EUのサイバーレジリエンス法（CRA）は、メーカーに脆弱性（セキュリティ上の弱点）の報告を求めています。製品の脆弱性が悪用されていると認識してから、24時間以内に最初の通知を出す必要があります。
この報告義務は、ほかの義務より先に、2026年9月11日に始まりました。
CRAは、EU市場で売られる「デジタル要素を備えた製品」（ソフトウェアを含む製品など）に、設計から保守までのセキュリティ対策を求める規則です。
報告の対象は悪用されている脆弱性と重大なインシデント（セキュリティ上の重大な事故）で、それ以前にEUで販売した製品も含まれます。問題が起きてから担当を決めるのでは間に合いません。
この記事では、報告義務の対象と期限、報告先を条文にもとづいて整理します。そのうえで、組込み製品のメーカーが24時間以内に動ける体制を作る手順を6つのステップで説明します。
2026年9月11日に始まった報告義務とは
サイバーレジリエンス法は、正式には規則 (EU) 2024/2847といいます。EU市場で提供される「デジタル要素を備えた製品」に、設計から保守までのセキュリティ要件を課す規則です。
2024年11月20日にEU官報に掲載され、同年12月10日に発効しました。
適用の時期は第71条で3段階に分かれています。製品のセキュリティ要件やCEマーキングといった主要な義務は2027年12月11日から、適合性評価機関に関する章は2026年6月11日からです。
そして製造業者の報告義務を定めた第14条は2026年9月11日から適用されます。
報告義務は、主要な義務より1年3か月早く始まりました。
※規則 (EU) 2024/2847 第71条にもとづく。オープンソースソフトウェア・スチュワードの報告義務は2027年12月11日から。
報告義務の中身は、決められた期限内に当局へ通知することです。通知が必要になるのは、自社製品に含まれる「悪用されている脆弱性」と、製品のセキュリティに影響する「重大なインシデント」を認識したときです。
欧州委員会は2026年9月11日付の発表で、この義務が始まったことと、既に市場にある製品にも適用されることを改めて示しています。
つまり、2027年12月に向けた設計・開発面の準備とは別に、「問題が起きたときに期限内に通知できる体制」だけは今の時点で必要です。
ジェトロも2026年9月18日のビジネス短信で、適用開始日より前に市場投入された製品も対象になる点を伝えています。
自社製品は対象になるのか
最初に確かめたいのは、自社の製品がこの規則の範囲に入るかどうかです。範囲は第2条と第3条の定義で決まります。
機器やネットワークにつながる製品は広く対象になり、別の規則で扱われる製品は除かれます。
対象は「デジタル要素を備えた製品」
第3条は、デジタル要素を備えた製品を「ソフトウェアまたはハードウェアの製品と、そのリモートデータ処理ソリューション」と定義しています。別々に市場に出されるソフトウェアやハードウェアのコンポーネントも含まれます。
このうち第2条1項により、意図された用途や合理的に予見できる使い方に、機器やネットワークへのデータ接続が含まれる製品が規則の対象になります。接続は直接でも間接でも、論理的でも物理的でも構いません。
欧州委員会はベビーモニターやスマートウォッチ、アプリを例に挙げています。産業用のコントローラやゲートウェイ、計測器、通信モジュールといった組込み製品も、この定義に当てはまれば対象です。
組込みエンジニアが開発するファームウェアは、製品の一部として扱われます。
別の規則で扱われる製品は適用除外
第2条は、分野別の規則が適用される一部の製品を対象から外しています。
具体的には、医療機器規則 (EU) 2017/745、体外診断用医療機器規則 (EU) 2017/746が適用される製品です。自動車の型式認証に関する規則 (EU) 2019/2144が適用される製品も含まれます。
このほか、民間航空の規則 (EU) 2018/1139にもとづいて認証された製品、舶用機器指令 2014/90/EUの範囲に入る機器も対象外です。
