Quality & Sustainability

■ CRA適合がお客様のデバイスにもたらす意味

Cyber Resilience Actは法的枠組みを定義していますが、メーカーはその内容を実際の運用プロセスに落とし込む必要があります。

「デジタル要素を含む製品」において、一般的な適合要件は以下の通りです：

• 市場投入前のサイバーセキュリティリスク評価
• 設計段階からのセキュリティ確保（Secure-by-design）および初期状態でのセキュリティ確保（Secure-by-default）の開発手法
• ソフトウェア部品表（SBOM）の管理
• 継続的な脆弱性モニタリング
• セキュリティアップデートおよびパッチ管理メカニズム
• 技術文書および監査におけるトレーサビリティの確保
• 定められたタイムライン内での当局への重大な脆弱性報告義務
• 適合性評価およびCEマーキングへの対応

したがって、CRAへの適合はセキュリティ機能を持つハードウェアを載せるだけでは不十分であり、継続的なソフトウェアガバナンス、モニタリング、ライフサイクル管理が必要となります。

■ Cyber Resilience Act（CRA）とは？

• Cyber Resilience Act（CRA）は、EU市場で販売されるデジタル要素を備えたハードウェアおよびソフトウェア製品のサイバーセキュリティを大幅に向上させることを目的とした欧州連合（EU）の画期的な規則です。スマートTVやベビーモニターから、OS、産業用制御システムに至るまで、あらゆる製品が設計・初期状態から安全であり、ライフサイクル全体を通じてその安全性が維持されることを目指しています。
• CRAは、メーカー、輸入業者、販売業者に対して義務的なサイバーセキュリティ要件を課します。主な義務には、徹底したリスク評価の実施、初期設計段階からの堅牢なセキュリティ機能の実装、脆弱性に対処するための継続的なセキュリティアップデートの提供が含まれます。また、メーカーは明確な脆弱性管理プロセスを確立し、悪用されている脆弱性や重大なインシデントが発生した場合は、国家およびEUのサイバーセキュリティ機関に迅速に報告しなければなりません。
• 本法案は、製品の重要性（リスク）に応じた階層的アプローチを導入しており、より高リスクな製品には第三者機関による適合性評価が求められます。CRAに適合した製品にはCEマークが付与され、新しい基準への準拠を示します。CRAは、サイバーインシデントによる経済的・社会的コストを削減し、製品セキュリティの透明性を高め、消費者や企業がサイバーセキュリティの確保された製品を選択できるようにすることを目指しています。規定の大部分は2027年12月から適用されます。
• 詳細情報はCyber Resilience Act | Shaping Europe’s digital futureにて確認できます。

CRAのタイムライン

24ヶ月の移行期間（2026年9月11日まで）：メーカーは、脆弱性の報告および市販後モニタリング（Post-market monitoring）のためのプロセスを導入する必要があります。

36ヶ月で全面施行（2027年12月11日まで）：デジタル要素を持つすべての製品は、CRAのサイバーセキュリティ要件に適合しなければなりません。

CRA製品カテゴリの理解

Cyber Resilience Actでは、製品を以下の4つの主要カテゴリに分類しています：

• Non-important（非重要）
• Important Class I（重要 クラスI）
• Important Class II（重要 クラスII）
• Critical（クリティカル）

それぞれのカテゴリは、サイバーセキュリティ上のリスクだけでなく、CRA適合のために受けるべき検査や認証要件のレベルも反映しています。「非重要」に分類されない製品は、最終的にこれらの縦断的規格のいずれかに分類されることになります。

あなたの製品は対象ですか？

CRAは、自社開発か外部委託かにかかわらず、EU市場に投入される「デジタル要素を備えた製品」のほとんどに適用されます。

メーカーにおける主な考慮事項：

• ソフトウェア開発を外部委託しても、メーカーの責任が免除されるわけではありません。
• EU外で開発された製品であっても、EU市場で販売される場合は対象となります。
• オープンソースコンポーネントの責任は、商用製品のメーカーが負います。
• 一部の分野（医療、自動車、航空など）は既存のEU法制で一部カバーされている場合がありますが、ソフトウェアセキュリティに関する義務は引き続き関連します。

