EU サイバーレジリエンス法 (CRA) の整合規格
サイバーレジリエンス法 (CRA) の整合規格
本ページでは、EU サイバーレジリエンス法 (CRA) の整合規格について解説しています。CRA全般についての解説は、下記のページを参照してください。
コンテンツ1 EU サイバーレジリエンス法 (CRA) の概要2 製品の分類・クラスと適合性評価手続3 製造者の義務4 サイバーレジリエンス法 (CRA) に関する参考情報 EU サイバーレジリエンス法 (CRA) の概 …
記事を詳しく見る
適合性の推定
他のCEマーキング関連法令と同様、整合規格に適合した製品・プロセスは、その整合規格がカバーする範囲において、附属書 I の必須サイバーセキュリティ要件に適合しているものとみなされます。
整合規格のタイプ
サイバーレジリエンス法の整合規格には、以下の2種類があります。
- 水平規格 (Horizontal standards) – タイプA規格 / タイプB規格
- 製品分野を限定せずに適用可能な、汎用的な枠組み・方法論等を提供する規格で、附属書 I の必須サイバーセキュリティ要件に対応。
- prEN 40000-1-2（原則、製品リスクマネジメント、ライフサイクル活動）
- prEN 40000-1-3（脆弱性ハンドリング）
- prEN 40000-1-4（一般セキュリティ要件）
- 製品分野を限定せずに適用可能な、汎用的な枠組み・方法論等を提供する規格で、附属書 I の必須サイバーセキュリティ要件に対応。
- 垂直規格 (Vertical standards) – タイプC規格
- 特定の製品カテゴリ（附属書 III, IV）のセキュリティ要件を定める規格。
附属書 III, IV に該当しない製品（デフォルトカテゴリ）の場合は、3つの水平規格を組み合わせることで必須サイバーセキュリティ要件をカバーする設計になっています。ただし、適合推定の観点では 1-3（パート II）と 1-4（パート I (2)）が中心となり、1-2 はその土台となるリスクマネジメントとライフサイクル活動を担う位置づけです。
適合推定の見込みについて
3つの水平規格のうち、適合推定を前提に設計されているのは prEN 40000-1-3（脆弱性ハンドリング）です。同規格には、CRA 附属書 I との対応表である Annex ZA（Table ZA.1）が置かれており、OJ 掲載を前提とした警告文が付されています。
一方、prEN 40000-1-2 には、Annex C にCRA 附属書 I との対応関係が記載されているものの、本規格への適合が CRA 必須要件への適合推定を与えることを意図して作成されたものではない旨が明記されています。適合を示すには、製品カテゴリ固有の垂直規格を適用するか、Annex A に示されたルートによる追加の対応が必要とされています。
prEN 40000-1-4 については、附属書 I パート I (2) の技術要件を担う規格として策定が進んでおり、適合推定の中心となることが想定されますが、採択が2027年10月30日と最も遅く、現時点で内容は流動的です。
FA機器などACSコンポーネントの場合は、「広範な垂直規格」として準備が進められている EN IEC 62443-4-2:2019/prAA:2026 などの規格を適用するほうが、無難な選択肢になるかもしれません。今後の動向を引き続き注視していく必要があります。
整合規格の策定スケジュール
CRA の水平規格の策定スケジュールは、以下の通りとなっています。
| 規格番号・タイトル | 対応する必須要件 | 採択期限 |
| prEN 40000-1-2 (WI No. JT013089) Cybersecurity requirements for products with digital elements – Part 1-2: Principles, product risk management, and lifecycle activities | 附属書 I | 2026年8月30日 （2026年10月31日に延期提案中） |
| prEN 40000-1-3 (WI No. JT013090) Cybersecurity requirements for products with digital elements – Part 1-3: Vulnerability handling | 附属書 I パート II | 2026年8月30日 （2026年10月31日に延期提案中） |
| prEN 40000-1-4 (WI No. JT013091) Cybersecurity requirements for products with digital elements – Generic security requirements | 附属書 I パート I (2) | 2027年10月30日 |
| すべての垂直規格 （規格番号等については、一覧表（外部リンク）を参照。） | — | 2026年10月30日 （2026年12月31日に延期提案中） |