同じ仕様で作られた交換用のスペアパーツ、もっぱら国家安全保障や防衛の目的で開発された製品も除かれます。
注意したいのは、除外の基準が「業界」ではなく「その製品にどの規則が適用されるか」である点です。自動車や医療の分野に納めている製品でも、該当の規則が適用されない製品は対象になりえます。
日本のメーカーも、販売済みの製品も対象
第3条は製造業者を、製品を開発・製造し、または設計・開発・製造させて、自己の名称や商標で販売する者と定義しています。
所在地による限定はなく、第14条7項にはEU域内に主たる事業所を持たない製造業者の通知先まで定められています。日本から輸出しているメーカーも、製造業者としてこの義務を負う前提で読む必要があります。
販売済みの製品の扱いは第69条で決まっています。2027年12月11日より前に市場に出した製品は、原則としてその後に実質的な変更がない限り規則の要件の対象になりません。
ただし同条3項は、第14条の報告義務だけはそれらの製品にも適用すると定めています。
欧州委員会は2026年7月27日に、ガイダンス（規則の適用についての解釈を示す、拘束力のない文書）を公表しました。その中で、サポート期間が終わった製品についても報告義務は続くと説明しています。
一方で、2027年12月11日より前に市場に出した製品については、脆弱性を修正するといった脆弱性ハンドリングの義務まではこの規則から生じないとしています。
なお、ここまでの説明は条文の一般的な読み方です。自社のどの製品が範囲に入るか、製造業者に当たるのは自社か販売元かといった個別の判断は、この記事だけでは決められません。法務部門や専門家、EU側の輸入者・認定代理人に確認してください。
何を、いつまでに報告するのか
第14条が報告を求めているのは2種類の事象で、それぞれ3段階の通知期限があります。まず全体を表で整理します。
最初の2段階は共通で、最終報告の期限の数え方だけが異なります。
※規則 (EU) 2024/2847 第14条1〜5項にもとづく。既に同じ情報を提出済みの場合は、後の段階で重ねて出す必要はありません。
報告対象は2種類
1つめは「悪用されている脆弱性」です。第3条は、悪意ある者がシステム所有者の許可なく悪用したという信頼できる証拠がある脆弱性と定義しています。脆弱性が見つかっただけでは該当せず、実際に悪用された証拠があることが条件です。
2つめは「製品のセキュリティに影響を及ぼす重大なインシデント」です。第14条5項は、次のどちらかに当たる場合を重大としています。
- 機微または重要なデータや機能について、可用性・真正性・完全性・機密性を守る製品の能力に悪影響を及ぼす、または及ぼしうる
- 製品の中や、製品の利用者のネットワーク・情報システムで、悪意あるコードの導入や実行に至った、または至りうる
前者は製品の弱点が攻撃に使われた場合、後者は製品そのものの安全性が損なわれる出来事が起きた場合、と捉えると区別しやすくなります。どちらに当たるかで最終報告の期限が変わります。
期限は24時間・72時間・最終報告の3段階
通知は一度に完成させるものではなく、段階的に情報を足していく構造です。まず認識から24時間以内に「早期警告」を出し、72時間以内により詳しい「通知」を出します。
どちらも条文には「不当な遅滞なく、いかなる場合もその時間以内に」と書かれています。
最終報告の期限は2種類で異なります。悪用されている脆弱性は是正措置または緩和措置が利用可能になってから14日以内、重大なインシデントは72時間以内の通知を提出してから1か月以内です。
調整役のCSIRT（後述）から中間報告を求められることもあります。
時計が動き出す「認識した」時点
24時間の起点は「製造業者が認識した時」です。欧州委員会のガイダンスは、不審な事象を検知したり第三者から指摘を受けたりした場合、製造業者は直ちに初期評価を行うべきだとしています。
そのうえで、初期評価の結果、脆弱性が悪用されているか、重大なインシデントが起きて製品のセキュリティが侵害されたかを判断します。そのことに「合理的な程度の確実性」を持った時点で、認識したとみなされると説明しています。
