本コラムでは、EUサイバーレジリエンス法（Regulation（EU）2024/2847、EU Cyber Resilience ACT、以降CRA）の適合基準である整合規格（harmonised standards）の整備状況について概説します。なお、本コラムは2025年7月に執筆しており、正式な制度開始時には内容が異なる部分がある可能性があることをご認識ください。

CRAは、情報の授受が前提となった社会で、インシデントが起こらないための事前対策に加え、起きてしまったときの影響を最小限に抑え、迅速に回復することを目的としています。この規則は、ネットワークに接続する機能を持つデジタル製品およびその製造業者等が守るべき事項を定めた、EUの規則（Regulation）であり、EU加盟各国の法律を直接上書きするものです。CRAの詳細は先のコラム「日本のIoT製品のセキュリティ適合性評価制度とEUサイバーレジリエンス法について」をご確認ください。

JC-STAR制度の運用開始とCRAへの適合を支援する欧州標準（整合規格）の整備要請

先のコラムを公開して1年ほどが経過しようとしていますが、この間、日本のIoT製品のセキュリティ適合性評価制度は、JC-STAR制度^[1]として運用が開始され、同制度における基準★1に適合した製品の登録が始まっています。当社もJC-STAR検証事業者として、★1の適合性評価を行うサービスの提供を開始しています^[2]。

一方、CRAについては、2026年9月の製造業者の報告義務（CRA第14条 悪用されている脆弱性、重大なインシデントに関する報告）の適用、そして2027年12月の完全施行に向けて、整合規格の整備が進められています。
2025年2月3日、欧州委員会は、3つの欧州標準化機構 CEN^[3]、CENELEC^[4]、ETSI^[5]に対し、CRAに基づく製品のサイバーセキュリティ要件に対応し、適合を支援する欧州標準（整合規格）の策定を要請（M/604^[6]）しました。これに対して、2025年4月3日、CEN、CENELEC、ETSIはこの要請を正式に受理し、CRAの適用開始までに41の整合規格を提供することを約束しています。

CRA整合規格の分類

JC-STARの適合基準がすべての製品に適用される基準★1と、製品群固有の基準（★2以上）に分かれているのと同様に、CRAの整合規格は、対象とする製品群に応じて、二つのクラスに分けて整備されています。

整合規格の採択・発行スケジュールは、クラスに応じて異なっています。そこで、次にCRAの施行と上記の要請に基づいて定められた整合規格発行のタイムラインについて確認しましょう。

CRAの施行と整合規格発行に向けたタイムライン

図1は、CRAの施行と整合規格発行に向けたタイムラインを示しています。図の上段はCRA完全施行までのイベント、下段は整合規格の発行時期を示しています。
2027年12月11日におけるCRAの完全施行に先立ち、2026年9月11日以降は、悪用されている脆弱性および重大なインシデントに関する報告義務が適用されます。これに向けて、リスクに基づいて適切なレベルのサイバーセキュリティを確保する方法でデジタル製品を設計・開発・製造するための整合規格と、デジタル製品の脆弱性処理に関する整合規格（いずれも水平規格）が2026年8月30日までに採択される予定となっています。
その後、完全施行に備え、製品固有の特定カテゴリのデジタル製品向けの要件を提供する整合規格（垂直規格）が2026年10月30日までに、CRAの必須要件に関する整合規格（水平規格）が2027年10月30日までに採択され、欧州官報で発行される予定となっています。
製品カテゴリ固有の垂直規格はCRAの完全施行の少なくとも1年前までには提供される予定であるのに対して、すべての製品に適用できる水平規格はデジタル製品のサイバーセキュリティの採択予定である2027年10月30日、つまり完全施行の2027年12月の直前が採択期限となっている点に、注意が必要です。

図1：CRAの施行と整合規格発行に向けたタイムライン

CRA整合規格の一覧

次の表1は、要請M/604に基づいて整備が開始されているCRAの整合規格を一覧化し、対応するCRAの条項番号とともに整理したものです。要請の当初では、項番に挙げられている41の規格の整備が求められていましたが、例えば項番2～14はCRAの附属書I パート I (2) にある必須のサイバーセキュリティ要件の各項番に相当しており、整合規格としてはこれらをまとめて1つの規格となる可能性があります。また、項番17のように規格そのものが二つに分けて作られるものもあり、厳密に41個の規格として作られるわけではなさそうです。また、項番20, 21, 22, 25, 27, 36のように産業用自動制御システムの規格の分野向けプロファイルEN 62443-5 シリーズとして整備されるものもあるようです。
すべての製品に適用できる水平規格は項番1～15に相当する規格であり、製品カテゴリ固有の垂直規格は、項番16～41に相当する規格です。

最後に

本コラムでは、CRAの技術基準である整合規格の現時点での整備状況について確認しました。これらの整合規格は、2026年から2027年にかけて採択され、欧州官報において発行が予定されていますが、現時点（2025年7月）では、ドラフト段階にあります。製造業者や関係者は、ドラフト規格やガイダンスの公開状況を継続的に確認し、早期に対応の準備を進めることが推奨されます。

注釈