「うちの製品は本当に対象なのか？」「どこまでが規制範囲なのか？」・・・サイバーレジリエンス法について、多くの日本企業が最初に抱く疑問です。この第1話では、法律の基本構造を理解し、自社製品が規制対象となるかを判断するための明確な基準を提示します。
EU市場で事業を展開する、あるいは欧州向け製品のサプライチェーンに関わるすべての企業にとって、この理解は対応の第一歩となります。
1. EU規制の全体像：CRAはどこに位置するのか
サイバーレジリエンス法（CRA）を理解するには、まずEUの規制体系全体における位置づけを把握する必要があります。EUは、デジタル時代における製品安全と消費者保護のため、複数の規制を段階的に導入してきました。
【図表1-1：EU主要規制の関係図】
EU主要規制の3本柱：
1. CEマーキング（製品安全）
EU市場で製品を販売するための基本的な適合性マークです。電気機器、機械、玩具など、様々な製品分野に適用されます。製造者が製品が関連するEU指令・規則の要求事項を満たしていることを宣言するものです。従来は物理的な安全性が中心でしたが、デジタル化の進展により、サイバーセキュリティの観点が不可欠になりました。
2. GDPR（データ保護）
2018年5月に施行された一般データ保護規則（GDPR）は、個人データの収集・処理・保管に関する厳格なルールを定めています。最大2,000万ユーロまたは全世界売上高の4%という制裁金の事例が示すように、EUは本気で規制を執行しています。多くの日本企業がGDPR対応で苦労した経験は、CRA対応の重要性を示唆しています。
3. CRA（製品セキュリティ）
サイバーレジリエンス法は、デジタル要素を持つ製品のセキュリティを包括的に規制する新しい法律です。CEマーキングが物理的安全性、GDPRがデータ保護を対象とするのに対し、CRAは製品そのもののサイバーセキュリティを対象とします。この3つの規制は互いに補完し合い、デジタル時代の総合的な安全保障体制を形成しています。
【図表1-2：CRA、GDPR、CEマーキングの適用範囲比較表】
重要なポイント：これらの規制は重複して適用されます。つまり、IoT製品を販売する企業は、CEマーキング、GDPR、CRAのすべてに対応する必要があります。
2. サイバーレジリエンス法の目的と背景
EUがサイバーレジリエンス法を制定した背景には、デジタル製品のセキュリティに関する深刻な市場の失敗があります。
立法の背景：
•セキュリティが考慮されていない製品の氾濫
•サイバー攻撃の増加と被害の深刻化
•消費者がセキュリティリスクを判断できない情報の非対称性
•製品ライフサイクル全体でのセキュリティ管理の欠如
•国際的なサプライチェーンにおける脆弱性の連鎖
CRAの3つの主要目的：
目的1：市場におけるセキュリティ水準の底上げ
すべての製品が最低限のセキュリティ基準を満たすことを義務付けることで、市場全体のセキュリティレベルを引き上げます。「セキュア・バイ・デザイン」を原則とし、製品開発の初期段階からセキュリティを組み込むことを要求します。
目的2：製造者の責任の明確化
製品のセキュリティに対する製造者の責任を法的に明確化します。脆弱性の報告、セキュリティアップデートの提供、インシデント対応など、具体的な義務を課します。製品のライフサイクル全体にわたる継続的なセキュリティサポートを義務化します。
目的3：消費者と企業の保護
消費者が安心して製品を使用できる環境を整備します。企業に対しても、サプライチェーンを通じたセキュリティリスクからの保護を提供します。透明性の高い情報開示により、適切な製品選択を可能にします。
【図表1-3：CRA制定の背景と目的（図解）】
3. 「デジタル要素を持つ製品」とは何か
CRAの適用対象は「デジタル要素を持つ製品（products with digital elements）」です。この定義を正確に理解することが、自社製品が規制対象かどうかを判断する鍵となります。
公式定義：
「デジタル要素を持つ製品」とは、データの論理的または算術的な処理を実行するソフトウェアまたはファームウェアを含む、あらゆるソフトウェアまたはハードウェア製品、およびそのリモートデータ処理ソリューションを指します。
この定義を分解すると：
要素1：ソフトウェア製品
•スタンドアロンのソフトウェアアプリケーション
•オペレーティングシステム
•ミドルウェア、ライブラリ
•クラウドベースのサービス（SaaS含む）
要素2：ハードウェア製品（ソフトウェア/ファームウェア組込み）
•IoTデバイス（スマート家電、ウェアラブル端末）
•産業用機器（ロボット、制御システム）
•車載システム（ECU、インフォテインメント）
•医療機器（診断装置、モニタリング機器）
•ネットワーク機器（ルーター、スイッチ）
要素3：リモートデータ処理ソリューション
•クラウドサービスとの連携機能
•リモート監視・制御システム
•データ分析・AI処理サービス
【図表1-4：デジタル要素を持つ製品の分類表】
判断基準のポイント：