連絡を受けた瞬間に時計が動くわけではありませんが、初期評価を先延ばしにしてよいという意味でもありません。
ガイダンスは拘束力のない文書ですが、当局の考え方を示すものです。社内では「誰が、どの情報をもって認識と判断したか」を時刻とともに記録に残す運用にしておくと、期限の管理がしやすくなります。
報告義務に当たらないケース
欧州委員会のFAQとガイダンスは、義務的な報告に当たらない例も挙げています（どちらも拘束力のない資料です）。代表的なものは次のとおりです。
- 善意の研究者やバグバウンティ、評価機関の試験で見つかり、悪用された証拠がない脆弱性
- 組み込んだ他社コンポーネントの脆弱性で、自社製品では悪用できない、または悪用されていないもの
- 2026年9月11日より前に、悪用を既に認識していた脆弱性（遡っての報告は求められない）
逆に、他社コンポーネントに由来する脆弱性であっても、自社製品の中で悪用されていれば、製品の製造業者として通知が必要です。また、脆弱性そのものは以前から把握していて、悪用を9月11日以降に認識した場合も対象になります。
連絡を受けたら初期評価を行い、3つのどれに当たるかを判断します。
※義務的な報告に当たらない脆弱性やニアミスも、第15条にもとづいて任意で通知できます。該当するかどうかの最終判断は、専門家を交えて行ってください。
どこに、どうやって報告するのか
通知の宛先は、調整役（コーディネーター）に指定された加盟国のCSIRT（インシデント対応の専門チーム）と、ENISA（欧州連合サイバーセキュリティ機関）です。ただし、製造業者が別々に連絡する必要はありません。
製造業者は1回通知すれば、関係する当局に情報が届く仕組みです。
※規則 (EU) 2024/2847 第14条7項・第16条にもとづく。例外的な場合、CSIRTは他国への共有を遅らせることができます。
単一報告プラットフォーム（SRP）で1回通知する
第16条にもとづき、ENISAは単一報告プラットフォーム（SRP）を設置しました。欧州委員会とENISAの公式ページによると、SRPは2026年9月11日に運用を開始しています。
ENISAは同日の発表で、今回の公開は初期段階であり、今後数か月かけて機能を改善・拡張するとしています。
ENISAのFAQによると、通知を提出するのは製造業者が割り当てた担当者で、多要素認証を有効にしたEU Loginの個人アカウントが必要です。
主担当は1社につき1人、副担当は最大20人まで登録できます。開始時点の画面は英語のみで、自動連携用のAPIは初期リリースでは提供されていません。
いずれも2026年9月30日時点のFAQにもとづく内容で、今後の機能拡張で変わる可能性があります。登録の前に、ENISAの最新の案内を確認してください。
なお、ENISAの資料ではこの担当者を「Assigned Representative」と呼んでいます。規則第18条の認定代理人（authorised representative）とは別の用語なので、社内で混同しないよう注意が必要です。
EU域内に拠点がないメーカーの通知先
どの加盟国のCSIRTに通知するかは、第14条7項で決まります。EU域内に主たる事業所がある場合は、その加盟国のCSIRTです。主たる事業所とは、製品のサイバーセキュリティに関する決定が主に行われる場所を指します。
EU域内に主たる事業所がない製造業者は、手元の情報にもとづいて次の順で加盟国を決めます。
- 自社製品を最も多く扱う認定代理人が所在する加盟国
- 自社製品を最も多く市場に出している輸入者が所在する加盟国
- 自社製品を最も多く扱う流通業者が所在する加盟国
- 自社製品の利用者が最も多い加盟国
ENISAのFAQは、誤ったCSIRTを選ぶと通知が無効になり、出し直しになる場合があると注意しています。通知先の加盟国は、問題が起きる前に決めておくべき項目です。
どの国になるかは販売経路によって変わるため、EU側の輸入者や認定代理人と確認しておくと確実です。
利用者にも知らせる
当局への通知とは別に、第14条8項は、影響を受ける利用者（適切な場合はすべての利用者）への通知を求めています。知らせる内容は、脆弱性やインシデントと、必要に応じて利用者が取れる緩和策や是正策です。
