメントの実施と文書化
　4.2　検証の方法
　4.2　SBOMの作成・更新
　4.3　ライフサイクルを通じたセキュリティ-サポート要件

5. CRA対応-2「報告義務」
　5.1　重大なインシデント・脆弱性の定義と報告義務
　5.2　報告義務の適用への対応準備(必須)
　5.3　社内インシデント対応プロセスの確立
　5.4　小規模企業（SMBs）のためのCRA対応体制
　5.5　CRA報告クイックリファレンス（チェックリストフォーム）

6.EU域外企業の遵守戦略と今後のステップ
　6.1 欧州認定代理人の選任と、代理人の責任と役割
　6.2 セキュア開発ライフサイクル（SDLC）のCRA要件へのマッピングと整備
　6.3 サプライヤーへのセキュリティ要求事項の設定と管理体制の構築
　6.4 CRAの「自己宣言の手順」(まとめ)

出典：株式会社情報機構（https://johokiko.co.jp/seminar_chemical/AD2611C8.php）。掲載は情報機構との提携によります。