本年施行予定のEUサイバーレジリエンス法について

EU理事会（閣僚理事会）と欧州議会は2023年11月、「サイバーレジリエンス法（cyber resilience act、以下「CRA」）について、一連の立法手続を経て、暫定的な政治合意に達したと発表した。同法に相当する規制の必要性は、2020年に欧州委員会が公表した「2020年欧州サイバーセキュリティ戦略（2020 EU Cybersecurity Strategy）」で言及されて以降、立法手続がなされてきたものである。

CRAは、デジタル要素を備えた製品の製造業者および開発業者に対し、ハードウェアとソフトウェアの両方を対象とする共通のサイバーセキュリティ規則を導入するものであり、デジタル要素を備えた全ての製品が対象となっており、デバイスやネットワークに直接的/間接的に接続されるものも含むのが特徴である。

ハードウェアおよびソフトウェアを製造する者に対して、セキュリティ・サポート、ソフトウェア・アップデートの提供、製品に関するサイバーセキュリティに関する情報の提供などを義務付けることで、製造業者の責任を強化し、利用者側のサイバーセキュリティの確保と向上を目指すものである。

CRAが対象とするデジタル要素を備えた製品とは、オープンソースソフトウェア ¹ や、クラウドなど（SaaS）、医療機器、航空、自動車など既存の規則ですでにカバーされているサービス、国家安全保障に関するデジタル製品や軍事目的・機密情報処理目的などの特定の除外項目を除く、デバイスやネットワークに直接的/間接的に接続されるもの全てが対象である。これらは、EU域内で販売されるものが対象となる。

CRAはEU加盟各国で規制が異なることによる適用要件の重複を避けるため、ハードウェアとソフトウェア製品の設計、開発、製造、販売に関するEU全体のサイバーセキュリティ要件を導入することを目的として制定された。

CRAにより、デジタル要素を備えた製品について、そのサプライチェーンも含む安全性を確保するとともに、消費者側においても、サイバーセキュリティをより考慮できる形で製品を特定し、利用が促進されることが期待されている。

ハードウェア製品、ソフトウェア製品いずれも、その製品の仕様や接続環境次第では、ひとたびサイバーインシデントが発生するとサプライチェーンを含む広範にわたり影響が伝播するおそれがある。様々な製品がクロスボーダーで利用されている今日では、その影響は社会、経済に多大なダメージを与える蓋然性が高い。サプライチェーン攻撃は、独立行政法人情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」でも、2019年以降、毎年上位にランクインしている。

様々なハードウェア、ソフトウェアが市中で利用されるなか、たとえ重要性が低いとされているような製品であっても、悪意ある攻撃のトリガーとなってしまうことにより、システム全体への侵入を許す、または他のシステムへの不正アクセスを許すことに繋がる可能性がある。CRAが制定されることとなった背景として、世界的にサイバー攻撃が増加しているなか、特に次の2つの背景があげられている。

CRAの適用範囲は非常に広く、低リスクから高リスクまで、あらゆる種類のハードウェアとソフトウェアを対象としている。CRAは、製品について使用環境等のリスクレベル毎、以下の3つのカテゴリーに分類している。サイバーセキュリティリスクの決定に当たっては、潜在的なサイバーリスク、デジタル要素を備えた製品のサイバーセキュリティに関連する機能性、特定の産業などの機密性の高い環境での使用目的が考慮される。

なお、CRAは、すべてのハードウェアおよびソフトウェアの製造業者に対して、設計・開発段階からEU域内における商品化まで、製品のライフサイクル全体にわたる適切なサイバーセキュリティ対策を実施することを求めている。

上記、クラスIに関して、製造業者は、自社の製品がEUの関連法規に準拠していることを証明する必要があるが、デジタル要素を備えた製品がすでにEU官報に掲載された整合規格に適合していれば、自動的にCRAに適合しているとみなされる。

第三者評価は、CRAに定められた基準に基づき公認のノーティファイド・ボディ（Notified Body＝通知機関）によって実施され、当該製品がCRAに適合しているかどうかを認証するものである。ノーティファイド・ボディはEU加盟国によって任命されており、欧州委員会はノーティファイド・ボディのリストを作成し、一般に公開している。

適合性評価を通じてCRAへの適合が証明されると、製造業者はEU適合宣言書を作成し、欧州規則（EC）765/2008の一般原則に従ってそのデジタル要素を備えた製品に「CE」マークを貼付する。また、製品をEU市場に出す前に、CRAの要求事項に従い、適合に関する技術文書と使用説明書を作成する必要がある。技術文書は10年間保管され、CRAによる市場監視のスキームに組み込まれる。