製造業者が適時に知らせない場合、CSIRTが利用者に情報を提供することがあります。
ガイダンスは、この義務はリスクに応じて比例的に適用されるもので、情報を一般に公開したり無差別に開示したりする義務ではないと説明しています。技術的な詳細の公開が悪用を助長するおそれがある場合は、関係する利用者に限って知らせることができます。
24時間以内に動ける体制を作る6ステップ
ここからは、期限内に通知するための社内体制の作り方です。製品の脆弱性に対応する組織の機能はPSIRT（Product Security Incident Response Team）と呼ばれます。
JPCERT/CCは、製品にセキュリティ上の問題が見つかったときに報告の窓口を務め、組織内の対策活動を進める司令塔となる機能と説明しています。
専任の部署を新設しなくても、機能がそろっていれば対応はできます。
以下の6ステップは、報告義務に間に合わせる観点で並べたものです。国際的な団体FIRSTの「PSIRT Services Framework」やIPAの「製品開発者向けガイド」を参考にしています。
情報が入る入口から、通知と利用者への連絡までを順に整えます。
※FIRST「PSIRT Services Framework」、IPA「製品開発者向けガイド」、経済産業省「SBOMの導入に関する手引」を参考に編集部で整理した手順です。
ステップ1：脆弱性の受付窓口と開示方針を決める
最初に整えるのは情報の入口です。悪用の知らせは、顧客や販売代理店、セキュリティ研究者、公的機関など、さまざまな経路から届きます。
営業担当の個人メールに届いて数日止まる、という状況を避けるため、製品の脆弱性を受け付ける専用の連絡先を1つ決めて公開します。
あわせて、報告を受けてから公表するまでの進め方を定めた、協調的な脆弱性開示（CVD）の方針を用意します。
規則の附属書Iは、CVD方針の策定と実施、脆弱性報告の連絡先の提供を製造業者に求めており、これらは2027年12月11日から適用されます。報告義務に対応するうえでも、先に整えておく価値のある項目です。
日本国内には、IPAとJPCERT/CCが運用する「情報セキュリティ早期警戒パートナーシップ」があります。発見者からの届出が、この枠組みを通じて製品開発者に連絡されます。
IPAが2026年3月に公開した「製品開発者向けガイド」は、機器に組み込まれるソフトウェアの開発者も対象に、実施すべき対処を段階的に示しています。
ステップ2：EU向け製品の台帳とSBOMを整える
連絡を受けたとき、最初に確かめるのは「その製品はEUで入手可能か」「どのバージョンが該当するか」です。早期警告には、製品が入手可能になっている加盟国を示す必要があります。
機種・バージョン・出荷先の国を引ける台帳がないと、初期評価の段階で時間を使ってしまいます。
もう1つの土台がSBOM（ソフトウェア部品表）です。規則はSBOMを、製品のソフトウェアに含まれるコンポーネントとその供給関係を記した正式な記録と定義しています。
他社製のライブラリやOSに脆弱性が見つかったとき、自社のどの製品のどのバージョンに入っているかをすぐ特定できることが、SBOMの実務上の価値です。
附属書Iは、少なくとも最上位の依存関係をカバーするSBOMを機械可読な形式で作成することを求めています。
作り方は、経済産業省の「SBOMの導入に関する手引 ver2.0」が、脆弱性管理での使い方を含めてまとめています。
仕入先からコンポーネントの構成情報をもらう取り決めは、購買・調達のサプライヤー管理と一緒に進める必要があります。
量産後のソフトウェアはバージョンが枝分かれしやすいため、出荷したビルドごとにSBOMを残す運用にしておくと後で困りません。組込みエンジニアの仕事の流れでいう量産移行と保守の工程に、SBOMの更新を組み込むのが現実的です。
ステップ3：報告対象かどうかの判断基準を書面にする
