.svg)
投資家向けお問い合わせデモのご依頼
製品資料をダウンロード
34
Cybeats Marketplaceの資料をダウンロード
EU CRA自体は、特定の形式を指定していません。附属書I第II部（1）は、一般的に使用され、かつ機械判読可能な形式で、少なくとも製品の最上位レベルの依存関係を対象とするSBOMを求めています。また、第13条第24項により、欧州委員会は、後に実施法によってSBOMの形式と要素を定めることができます。欧州委員会がこれを定めるまでは、ドイツのBSI TR-03183-2が、EUで公表されている基準の中で最も具体的なものです。バージョン2.1.0は、CycloneDX 1.6以降とSPDX 3.0.1以降を、JSON形式またはXML形式で、かつ各仕様の正式にリリースされたバージョンに限って認めています。
つまずきやすいルールが1つあります。
| データフィールド | 区分 | 記載すべき内容 |
|---|---|---|
| SBOM作成者 | 必須（SBOMレベル） | SBOMを作成したエンティティのメールアドレス。メールアドレスがない場合は、作成者のホームページなどのURL。 |
| タイムスタンプ | 必須（SBOMレベル） | SBOMデータを取りまとめた日時。BSIはUTC（Zulu時間）の使用を推奨しています。 |
| SBOMのURI（SBOM-URI） | 追加（SBOMレベル） | SBOM自体のURI。 |
| コンポーネント作成者 | 必須 | コンポーネントを作成し、該当する場合は現在も保守しているエンティティのメールアドレス。メールアドレスがない場合はURL。 |
| コンポーネント名 | 必須 | コンポーネント作成者が付けた名前。名前が付けられていない場合は、実際のファイル名。 |
| コンポーネントのバージョン | 必須 | 作成者によるバージョン識別子。セマンティックバージョニングまたはカレンダーバージョニングを使用すべきです。バージョンがない場合は、ファイルの更新日時をRFC 3339の日時形式で記載します。 |
| コンポーネントのファイル名 | 必須 | ファイルシステム上のパスではなく、実際のファイル名。 |
| 他のコンポーネントへの依存関係 | 必須 | このコンポーネントが直接依存している、または含んでいるすべてのコンポーネント。その一覧が完全かどうかを明示する必要があります。 |
| 配布ライセンス | 必須 | ライセンシーがそのコンポーネントを使用する際に適用される、1つまたは複数のライセンス。 |
| デプロイ可能なコンポーネントのハッシュ値 | 必須 | デプロイ済みまたはデプロイ可能な形態（ストレージ上のファイル）のコンポーネントのSHA-512チェックサム。 |
| 実行可能プロパティ（Executable property） | 必須 | 「実行可能」または「実行不可」のいずれか。 |
| アーカイブプロパティ（Archive property） | 必須 | 「アーカイブ」または「非アーカイブ」のいずれか。 |
| 構造化プロパティ（Structured property） | 必須 | 「構造化」または「非構造化」のいずれか。両方の種類の部分を持つコンポーネントは、「構造化」として記録する必要があります。 |
| ソースコードのURI | 追加 | コンポーネントのソースコードのURI。できれば、リポジトリ内で使用した正確なバージョンを示すもの。 |
| デプロイ可能な形式のURI | 追加 | コンポーネントのデプロイ可能な（たとえばダウンロード可能な）形式を直接指すURI。 |
| その他の一意の識別子 | 追加 | Common Platform Enumeration（CPE）やPackage URL（purl）など、他の場所でコンポーネントを検索するための識別子。 |
| オリジナルライセンス（Original licences） | 追加 | 配布ライセンスとは区別される、コンポーネントの作成者が付与したライセンス。 |
| 実効ライセンス（Effective licence） | 任意 | このSBOMの作成者が、実際にコンポーネントを使用する際のライセンス。 |
| ソースコードのハッシュ値 | 任意 | コンポーネントのソースコードのチェックサム。BSIは、ソースツリーのハッシュ値を算出するアルゴリズムはまだ定められていないと注記しています。 |
| security.txtのURL | 任意 | コンポーネント作成者のsecurity.txtの場所（RFC 9116に準拠）。 |
「必須」は、そのフィールドを常に含める必要があることを意味します。「追加」は、その情報が存在し、かつ選択した形式が対応している場合には、必ず提供する必要があることを意味します。「任意」は、含めてもよいことを意味します。個別のファイルとしてデプロイされることのないコンポーネントのファイル名やハッシュ値のように、情報がそもそも存在し得ない場合、BSIはその省略を認めています。
出典：BSI TR-03183-2「Cyber Resilience Requirements for Manufacturers and Products, Part 2: Software Bill of Materials」バージョン2.1.0（2025年8月20日）。
| 段階 | 積極的に悪用された脆弱性（第14条第2項） | 重大なインシデント（第14条第4項） |
|---|---|---|
| 早期警告 | 認識してから24時間以内 | 認識してから24時間以内 |
| 通知 | 認識してから72時間以内。エクスプロイトと脆弱性の一般的な性質、講じた是正措置または緩和措置、ユーザーが講じることのできる措置を記載します。 | 認識してから72時間以内。インシデントの性質、初期評価、講じた是正措置または緩和措置、ユーザーが講じることのできる措置を記載します。 |
| 最終報告書 | 是正措置または緩和措置が利用可能になってから14日以内。 | 72時間以内の通知を提出してから1か月以内。多くの解説が14日という数字をそのまま流用して誤っているのが、この期限です。 |