メーカーは、EU市場に投入される最終製品のサイバーセキュリティ姿勢に対して引き続き責任を負います。

この進行中の分類プロセスの詳細については、CENELECのウェブサイトで公開されている無料動画をご覧ください：Webinar ‘Standards supporting the Cyber Resilience Act’ – CEN-CENELEC

CRAは組み込みコンピューティングにどう影響するか？

• CRAは組み込みコンピューティングにプロファウンドな（非常に大きな）影響を与え、組み込みシステムの設計、開発、導入、保守の方法を根本から変革します。家電製品から産業用制御システム、重要インフラに至るまで、組み込みデバイスが広く普及していることを考えると、CRAの及ぶ範囲は非常に広大です。
• 本質的にCRAは、組み込みコンピューティングのセキュリティ運用を、これまでの受動的なアプローチから、予防的で統合的かつライフサイクル全体を見据えたものへと成熟させることを要求します。これによりメーカーの開発コストや複雑さは確実に増大しますが、よりレジリエントで信頼性の高いデジタルエコシステムの構築に貢献します。

レガシー（既存）技術への影響

• CRAは主に2027年12月11日以降に市場に投入される製品に適用されます。それ以前に販売された製品は、その日以降に「重大な改変（Substantial modification）」が加えられない限り、必ずしも適合させる必要はありません。
• 医療、航空、自動車などの特定の産業・用途については、業界固有の別法でカバーされているため、CRAの対象外となる場合があります。
• Triaのすべてのモジュール、ボード、およびシステムは、厳格なセキュリティおよびコンプライアンス試験を受けています。標準モジュールはすべて、CRA対応を容易にするため、長期間のサポートと産業グレードの製品ライフサイクルに対応するよう設計されています。
• Triaのモジュール設計思想により、OEMメーカーは製品を全設計変更（リエンジニアリング）することなく、新法（CRAなど）に適合させつつ、ハードウェアの更新・アップグレード・交換を容易に行うことができます。

お客様の適合達成をサポート

Triaのコンピューティングモジュールは、Cyber Resilience Act（CRA）に適合する製品を開発するための最適な基盤です。暗号化モジュール、TPM、TrustZoneテクノロジー、JTAGポートの無効化機能など、初期状態での安全確保（Secure-by-default）に必要な重要要素があらかじめ組み込まれています。

実際の運用において、CRA適合を達成するにはハードウェア機能だけでなく、その上で動作する組み込みソフトウェアスタックとの連携も重要となります。当社では、ソフトウェアアーキテクチャの構築、セキュアな開発プロセスの定義、産業用製品に最適な長期的な脆弱性管理プロセスの確立まで、お客様を全面的にサポートいたします。

これらの不可欠なツールやプロセスを提供することで、Triaはお客様がCRAの厳格な要件を満たす製品を構築し、長期にわたって維持できるよう貢献します。

TriaにおけるCRA適合への取り組み

Triaは、最新の欧州無線機器指令（RED）への適合をはじめ、規制上の安全性・セキュリティ要件を適用してきた豊富な実績があります。欧州市場向けの当社の高周波（RF）製品は基本的に事前認証を取得しているため、最終製品の認証手続きを円滑に進めることができます。

同様の手法に従い、また広範な実践的経験に基づいて、新しく投入されるすべての製品は、高度なサイバーセキュリティに関するREDの最新改訂（RED DA）に自然と適合するよう設計されており、今後施行されるCyber Resilience Act（CRA）にも適合します。

当社は、自社製品をCRAの義務に適合させるだけでなく、お客様がCRA要件を円滑に理解し、効果的に実装できるようサポートする点においても非常に優位なポジションにあります。