FIRSTのフレームワークは、PSIRTの役割の1つに「脆弱性のトリアージと分析」を挙げています。トリアージとは、届いた情報を評価して優先度と扱いを決めることです。報告義務との関係では、次の点を判断できる基準が必要になります。
- 自社製品に含まれる脆弱性か（製品・バージョン・コンポーネントの特定）
- 悪用されたという証拠があるか、その証拠は信頼できるか
- インシデントの場合、第14条5項の「重大」の条件に当たるか
- どの時点をもって「認識した」とするか、誰が判断するか
基準を書面にしておく理由は、夜間や休日に判断する人が変わっても、同じ結論にたどり着けるようにするためです。迷う事例は必ず出てくるので、判断に迷ったら誰に上げるか、法務や外部の専門家にいつ相談するかも一緒に決めておきます。
ステップ4：夜間・休日の連絡経路と決裁者を決める
条文の期限は「認識から24時間以内」「72時間以内」と時間で定められています。週末や連休、欧州との時差をまたぐ場面を前提に、連絡経路を設計しておく必要があります。
決めておくのは、受付窓口を誰が見るか、初期評価を誰が行うか、通知を出す判断を誰が下すか、の3点です。決裁者が出張や休暇で不在のときの代行者まで決めておかないと、判断待ちで時間が過ぎます。
通知の提出を決裁できる人を複数にしておくことが、24時間に間に合わせるうえで最も効く準備です。
社外の連絡先も同じ表にまとめます。EU側の輸入者・流通業者・認定代理人、現地法人、主要顧客の窓口です。悪用の知らせは現地から入ることが多いため、現地の担当者が日本の受付窓口へすぐ転送する取り決めも必要です。
専任部署がなくても、誰が何を担うかが決まっていれば動けます。
※編集部が整理した分担の一例です。会社の規模や製品によって、兼務や外部委託の形は変わります。
ステップ5：SRPの登録と通知の下書きを済ませておく
問題が起きてからアカウントを作り始めると、それだけで時間を失います。SRPは個人のEU Loginアカウントと多要素認証を前提としているため、主担当と副担当を決めて事前に登録しておきます。
担当者の異動や退職で提出できる人がいなくなる事態も避けたいところです。
ENISAはSRPのページで、利用者マニュアル、操作の説明動画、入力項目を解説した用語集、調整役のCSIRTの一覧を公開しています。
用語集で各段階の入力項目を確かめ、早期警告と72時間通知の英語のひな形を先に作っておくと、当日は事実を埋めるだけで済みます。
ENISAのFAQは、SRPが一時的に使えない場合は復旧後に提出するよう案内しています。急ぐ場合は調整役のCSIRTに直接連絡できますが、復旧後にSRPでも提出が必要です。こうした例外の手順も、社内の手順書に書いておきます。
ステップ6：利用者への通知と訓練を準備する
利用者への通知は、当局への通知と並行して進める必要があります。産業用の機器では、最終の利用者を自社で把握しておらず、販売代理店や装置メーカーを経由しないと連絡できないことが少なくありません。
誰を通じて、どの手段で知らせるかを販売経路ごとに決めておきます。
修正版の検証と出荷の判定は、通常の不具合対応と同じ流れに乗せるのが確実です。品質保証の不具合対応の手順に、脆弱性の場合の期限と通知先を追記する形にすると、現場が迷いません。
最後に、手順が実際に回るかを机上演習で確かめます。FIRSTのフレームワークも、トレーニングと教育をPSIRTの役割の1つに挙げています。
金曜の夜に連絡が入ったという想定で、早期警告の提出まで何時間かかるかを測ると、足りない部分がはっきりします。
想定例で見る最初の72時間
体制が整っている場合の動きを、時系列で見てみます。以下は説明のために編集部が作った架空の想定例で、実在の企業や事案ではありません。時刻や所要時間も目安として置いたものです。
想定するのは、産業用IoTゲートウェイを欧州に輸出している日本のメーカーです。金曜の夕方、ドイツの販売代理店から「顧客の工場で、ゲートウェイの設定が外部から書き換えられた形跡がある」という連絡が受付窓口に入りました。
「認識した」時刻を起点に、24時間と72時間の期限が決まります。
※架空の想定例です。時刻は日本時間の目安で、実際の判断や所要時間は事案によって変わります。
