経済・産業トレンド適用開始

EUのサイバーレジリエンス法に基づく報告義務が9月11日から適用開始

EUのサイバーレジリエンス法（CRA）に基づく脆弱性および重大インシデントの報告義務が2026年9月11日から適用開始された。対象製品をEU市場に提供する製造事業者は、攻撃に悪用された脆弱性などを認識した場合、24時間以内の早期警告や72時間以内の詳細通知が義務付けられる。違反した場合は最大1,500万ユーロまたは前会計年度の全世界売上高の2.5％の制裁金が科される可能性がある。

最終確認日: 2026-09-19

この発表の要点

EUのサイバーレジリエンス法に基づく報告義務が2026年9月11日から適用開始された。
適用開始日以前に市場投入された製品も対象となり、悪用された脆弱性等は24時間以内の早期警告、72時間以内の詳細通知が求められる。
違反時には最大1,500万ユーロまたは全世界売上高の2.5％の制裁金が科される可能性がある。

企業・自治体への影響

EU市場にデジタル要素を有する製品を提供する製造業・IT関連企業において、既存製品を含むすべての対象製品に対する脆弱性・インシデント検知および報告体制の整備が急務となる。経営・法務・情シス部門等での迅速な対応が不可欠である。

対応すべきこと

自社の提供する製品がCRAの「デジタル要素を有する製品」に該当するか確認する
適用開始日以前に市場投入された製品も含めた脆弱性・インシデント管理体制を見直す
ENISAが運営する単一報告プラットフォーム（SRP）を通じた報告フローを確認する

対象部門： 経営者総務法務情シス広報

対応期限：施行日まで

基本データ

企業・団体	日本貿易振興機構（ジェトロ）
業界	IT・ソフトウェア
発表日	2026-09-18
分類	経済・産業トレンド

発表された内容

2026年09月18日

EUのサイバーレジリエンス法（CRA）に基づく「実際に悪用された脆弱（ぜいじゃく）性」と「重大インシデント」の報告義務が、2026年9月11日から適用開始された（プレスリリース）。CRAの主要な義務は2027年12月11日に適用開始となるが（2024年12月13日記事参照)、報告義務は先行して適用が開始され、適用開始日以前に市場投入された製品も対象となる。また、欧州委員会は9月4日、CRAの実施に関する「よくある質問（FAQ）」を更新した（プレスリリース）。

CRAの対象となる「デジタル要素を有する製品」は、「ハードウエア製品、ソフトウエア製品、およびそれらに関連する遠隔データ処理ソリューション」と定義され、スマートウォッチ、スマートフォン、ベビーモニターやコンピュータ向けのアプリやプログラムなど、幅広い製品が含まれる。「デジタル要素を有する製品」をEU市場に提供する製造事業者は、2026年9月11日以降、自社の製品に関して（1）実際に攻撃者に悪用された脆弱性（actively exploited vulnerability）や、（2）製品のセキュリティーに重大な影響を及ぼすインシデントを認識した場合、24時間以内に早期警告、72時間以内に詳細な通知の提出が求められる。最終報告書は、（1）については是正措置が利用可能になってから14日以内、（2）については72時間以内の通知から1カ月以内に提出する必要がある。

製造事業者は、欧州サイバーセキュリティー庁（ENISA）が運営する単一報告プラットフォーム（SRP）を通じて報告を行う。報告は、各加盟国の情報セキュリティー・インシデント対応チーム（CSIRT）とENISAに通知される。ただし、最終報告書の提出後も、製造事業者は引き続き脆弱性を管理できる体制を維持することが重要となる。

また、製造事業者には、影響を受ける利用者への通知義務も課される。通知する内容は、製造事業者が講じた、ならびに利用者自身が講じることができる是正措置または緩和措置である。ただし、欧州委が7月27日に公表したガイダンスによれば、当該情報を一般公開または無差別に開示する義務はない。特に、技術的詳細の公表によりサイバーセキュリティーリスクが高まったり、さらなる悪用を助長したりするおそれがある場合には、製造事業者は詳細情報の開示を関係する利用者に限定することができる。

報告義務違反に対しては、最大で1,500万ユーロまたは前会計年度の全世界売上高の2.5％のいずれか高い額の制裁金が科される可能性がある。今回の報告義務の適用開始により、製品の販売時だけでなく、販売後の運用・保守まで含めて、サイバーセキュリティーを確保することが求められる。

（坂本裕司）

（EU、世界）

ビジネス短信 45adca66ccb9dc2c

時系列

2024-12-13　CRAの主要な義務の適用開始日（2027年12月11日）に関する記事掲載
2026-07-27　欧州委員会が利用者への通知義務に関するガイダンスを公表
2026-09-04　欧州委員会がCRA実施に関する「よくある質問（FAQ）」を更新
2026-09-11　CRAに基づく実際に悪用された脆弱性と重大インシデントの報告義務が適用開始

主な数値

早期警告の提出期限	24時間以内
詳細な通知の提出期限	72時間以内
脆弱性の最終報告書提出期限	14日以内
重大インシデントの最終報告書提出期限	1カ月以内
最大制裁金（固定額）	15,000,000ユーロ
最大制裁金（売上高比率）	2.5%

この事例から確認すべきポイント

EU市場へデジタル要素を有する製品を提供する企業にとって、CRAに基づく脆弱性や重大インシデントの早期報告義務がすでに適用開始されたことは極めて重要である。主要義務の本格適用（2027年12月）に先立ち、24時間以内の早期警告や72時間以内の詳細通知といった極めてタイトな報告体制の構築が求められる。また、適用開始日以前に市場投入された製品も対象に含まれるため、既存製品を含めたインシデント・脆弱性管理プロセスの早急な見直しと、欧州サイバーセキュリティー庁（ENISA）の単一報告プラットフォーム（SRP）を通じた報告フローの確認が実務上不可欠となる。

公式出典

日本貿易振興機構（ジェトロ）

更新履歴

公開日: 2026-09-18 ／最終確認: 2026-09-19

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-09-19