EUサイバーレジリエンス法：24時間以内の報告義務が2026年9月11日より適用開始

2026年7月27日、欧州委員会はEU規則2024/2847号であるサイバーレジリエンス法（Cyber Resilience Act、以下「CRA」）の適用に関するガイダンスを公表しました。同ガイダンスは法的拘束力を有しないものの、市場監視当局および認証機関（ノーティファイドボディ）は、規則の統一的な解釈のために同ガイダンスを参照することが期待されています。同ガイダンスは80ページを超え、実務上の具体例、ユースケースおよびフローチャートが含まれています。

CRAの義務の大半は2027年12月11日から適用されます。ただし、報告義務については2026年9月11日から適用されます。この報告義務は、2027年12月11日以前に既に市場に投入された製品を含め、CRAの適用範囲に属するすべてのデジタル要素を含む製品に適用されます。

製造者は、自社製品において積極的に悪用されている脆弱性、および自社製品のセキュリティに影響を及ぼす重大インシデントについて、欧州連合サイバーセキュリティ機関（European Union Agency for Cybersecurity、以下「ENISA」）の単一報告プラットフォーム（Single Reporting Platform、以下「SRP」）を通じて、ENISAおよびコーディネーターとして指定されたコンピュータセキュリティインシデント対応チーム（CSIRT）に対し、同時に通報しなければなりません。

報告期限は、製造者が認識した時点から起算されます。

• 早期警告：24時間以内
• 通知：72時間以内
• 最終報告：積極的に悪用されている脆弱性については是正措置または緩和措置が利用可能となった後14日以内、重大インシデントについては72時間の通知から1か月以内

製造者は、影響を受けるユーザーに対しても通知しなければならず、適切な場合にはすべてのユーザーに対しても通知しなければなりません。

ガイダンスによれば、製造者が「認識した」とみなされるのは、初期評価を経て、自社製品の脆弱性が積極的に悪用されていること、または重大インシデントにより自社製品のセキュリティが侵害されたことについて、合理的な確度をもって確信するに至った時点です。同ガイダンスは、2026年9月11日以前に製造者が既に認識していた積極的な悪用について、遡及的に報告する義務はないことを確認しています。

CRAの義務に違反した場合、最大1,500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方を上限とする制裁金が科される可能性があります。SRPは2026年9月11日までに運用開始される予定です。

当事務所の以前のアラートである欧州委員会のCRA原案およびCRAの採択に関する記事も併せてご参照ください。

本アラートは、EUのサイバーレジリエンス法に関する重要な動向であり、EU市場においてデジタル要素を含む製品を製造・販売する日本企業にも大きな影響を及ぼし得ることから紹介するものです。原文は、Jones Day Alert “EU Cyber Resilience Act: 24-Hour Reporting Duties Start September 11, 2026”（オリジナル英語版）をご参照ください。