また、以下の関連規格が存在します。
なお、prEN 40000-1-4 は、無線機器指令（RE 指令）向けに策定された EN 18031 シリーズの管理策を土台としています。RE 指令対応で EN 18031 を適用済みの製品については、CRA の技術要件への移行負荷が相対的に小さくなる見込みです。
（参考：無線機器指令 (RE指令) サイバーセキュリティ要件と EN 18031）
CRA への対応開始時期について
整合規格の発行を待ってから対応の準備を始めるのでは、CRAの適用開始までに対応が完了できない可能性が高くなりますので、着手できるところから前もって対応を開始することが推奨されます。
prEN 40000-1-2 の概要
prEN 40000-1-2 は、CRA 附属書 I、特にその パート I (1)「リスクに応じた適切なレベルのサイバーセキュリティを確保して設計・開発・製造すること」に対応するプロセス規格です。
この規格は「製品に何を実装するか」を定めていません。定めているのは、何をどう決め、どう記録するかです。したがって、評価の対象になるのは製品そのものではなく、製造者の意思決定プロセスとその文書になります。
サイバーセキュリティの原則（Clause 5）
4つの原則（リスクベースのアプローチ／セキュリティ・バイ・デザイン／セキュア・バイ・デフォルト／透明性）が示されています。
ただし、これらは参考情報であり、本規格の規定を構成しません。
社内で設計思想を共有する際の共通言語としては有用ですが、適合対応の作業対象ではありません。
リスクマネジメントの要素（Clause 6）
この箇条には、製品ライフサイクルの全フェーズに適用可能な、サイバーセキュリティ・リスクマネジメント要素の要求事項が記載されています。
| 箇条 | 要求される主なアウトプット |
|---|---|
| 製品コンテキストの確立（6.2） | 意図する用途と合理的に予見可能な使用（IPRFU）、機能、動作環境、アーキテクチャ、想定ユーザーを記述した文書 |
| リスク受容基準の確立（6.3） | 採用するリスクアセスメント手法と受容基準 |
| リスクアセスメントの実施（6.4） | 資産・セキュリティ目標の特定 → 脅威の特定 → リスク見積り → 評価 |
| リスクに対する適切な対応（6.5） | リスク回避・低減・受容・移転の選択とその根拠 |
| 残留リスクの伝達（6.6） | 残留リスクとユーザー側で必要な緩和策の伝達 |
| リスクマネジメントの見直し（6.7） | 見直しの頻度と実施トリガー |
これらは箇条番号順に一連のフローで実施していくことになり、その関係は図1に表されています。
サイバーセキュリティ活動（Clause 7）
この箇条は、製品のメーカーが実施しなければならない、製品ライフサイクルにおけるサイバーセキュリティ活動の要求事項を規定しています。
サイバーセキュリティ活動には、Clause 6 のリスクマネジメントに加え、以下が含まれます。
| 箇条 | 主な要求事項 |
|---|---|
| 製品のサイバーセキュリティ計画（7.2） | 活動全体の計画書（リスク基準、テスト、脆弱性対応、サポート期間など） |
| 製品のサイバーセキュリティ要件（7.3） | 保護すべき資産に対する要件の特定と、適用する管理策の選定 |
| サイバーセキュリティアーキテクチャと設計（7.4） | 信頼境界の設定、セキュアなインターフェース設計 |
| セキュアな実装（7.5） | SBOM、セキュアコーディング、ユーザー向け技術文書 |
| サイバーセキュリティの検証と妥当性確認（7.6） | テストの実施記録（単体・統合・ペネトレーション・脆弱性スキャン） |
| セキュアな製造と配布（7.7） | 完全性・真正性の保護（署名、アクセス制御） |
| サイバーセキュリティ問題管理（7.8） | 脆弱性・インシデントの記録と対処 |
| 製品監視（7.9） | 脅威・脆弱性の継続的監視とリスク分析の更新 |
| セキュアな廃棄計画（7.10） | データ・鍵の消去方法、サポート終了時の情報提供 |
| サードパーティ製コンポーネントのサイバーセキュリティ管理（7.11） | 選定時のデューデリジェンス、SBOM 管理、脆弱性監視 |
他の水平規格との関係
上記のうち、7.3 で選定する管理策のカタログを提供するのが prEN 40000-1-4 です。また 7.8・7.9 で扱う脆弱性の具体的な処理手順を定めるのが prEN 40000-1-3 です。pr EN 40000-1-2 は、この2規格を活用する際の土台になります。
prEN 40000-1-3 の概要
prEN 40000-1-3 は、CRA 附属書 I パート II（脆弱性ハンドリングに関する要求事項）に対応するプロセス規格です。
垂直規格（タイプC規格）は附属書 I パート I しかカバーせず、脆弱性ハンドリングを扱う整合規格はこの1つしか存在しません。したがって、CRA 対象製品のすべての製造者がこの規格に関わることになります。
