EU CRAのSBOM義務と第14条の報告義務への対応機能を、SBOM Studioに搭載

デジタル要素を有する製品を対象とする、EU初の水平的なサイバーセキュリティ法です。セキュア・バイ・デザインの要件、SBOM義務、積極的に悪用された脆弱性の報告に関する規則を定めており、2024年12月10日に発効しました。

第14条の報告義務は、2026年9月11日から適用されています。同日以降、積極的に悪用された脆弱性と重大なインシデントは、認識してから24時間以内に、ENISAおよび自社を管轄するCSIRTに報告する必要があります。

企業の所在地にかかわらず、EUで販売されるコネクテッド製品の製造者、輸入業者、販売業者です。第14条に基づく報告は、すでに上市されている製品も対象としますが、EU CRAのその他の規定がそれらの製品に及ぶのは、2027年12月11日以降に実質的な改変が行われた場合に限られます。

罰則は、どの義務に違反したかによって異なります。附属書Iの必須サイバーセキュリティ要件（SBOMに関する要件および脆弱性処理要件を含む）、または第13条および第14条の製造者の義務（第14条に基づく報告義務を含む）に違反した場合、制裁金の上限は1,500万ユーロ、または違反者が事業者である場合は前会計年度の全世界年間売上高の2.5%のいずれか高い方です。輸入業者および販売業者の義務を含む、その他の所定の義務に違反した場合の上限は、同じ基準で1,000万ユーロまたは2%です。要求に応じてノーティファイドボディ（通知機関）または市場監視当局に不正確、不完全または誤解を招く情報を提供した場合の上限は、同じく500万ユーロまたは1%です。本回答は法的助言ではありません。自社が負う可能性のあるリスクについては、法律専門家にご確認ください。

製造者に対し、積極的に悪用された脆弱性と重大なインシデントを、段階的な期限に沿って報告するよう求める規定です。期限は、24時間以内の早期警告、72時間以内の詳細な通知、是正措置または緩和措置が利用可能になってから14日以内の最終報告書です。重大なインシデントの期限は別途起算され、最終報告書は通知から1か月以内です。

はい。2026年9月11日に適用が始まった報告義務は、新たにリリースされる製品だけでなく、すでにEUで販売されている製品にも適用されます。2027年12月の全面適用日よりも、かなり早い段階からの適用です。

ソフトウェア製品に含まれるコンポーネントの、機械判読可能なインベントリーです。EU CRAは、少なくとも最上位レベルの依存関係を対象とするSBOMを求めています。これにより、新たな脆弱性が自社に影響するかどうかを数分以内に判断できます。それは、24時間の期限に対応するための前提条件です。形式、深さ、バージョンごとのルールについては、EU CRAのSBOM要件をご覧ください。

はい。EU CRAの義務を満たす、ガバナンスの効いたSBOMの統合管理基盤、継続的な監視、VEXの生成は、そのままFDA第524B条、IEC 62443、その他のフレームワークへの対応にも役立ちます。そのため、EU CRAへの備えは、ほかの場面でも再利用できるインフラの上に築かれます。