この例で時間を左右しているのは、技術的な調査よりも前段の準備です。製品台帳があるので該当機種と出荷先がすぐ分かり、決裁者に連絡がつくので金曜の夜のうちに判断でき、アカウントとひな形があるので土曜に提出できています。
早期警告の時点では、原因の全容が分かっている必要はありません。通知は調査の進み具合に合わせて段階的に更新していく構造です。分かっている範囲を期限内に出し、後から足すという進め方に、社内の承認手続きを合わせておくことが大切です。
つまずきやすい点と罰則
最後に、準備の段階で見落としやすい点と、違反した場合の扱いを整理します。
制裁金は最大1,500万ユーロまたは売上高の2.5%
第64条は、罰則のルールを加盟国が定めるとしたうえで、上限を示しています。第14条の報告義務を含む義務の違反は、最大1,500万ユーロ、または事業者の場合は前会計年度の全世界年間売上高の2.5%のいずれか高い方の行政制裁金の対象です。
ただし同条10項は、一部の製造業者に例外を設けています。対象は、EUの定義による零細企業（microenterprises）または小規模企業（small enterprises）に当たる製造業者です。
これらの製造業者が24時間以内の早期警告の期限（第14条2項(a)・4項(a)）を守れなかったことには、この行政制裁金を適用しません。
対象は24時間の期限に限られ、72時間以内の通知や最終報告の期限、中規模企業は含まれていません。通知の義務そのものがなくなるわけでもありません。
この10項は、官報掲載時の文面では「3項から9項の例外」と書かれていました。2025年7月2日付の正誤表（corrigendum）で、「2項から9項の例外」に訂正されています。
条文を確認するときは、訂正後の文面を参照してください。また第17条4項は、通知したこと自体によって通知者の責任が重くなることはないとしています。
実際の制裁の内容は加盟国の国内法で決まるため、自社がこれらに当たるかどうかは、条文を確かめたうえで専門家に確認してください。
サポートが切れた製品と、他社コンポーネント
見落としやすいのが、サポート期間の終わった旧機種です。ガイダンスによれば、報告義務はサポート終了後も続きます。
旧機種の担当者が既にいない、ビルド環境が残っていないという状況でも、悪用を認識すれば通知は必要です。製品台帳には現行機種だけでなく、EUで使われ続けている旧機種も載せておく必要があります。
他社製のコンポーネントやオープンソースソフトウェアに由来する脆弱性も同じです。自社製品の中で悪用されていれば、製品の製造業者として通知します。
加えて規則第13条6項は、コンポーネントの脆弱性を見つけたときに、その製造者や保守者へ報告することを求めています（2027年12月11日から適用）。
2027年12月に向けて残っている準備
報告義務は入口にすぎません。2027年12月11日からは、新しく市場に出す製品に主要な義務がかかります。リスク評価にもとづく設計、脆弱性の修正とセキュリティ更新の提供、原則5年以上のサポート期間の設定、適合性評価とCEマーキングなどです。
安全に関わる製品を開発している現場では、機能安全の安全ライフサイクルと並べて、セキュリティの活動を開発プロセスに組み込んでいくことになります。
工場に機器を導入する側から見れば、スマートファクトリーを構成する機器の選定基準にも関わってくる動きです。
適合を示すための整合規格は、欧州委員会が41件の規格の策定を欧州標準化機関に要請しており、脆弱性ハンドリングを含む規格の策定が進められています。
個々の規格が確定してEU官報に掲載されたかどうかは、この記事の調査では確認できていません。最新の状況は欧州委員会の標準化のページで確認してください。
まとめ
- サイバーレジリエンス法の報告義務（第14条）は2026年9月11日に始まり、それ以前にEUで販売した製品も対象になる
- 報告するのは「悪用されている脆弱性」と「重大なインシデント」で、認識から24時間以内に早期警告、72時間以内に通知が必要