CRAは、EU各国の法令の調和（ハーモナイゼーション）を目指すものであり、CRAが2024年に発効すると、EU加盟国及び事業者はCRAが定める新たな要件に準拠する必要があるため、完全実施までは施行後36カ月の猶予を与えられることとなっている。なお、より調整が少ない事項とされる、顕著な脆弱性やインシデントに関する製造業者の報告義務に関しては、発効から21カ月後に適用されることとなっている。

CRAはEU指令ではなく、EU規則の形態をとったが、これはEU市場に流通する幅広い製品を対象として効果的に規制の網をかけることができる利点があることに加え、各国の裁量を限定することで規制内容が複雑化、断片化、不確実化することを防ぐことを目的としたためである。

また、CRAの法案策定にあたり、製品リスクの分類や第三者認証については民間セクターを中心に懸念や今後の課題についても提唱されている。例えば、欧州の技術系企業6社のCEOとDigital Europewareは、CRAの適用範囲が限定的でない点、メーカーに第三者認証機関を通した製品の認証を義務付けることが、製造、流通市場の混乱に繋がるおそれがある点を指摘しており、製品リスクの分類における高リスク製品の数は最小限にとどめるべきとしている。また、別の業界連合は、新製品の市場投入に過大なコストがかかるのを避けるために、製品リスクの分類のほとんどの製品は非重要カテゴリーに分類されるべきであり、自己評価の余地を多く残すべきであると指摘する ⁴。

CRAでは、セキュア・バイ・デフォルト（Secure by Default）の概念のもと、製造業者においては製品の設計・開発段階からサイバーセキュリティを考慮し、既知の脆弱性を回避することが求められている。具体的には、第II章で製造業者における主な義務として規定されており、製造業者の義務（第10条）、製造業者の報告義務（第11条）を定めているほか、代理人の権限（第12条）、輸入業者の義務（第13条）、販売者の義務（第14条）について定めている。また、CRAの付属文書には、i) 製造業者がユーザーに提供すべき情報、ii) 製品に関する適合性評価手続、iii) 技術文書に関する事項が含まれている。さらに、付属文書Ⅰ（2）には、製品のサイバーセキュリティを確保するため、製造業者が従わなければならない脆弱性ハンドリング要件が詳述されている。

なお、製造業者の義務として、具体的には第10条で以下の事項を定めている。

また、製造業者の報告義務に関して、具体的には第11条で以下の事項を定めている。ENISA（European Network and Information Security Agency：欧州ネットワーク・情報セキュリティ機関、以下「ENISA」）は、下記の報告のためのワンストップ機関となるプラットフォームを設置する予定である。また、得られた脆弱性に関する情報は欧州の脆弱性データベースに記録される。

CRAは、EU全体をカバーする規制として、製造業者、利用者双方の法的確実性を高めるとともに、サイバーリスクの軽減に寄与し、大きな利益をもたらすことが期待される。また、各国で断片化した規制措置が講じられるよりも、EU規則として一元的に対応するほうが、EU域外から事業参入する者にとっても、その確実性、明瞭性の点でメリットが多いと推察される。

また、他法令との関係では、CRAはNIS2指令（NIS（ネットワーク情報システム）⁵ 指令の改訂案） を補完するものであるほか、無線設備指令（2014/53/EU（RED委任規則（Radio Equipment Directive：無線機器指令　以下「RED指令」）））に基づき対象となる無線設備に適用されるなど、サプライチェーン全体でのサイバーセキュリティ確保の観点で既存法令との相乗効果の期待もある。

欧州委員会は、CRA施行に対する主な期待として以下の点を挙げている ⁶。

従来、消費者や当局の監視、監督が直接及びにくかったサードパーティに由来する製品情報についても、クラスI、クラスIIに分類されるような製品であれば、そのリスクの程度を網羅的に把握できる点でも、サイバーインシデントの抑止、拡散することによるシステミックリスク軽減には有用であると考えられる。サイバーインシデントの発生が減少すれば、インシデント対応における企業側のコストやレピュテーションリスクの軽減につながるほか、企業の製品、サービスにかかる消費者側の信頼が高まること、ひいてはデジタル市場の活性化にもつながるものと考えられる。加えて、CRAは製造業者の情報開示や説明責任についても規定しているため、消費者においては、データ保護やプライバシー保護などの権利保護も向上するメリットがある。消費者の知る権利が確保・向上することや安全なサービスの提供が担保されることは、SDGsの側面からのメリットが多いものと思料される。