White Paper製造業のためのCRA実践ガイド

本資料の概要

本資料は、EU市場に「デジタル要素を持つ製品」を提供する（または提供する可能性のある）製造業のPSIRT・情報システム・品質保証部門の担当者と、その経営層に向けて、EUサイバーレジリエンス法（CRA＝Cyber Resilience Act、規則番号 EU 2024/2847）の2つの期限（2026年9月11日の報告義務開始と2027年12月11日の製品要件全面適用）を正しく理解し、SBOM整備・脆弱性検知の自動化・PSIRT構築を何から・どの順序で進めればよいかを、EU公式文書等の公開一次情報にもとづいて解説するホワイトペーパーです。段階0〜4の現在地別ロードマップと、そのまま社内の点検管理表に使える着手チェックリストを収録しています。提供元はフューチャー株式会社のFutureVulsチームとなります。

主要データ（母数・出典・年付き）

• CRA違反の制裁金は最大1,500万ユーロ（約28億円。1ユーロ＝約185円、2026年7月時点の概算）または前会計年度の全世界売上高の2.5%のいずれか高い方です（CRA第64条）。EU域内に拠点がなくても、EU市場に製品を流通させていれば対象になります。
• 2025年の1年間に公表された脆弱性（CVE）は48,185件で前年から約2割増、1日あたり130件を超える計算です（NVDおよびCVE List V5にもとづく公開分析、2026年1月）。
• 2025年の1年間に新たに発見された悪意あるオープンソースパッケージは454,648件にのぼります（Sonatype「2026 State of the Software Supply Chain」）。
• 2025年に公開されたOSS関連CVEの65%は、NVD（米国の脆弱性データベース）でCVSSスコア（危険度の点数）が付与されていません。製品を一意に特定する識別子（CPE）の付与率も57.6%にとどまります（同報告書等）。
• 経済産業省が公開するSBOM導入の手引では、医療機器分野の実証でSBOM活用により手動管理比で管理工数が約70%低減したと報告されています。
• FutureVulsの2025年自社実測でのSSVCによる自動トリアージの結果、「Immediate（即時対応）」と判定された脆弱性は検知全体のわずか0.06%でした（FutureVuls Foresight Vol.3）。

CRAの2つの期限

• 期限その1：2026年9月11日（報告義務・Article 14） ― 自社製品の脆弱性が「実際に悪用されている」と認識したとき、または重大インシデントが起きたときの当局報告義務が始まります。報告は3段階で、24時間以内の早期警告（early warning）、72時間以内の詳細通知（full notification）、その後の最終報告（悪用脆弱性は是正策の提供後14日以内、重大インシデントは詳細通知の提出後1か月以内）です。CRAの経過措置（第69条3項）により、全面適用日より前に市場に出された既存製品にもこの報告義務は及びます。
• 期限その2：2027年12月11日（製品要件・Article 13／付属書I） ― SBOM（ソフトウェア部品表）の整備、セキュアバイデザイン、脆弱性への対応プロセス、CVDポリシー（外部から脆弱性報告を受け付ける窓口）、サポート期間（原則最低5年）の保証など、製品そのものに作り込むべき要件が全面適用されます。
• この違いが意味すること ― 2026年9月までにすべてを完璧にそろえる必要はありません。9月時点で法的に求められるのは「報告できる態勢」です。ただし、報告できる態勢をつくるには結局「自社製品に何が入っているか（SBOM）」を把握し、「悪用されている脆弱性」に気づける仕組みが要るため、9月対応と2027年対応は地続きです。

CRA対応の3つの土台

• 土台1：資産の可視化（SBOM） ― 自社のどの製品に、どんな部品（ソフトウェア）が、どのバージョンで入っているかを正確に把握すること。その中核がSBOM（ソフトウェア部品表）です。実務ではフォーマットの「方言」（同じ規格でもツールにより取り込めない表記差）、推移的依存関係、バイナリに焼き込まれた隠れ依存、ゾンビOSS（公式のEOL宣言がなくても事実上開発が止まっている部品）といった落とし穴に向き合う必要があります。
• 土台2：脆弱性検知の自動化・絞り込み ― SBOMを脆弱性データベースと自動照合し、危険な部品を常時チェックする仕組み。CVSSスコア一辺倒ではなく、実際の悪用実態（KEV）と予測（EPSS）を踏まえ、SSVCという判断フレームワークで「即時対応」「計画的対応」「様子見」に振り分けることで、判断の属人化を防ぎます。
• 土台3：報告体制の確立（PSIRT） ― 悪用脆弱性やインシデントを認識してから、調査・判断・報告へとつなぐワークフローと体制。担い手となるPSIRT（製品セキュリティインシデント対応チーム）を、経営層のコミットメントの下、憲章・体制・役割・予算の運用基盤とともに立ち上げ、24時間・72時間の期限を守れる流れを平時から設計しておきます。

結論

CRA対応は、期限までのカウントダウンで急かされて進めるものではなく、自社の現在地から着実に積み上げていくものです。整合規格（harmonised standards）は2026年8月時点でまだ一本もEU官報に掲載されていませんが、規格の完成を待つ必要はありません。「自社のどの製品に、どんな部品（ソフト）が入っているか」を把握し、危ない部品を見つけられる状態をつくること――これがすべての出発点です。段階0〜4の自己診断で現在地を確かめ、現在地の「次の一歩」だけに集中することが、結局のところ最も早い進み方です。

関連資料（FutureVuls Foresightシリーズ）

• Vol.5 金融機関に残された時間 ― フロンティアAI要請対応 中期版 ― 脆弱性対応の自動化への移行を「自動化の4要件」と成熟度の段階0〜4モデルで解説。
• Vol.4 フロンティアAIによる脅威変化を踏まえた金融機関の短期的な対応 ― 当局要請への「応急対応」を扱った短期版。
• Vol.3 脱・CVSS依存の脆弱性マネジメント ― KEV・SSVCによるリスクベースの優先順位付けを、国内の実データをもとに解説。本Vol.6の第7章の元になった資料です。
• Vol.2 ソフトウェアサプライチェーン健全性レポート 2026 ― OSSの健全性評価とライフサイクル管理の実務。

FutureVuls は、フューチャー株式会社が開発・提供するクラウド型（SaaS）脆弱性管理サービスであり、脆弱性の検知・情報収集・優先順位付け・対応管理を自動化します。

よくあるご質問