| 中間報告書 | 第14条第6項に基づき、調整役のCSIRTが求めた場合のみ。 | 第14条第6項に基づき、調整役のCSIRTが求めた場合のみ。 |
| ユーザーへの情報提供 | 第14条第8項に基づき必須。適切な場合は、構造化された機械判読可能な形式で行います。 | 第14条第8項に基づき必須。適切な場合は、構造化された機械判読可能な形式で行います。 |
SBOM義務と報告義務は、附属書と各条文に分散して定められており、すべてが同じ日に始まるわけではありません。以下がその対応表です。
| 規定 | 求められる内容 | 適用開始日 |
|---|---|---|
| 第14条第1項および第2項 | 積極的に悪用された脆弱性を報告します。24時間以内に早期警告、72時間以内に脆弱性通知、是正措置または緩和措置が利用可能になってから14日以内に最終報告書を提出します。 | 2026年9月11日 |
| 第14条第3項および第4項 | 重大なインシデントを報告します。24時間以内に早期警告、72時間以内にインシデント通知、その通知から1か月以内に最終報告書を提出します。 | 2026年9月11日 |
| 第14条第7項 | 主たる拠点を置く加盟国で調整役として指定されたCSIRTの通知エンドポイントを通じて提出します。提出内容には、ENISAも同時にアクセスできます。 | 2026年9月11日 |
| 第14条第8項 | 影響を受けるユーザーに、脆弱性またはインシデントと、ユーザーが適用できる緩和策を知らせます。適切な場合は、自動処理が容易な、構造化された機械判読可能な形式で行います。EU CRAは形式を指定していません。BSI TR-03183-3は、ISO/IEC 20153:2025として標準化されたOASIS CSAF 2.0を示しています。 | 2026年9月11日 |
| 第16条 | ENISAが単一報告プラットフォームを設置し、運営します。通知を受けたCSIRTは、他の調整役のCSIRTに通知を伝達します。正当なサイバーセキュリティ上の理由がある場合は、その伝達を遅らせることができます。第14条に基づく通知は、同条が適用される2026年9月11日から、このプラットフォームを通じて行います。 | 2027年12月11日 |
| 第69条第3項 | 第69条第2項の規定にかかわらず、第14条の報告義務は、2027年12月11日より前に上市された適用対象のすべての製品に、実質的な改変の有無にかかわらず適用されます。 | 2026年9月11日 |
| 附属書I第II部（1） | 脆弱性とコンポーネントを特定し、文書化します。その方法には、一般的に使用され、かつ機械判読可能な形式で、少なくとも製品の最上位レベルの依存関係を対象とするSBOMを作成することが含まれます。 | 2027年12月11日 |
| 附属書VII（8） | SBOMを技術文書の一部として保持し、市場監視当局から理由を付した要求があった場合に提供します。公開する義務はありません。 | 2027年12月11日 |
| 附属書II（9） | SBOMをユーザーに提供することを選んだ場合は、製品情報にその入手先を記載する必要があります。 | 2027年12月11日 |
| 第13条第25項 | 市場監視当局は、ADCOが実施を決定したEU全域のソフトウェア依存関係評価のために、SBOMの提供を求めることができます。提供されたSBOMの内容は、匿名化および集約された形で報告されます。 | 2027年12月11日 |
| 第24条第3項 | オープンソースソフトウェア・スチュワード（OSSスチュワード）は、製品の開発に関与している場合に第14条第1項の義務を負い、その開発のために提供しているシステムに重大なインシデントが影響する場合に第14条第3項および第8項の義務を負います。 | 2027年12月11日 |
| 第13条第24項 | 欧州委員会は、欧州規格および国際規格を考慮したうえで、実施法によってSBOMの形式と要素を定めることができます。そのような実施法はまだ採択されていません。 | 未行使 |
第64条は上限を定めており、各加盟国はその範囲内で独自の規則を定めます。SBOM義務の違反は、第14条の報告義務の違反と並んで、最も高い区分に該当します。
| 違反の対象 | 制裁金の上限 | 根拠 |
|---|---|---|
| 附属書Iの必須サイバーセキュリティ要件、第13条、または第14条 | 1,500万ユーロ、または前会計年度の全世界年間売上高の2.5%のいずれか高い方。 | 第64条第2項 |
| 認定代理人、輸入業者、販売業者およびノーティファイドボディ（通知機関）の義務、EU適合宣言書、CEマーキング、技術文書および適合性評価手続きに関する製造者の義務、ならびに要求に応じて市場監視当局にサプライチェーン情報を提供し、データへのアクセスを認める義務 | 1,000万ユーロ、または全世界年間売上高の2%のいずれか高い方。対象は、第18条から第23条、第28条、第30条第1項から第4項、第31条第1項から第4項、第32条第1項から第3項、第33条第5項、第39条、第41条、第47条、第49条および第53条です。 | 第64条第3項 |
| 要求への回答として、ノーティファイドボディまたは市場監視当局に対して行った、不正確、不完全または誤解を招く情報の提供 | 500万ユーロ、または全世界年間売上高の1%のいずれか高い方。 | 第64条第4項 |
実際の規則は、第64条第1項に基づき、各加盟国が定めます。上記の金額は、EU CRAが定める上限です。第64条第5項は、違反の性質、重大性および期間、同一の事業者に対して類似の違反で制裁金がすでに科されているかどうか、そして当該事業者の規模および市場シェアを考慮するよう求めています。規模については、零細企業および中小企業が明示されています。
.svg)
本ページは、EU CRAおよびBSI TR-03183-2に関する一般的な情報であり、法的助言ではありません。いずれもまだ整備の途上にあり、その解釈は変わる可能性があります。本ページの内容に基づいて行動する前に、自社の義務について、資格を有する法律専門家にご確認ください。
