欧州でコネクテッドトイ(ネットワーク接続玩具)を販売する企業は、2027年末までに製品がCyber Resilience Actに適合していることを示す必要があります。同法はメーカーが達成すべき事項を定めるにとどまり、技術的な詳細は玩具メーカー側が独自に詰めるほかありませんでした。現在意見公募中の17件の標準草案が、その詳細を提供します。
標準に準拠することで得られるもの
整合規格(Harmonised Standard)に準拠したメーカーは「適合性の推定」を得られます。つまり、反証がない限り規制当局はその製品を法律の要件を満たしているものとして扱います。今回の17件の草案は、この地位の候補であり、まだ正式に保有しているわけではありません。対象となるのは、パスワードマネージャー、アンチウイルスソフトウェア、スマートホームアシスタント、コネクテッドトイ、ウェアラブル端末など、デジタル要素を持つ製品のうちリスクが高い階層に属するものです。
「Cyber Resilience Actはメーカーや市場が達成すべき事項を定めていますが、その達成方法までは示していません。標準開発機関(Standards Developing Organisations)の役割は、標準を通じて法令への適合を実現するための技術的側面を詳細化することにあります」と、CRAを担当するグループ(TC CYBER-EUSR)の議長を務めるSandra Feliciano氏は述べています。
誰が、いつまでに意見を出せるのか
草案は今年の夏、欧州経済領域の各国標準化団体を含む41の加盟組織に送付され、承認の第一段階として意見を提出できるようになりました。ANEC、ECOS、ETUC、SBSの4団体、総称して「附属書III組織(Annex III Organisations)」と呼ばれる社会的パートナーも意見を提出できます。これにより、文言がまだ変更可能な段階で、消費者・環境・労働・中小企業それぞれの立場を記録に残すことができます。手続きは2026年9月中旬から11月中旬の間まで続きますが、締切は分野によって異なります。
多くの中小企業にとって、CRAの存在自体は既知であっても、適合までの道筋は未知数です。どの標準が自社製品に適用されるのか、どのツールでそれに対する適合性をテストできるのか、どの助成プログラムが費用を負担してくれるのか——こうした疑問はすべて未解決であり、答えはあちこちに散らばっています。
この義務が及ぶ範囲は、ファームウェアを書く人々だけにとどまりません。輸入業者、販売業者、サービスプロバイダー、そして商用ハードウェア・ソフトウェアの開発者もすべてCRAの対象となり、いずれも2027年末という同じ期限に直面します。
17件の文書が意見公募中です。締切まで読むのを先延ばしにしたメーカーは、他の関係者がすでに固めた文言を読むことになるでしょう。
翻訳元: https://www.helpnetsecurity.com/2026/08/14/etsi-cyber-resilience-act-standards/