- 最終報告は、脆弱性は是正措置または緩和措置が利用可能になってから14日以内、重大なインシデントは通知の提出から1か月以内
- 通知はENISAの単一報告プラットフォーム（SRP）で行い、通知先のCSIRTと担当者のアカウントは事前に決めておく
- 受付窓口、製品台帳とSBOM、判断基準、決裁者、通知のひな形、訓練の6つを整えておくと、24時間以内に動ける
報告義務への対応は、開発・品質保証・法務・営業にまたがる仕事です。関連する職種の記事はソフトウェア・組込みや品質保証・品質管理、技術テーマはスマートファクトリー・IoTのページにまとめています。
繰り返しになりますが、自社製品が対象かどうか、個別の事象が報告義務に当たるかどうかは、条文と当局の資料で確かめてください。そのうえで、法務部門や専門家、EU側の輸入者・認定代理人と相談して判断してください。
出典
出典・参考資料（12件）を開く出典・参考資料を閉じる
- 条文（第2条・第3条・第13条〜第18条・第64条・第69条・第71条、附属書I）：EUR-Lex「Regulation (EU) 2024/2847（Cyber Resilience Act）」。第64条10項は正誤表（OJ L, 2025/90555、2025年7月2日）による訂正後の文面
- 報告義務の概要、SRPの運用開始、委任法令：欧州委員会「Cyber Resilience Act – Reporting obligations」（最終更新 2026年9月11日）
- 適用開始の発表：欧州委員会「Safer and more secure digital products」（2026年9月11日）
- 「認識した」時点、既販品・サポート終了製品、利用者への通知の考え方：欧州委員会「Commission publishes new guidance to support timely Cyber Resilience Act implementation」（2026年7月27日、C(2026) 5252 附属書のガイダンス9.1節。拘束力なし）
- 報告義務に当たる例・当たらない例：欧州委員会「Cyber Resilience Act implementation – Frequently asked questions」
- SRPの利用方法：ENISA「Single Reporting Platform (SRP)」、同 Frequently Asked Questions（2026年9月30日時点）
- SRPの公開：ENISA「The CRA Single Reporting Platform is launched」（2026年9月11日）
- 整合規格の策定状況：欧州委員会「Cyber Resilience Act – Standardisation」
- 日本語での解説：ジェトロ ビジネス短信「EUのサイバーレジリエンス法に基づく報告義務が9月11日から適用開始」（2026年9月18日）
- PSIRTの役割：JPCERT/CC「PSIRT Services Framework v1.0 日本語版」、FIRST「PSIRT Services Framework 1.1」
- 製品開発者の脆弱性対処：IPA「製品開発者向け・製品利用者向けガイド」、IPA「情報セキュリティ早期警戒パートナーシップガイドライン」
- SBOMの作り方と使い方：経済産業省「ソフトウェア管理に向けたSBOMの導入に関する手引ver2.0」（2024年8月29日）
NEWSLETTER
選んだ職種・業種に合わせた記事を、週1回メールで
週刊MONOSCOPEは、登録時に選んだ職種・業種に合わせた記事を週1回お届けする無料のメルマガです。
職種・業種を選んで登録へ ›
無料・週1回。登録後に届く確認メールのリンクを押すと登録が完了します。配信はメール内のリンクからいつでも停止できます。
WEEKLY NEWS
今週の製造業ニュース10選
メルマガは職種・業種に合わせた記事。LINEとnoteでは、全員共通の10本を毎週土曜の朝にお届けします。
LINEでニュース10選を受け取るnote今週のニュース10選をnoteで読む ›
コメント