製品が「データの論理的・算術的処理」を行うソフトウェアやファームウェアを含んでいれば、基本的にCRAの対象となります。単純な機械式タイマーや、プログラム不可能な固定回路のみの製品は対象外ですが、マイコンを搭載し、何らかのプログラムで動作する製品はほぼ対象と考えるべきです。
4. 規制対象となる製品・ならない製品の境界線
すべてのデジタル製品がCRAの対象となるわけではありません。法律は明確な適用除外を定めており、この境界線を理解することが重要です。
【図表1-5：CRA適用対象の判定フローチャート】
適用除外となる主な製品カテゴリー：
1. 既存の規制でカバーされる製品
•医療機器規則（MDR）の対象となる医療機器
•体外診断用医療機器規則（IVDR）の対象製品
•航空機のセキュリティ（航空安全規制でカバー）
•自動車（型式認証規則でカバー）
2. 特定の用途・性質による除外
•国家安全保障のみを目的とする製品
•軍事・防衛目的の製品
•オープンソースソフトウェア（商業利用されていないもの）
3. 特殊なケース
•純粋に研究開発目的で市場に出さない製品
•企業内でのみ使用される製品（市販されないもの）
重要な注意点：
医療機器や自動車は適用除外ですが、それらに組み込まれる「汎用的なコンポーネント」（センサー、通信モジュール、ソフトウェアライブラリなど）は、別途CRAの対象となる可能性があります。また、オープンソースでも、商業製品に組み込んで販売する場合は、その製品全体がCRAの対象となります。
対象となる典型的な製品例：
•スマートホーム機器（照明、サーモスタット、セキュリティカメラ）
•産業用IoTセンサー、制御装置
•ネットワーク機器（家庭用・業務用ルーター）
•PCソフトウェア、モバイルアプリ
•ウェアラブルデバイス（健康管理、フィットネス）
•業務用ソフトウェア（会計、生産管理、CRMなど）
•ゲーム機、エンターテインメント機器
【図表1-6：製品カテゴリー別のCRA適用可否一覧表】
5. 自社製品の対象判定：実践的チェックリスト
ここまでの内容を踏まえて、自社製品がCRAの対象となるかを判定するための実践的なチェックリストを提供します。
Step 1：基本要件の確認
•製品にソフトウェアまたはファームウェアが含まれているか？
•そのソフトウェア/ファームウェアはデータ処理を行うか？
•EU市場で販売する予定があるか？
Step 2：適用除外の確認
•医療機器規則（MDR/IVDR）の対象か？
•自動車型式認証の対象か？
•航空機関連の規制対象か？
•国家安全保障・軍事目的専用か？
Step 3：グレーゾーンの検討
•完成品メーカーへのコンポーネント供給か？
•OEM製品として販売されるか？
•オープンソースコンポーネントを含むか？
判定結果の考え方：
•Step 1で全て「はい」、Step 2で全て「いいえ」→ 明確に対象
•Step 2で一つでも「はい」→ 適用除外の可能性（専門家に相談推奨）
•Step 3に該当→ 個別の状況により判断が分かれる（必ず専門家に相談）
まとめ：第1話の重要ポイント
•CRAはCEマーキング、GDPRと並ぶEU規制の第3の柱
•「デジタル要素を持つ製品」はソフト/ファーム/リモート処理を含む広範な製品
•医療機器・自動車など既存規制でカバーされる製品は基本的に除外
•ただし、それらに組み込まれる汎用コンポーネントは対象となる可能性
•自社製品の対象判定は3ステップのチェックリストで確認
次回は、CRAが定める製品の「クラス分類」について詳しく解説します。あなたの製品がどのクラスに該当するかによって、求められる対応レベルが大きく異なります。
次回予告
次回【第2話】では、サイバーレジリエンス法が強化される背景となった実際のサイバー攻撃事例と、製品のクラス分類システムについて解説します。タイトル：【第2話】なぜ今、サイバーセキュリティ規制が強化されるのか
キーワード
#サイバーレジリエンス法、 #CRA、#デジタル要素、 #製品セキュリティ、 #CEマーキング、 #GDPR、 #EU規制、 #適用範囲、 #規制対象、 #セキュアバイデザイン、 #製造者責任、 #IoTセキュリティ、 #コンプライアンス、
参考文献
•Regulation (EU) 2024/2847 on cybersecurity requirements for products with digital elements (Cyber Resilience Act).
•European Commission (2022). Proposal for a Regulation on cyber resilience - Explanatory Memorandum.
•ENISA (2024). Cyber Resilience Act - Guidelines for Manufacturers.
•European Parliament (2024). Briefing: Understanding the Cyber Resilience Act.
•経済産業省 (2024). サイバーレジリエンス法に関する解説資料.
――――――――――――――――
著者：畠山達彦 DCTA Inc.｜サイバーレジリエンス・コンサルティング