脆弱性対応ライフサイクルの6フェーズ
要求事項は、脆弱性対応のライフサイクルに沿った以下の6フェーズに整理されています。
| フェーズ | 要求される主な活動 |
|---|---|
| [PRE] 準備 | 脆弱性ハンドリングポリシー CVD ポリシー 運用セキュリティ ステークホルダーとのコミュニケーション 製品識別 ソフトウェア／ハードウェアコンポーネントの特定（SBOM） 定期試験・レビューの計画 配布メカニズム |
| [RCP] 受付 | 報告受付窓口 モニタリング 影響を受けるコンポーネントの特定 調整機関の関与 定期試験・レビューの実施 |
| [VRF] 検証 | 初期評価と検証 脆弱性リスクアセスメントと優先度付け |
| [RMD] 修正 | 修正方針の決定 修正の開発 修正のテスト |
| [RLS] リリース | セキュリティアップデートの提供 アドバイザリの公開 |
| [PRA] リリース後 | セキュリティアップデートの監視と継続的改善 |
ベースとなる国際規格
この規格はゼロから書き起こされたものではなく、既存の国際規格を土台にしています。
| ベース規格 | 担当範囲 |
|---|---|
| EN ISO/IEC 29147:2020 | 脆弱性開示 |
| EN ISO/IEC 30111:2020 | 脆弱性ハンドリングプロセス |
| ISO/IEC TR 5895:2022 | 多者間協調的脆弱性開示（MPCVD） |
これらの規格における推奨事項を、CRA 適合に必要な範囲で要求事項へ格上げし、さらに SBOM、定期試験・レビュー、セキュアなアップデートメカニズムといった CRA 固有の要素を追加した構成になっています。
すでに ISO/IEC 29147・30111 に沿った脆弱性対応の運用がある企業であれば、差分への対応で済む可能性があります。
prEN 40000-1-4 の概要
prEN 40000-1-4 は、CRA 附属書 I パート I (2) の製品セキュリティ要件に対応する規格です。
1-2 と 1-3 がプロセス規格であるのに対し、本規格は製品が備えるべき機能を定める「管理策のカタログ」となっています。適合の実証も、プロセス文書ではなく、製品そのもの（および技術資料による裏づけ）に基づいて行われます。
管理策のカタログ
この規格の管理策は、無線機器指令向けに策定された EN 18031 シリーズの管理策を土台としており、管理策の略号もそのまま引き継がれています。
| 管理策 | EN 18031 シリーズからの追加項目（予定） |
|---|---|
| [ACM] アクセス制御メカニズム | 新項目なし |
| [AUM] 認証メカニズム | 新項目なし |
| [SUM] セキュアアップデートメカニズム | [SUM-4] アップデートの延期 |
| [SSM] セキュアストレージメカニズム | 新項目なし |
| [SCM] セキュア通信メカニズム | 新項目なし |
| [LGM] ログ記録メカニズム | [LGM-5] ログ記録の無効化 [LGM-6] 機微な個人情報の除外 |
| [DLM] 削除メカニズム | [DLM-2] ユーザーデータの機密性を確保したエクスポート [DLM-3] エクスポートデータの完全性保護 [DLM-4] データエクスポートにおける通信相手の真正性 |
| [UNM] ユーザー通知メカニズム | [UNM-3] 検知された異常についてのユーザー通知 [UNM-4] セキュリティアップデートのユーザー通知 |
| [RLM] レジリエンスメカニズム | [RNM-2] インシデントからの復旧 [RNM-3] ネットワークの優先制御 [RNM-4] リソースの優先制御 [RNM-5] リソース管理 [RNM-6] 制御システムのバックアップ |
| [NMM] ネットワーク監視メカニズム | 新項目なし |
| [TCM] トラフィック制御メカニズム | 新項目なし |
| [CCK] 秘密暗号鍵 | 新項目なし |
| [GEC] 一般的な機器の能力 | [GEC-9] セキュアな起動設定 [GEC-10] 工場出荷状態へのリセット [GEC-11] エクスプロイト緩和メカニズム [GEC-12] 不要なソフトウェアコンポーネントの排除 [GEC-13] 不正アクセスおよび改変の可能性に関する警告 |
| [CRY] 暗号技術 | 新項目なし |
| [DTM] データ最小化（新設） | [DTM-1] 意図する用途に照らしたデータ最小化 [DTM-2] デフォルトデータ処理の最小化 [DTM-3] 任意のデータ処理に対する設定可能な制御 |
| [LIM] 外部影響の限定（新設） | [LIM-1] 外部影響の限定 [LIM-2] 攻撃の伝播防止 |
| [MON] セキュリティ活動の監視（新設） | [MON-1] セキュリティ関連活動の監視 [MON-2] 監視の無効化 |
