セキュリティ
メーカーは今後、悪用が確認された脆弱性や重大なセキュリティインシデントを、ENISAの新しい報告プラットフォームを通じて開示する必要があります
EUでデジタル要素を含む製品を販売するメーカーは、サイバーレジリエンス法(CRA)の義務的報告規則に基づき、実際に悪用されている脆弱性をサイバーセキュリティ当局に報告することが義務付けられました。
CRA第14条で定められた報告義務は本日発効しました。本規則の適用除外に該当しない限り、この義務はEU域内で提供されるデジタル要素を含む製品のメーカーに適用され、そのメーカーがどこを拠点にしているかは問いません。
メーカーは、悪用が確認されている脆弱性を認識してから24時間以内に早期警告を提出し、さらに72時間以内により詳細な通知を行う必要があります。
同じ期限は、デジタル要素を含む製品のセキュリティに影響する重大なインシデントにも適用されます。
タイミングが異なるのは最終報告に関してのみです。メーカーは、是正措置または緩和措置を利用可能にしてから14日以内に、悪用された脆弱性に関する最終報告を提出しなければなりません。重大インシデントについては、最初の報告から1か月以内に最終報告を行う必要があります。
Netscoutでセキュリティ担当CTOを務めるDarren Anstee氏は、この報告期限がグローバルなサイバーレジリエンスの実現に向けた取り組みに、待望のスピード感をもたらすと述べています。
「初期警告を24時間以内に報告しなければならないという枠組みは緊急性を生み出し、続く期限によって追加情報の収集と公開が迅速に行われることが担保されます」と同氏は語ります。
「情報共有がより迅速かつ効果的に行われることで、組織はリスクが高まっていることを把握した時点で、防御策や緩和策を講じやすくなります」
EU域内・域外を問わず、メーカーはENISAの単一報告プラットフォーム(SRP)を通じてこれらの報告を提出しなければなりません。
通知は、CRAに基づいて定められた調整担当のコンピュータセキュリティインシデント対応チーム(CSIRT)に宛てて行われます。EU域内のメーカーの場合、これは通常、その主たる事業拠点がある加盟国のCSIRTとなります。EU域外を拠点とするメーカーについては、別途の規則で調整担当が定められます。
メーカーはまた、必要に応じて、悪用が確認された脆弱性や重大インシデントについて影響を受けるユーザーにも通知しなければなりません。CRAの規定では、利用可能な修正策や緩和策について、ユーザーに不当な遅延なく知らせる必要があるとされています。
一般的に、CRA違反には段階的な罰金が科され、最も重い違反では1,500万ユーロ(1,740万ドル)または違反者の年間売上高の2.5%のいずれか高い方に達する可能性があります。
本日発効した報告義務は本法における中核的責務に分類されており、これに違反した場合は最大限の罰金が科される可能性があります。
今回の措置は、EU域内で事業を行う企業に対してセキュリティ規制を段階的に強化していくEUの計画における最新の一歩です。
CRAの残りの規定の大部分は2027年12月11日に適用開始となり、その時点でメーカーはセキュリティ・バイ・デザインおよびセキュリティ・バイ・デフォルトの実装も義務付けられます。つまり、デフォルトパスワードは禁止となり、セキュリティアップデートの提供はもはや任意ではなくなります。
CRAの対象製品は、EU市場に投入されCEマークを付与される前に、該当する適合性評価を受ける必要も生じます。
単なる期限にとどまらない意味
CRAの新規則が意図しているのは、メーカーによるセキュリティ上の欠陥への対応を迅速化することだけではありません。企業が自社のソフトウェアサプライチェーンをより深く理解できるようにすることも狙いとしています。
報告の時計はメーカーが問題を認識した時点から動き出すため、脆弱性やインシデントが発生してから対象製品のマッピングを始めるようでは間に合いません。期限内に対応するには、対象製品とその欠陥を共有する可能性のある関連製品について、包括的な把握が必要です。
さらに、これらの要件は、メーカーが製品のライフサイクル全体を通じてこの把握状況を維持することも求めています。
製品発売時にソフトウェア部品表(SBOM)を作成すること自体は、それほど難しいことではありません。しかし、来年CRAの残りの規定の大部分が適用開始となれば、SBOMは義務的要件となります。
とはいえ、このセキュリティのスナップショットを時間をかけて維持していくことは、EU全域における深刻なサイバー攻撃の件数と被害を減らす助けになると期待されています。
「これらすべてが意味するのは、メーカーにとって安全な開発、効果的な脆弱性対応、そしてソフトウェアサプライチェーン全体にわたるトレーサビリティを、優先事項のトップに据える必要があるということです」と、Checkmarxで製品マーケティング担当ヴァイスプレジデントを務めるEran Kinsbruner氏は述べています。
「現代のアプリケーションは、独自コード、オープンソースパッケージ、サードパーティ製コンポーネント、そして近年ではAIモデルやサービスまでもが相互に結びついた、複雑なコンポーネントのエコシステムから構築されています」と同氏は付け加えました。「組織は、これらのコンポーネントとその依存関係、そしてそれらがもたらすリスクを理解する必要があります」
時間さえかければ、CRAは全体としてサイバーレジリエンスを向上させていく見込みです。しかし弁護士たちは、特に規制の厳しい業界の外にいるメーカーが、今後ますます重なり合う規則群への対応を迫られることになると警鐘を鳴らしています。
「CRAは、企業がすでにNIS2、DORA、データ法、AI法といった、拡大を続けるデジタル・ディケイド関連法制への対応に追われる中で登場しています」と、DLA Piperでデータ・プライバシー・サイバーセキュリティ部門のパートナーを務めるHeidi Waem氏は述べています。
「多くの企業にとってコンプライアンス上の課題は、単一の規制を個別に理解することにとどまらず、複数の枠組みがどのように相互作用し、要件がどこで重複し、それらを横断してコンプライアンスプログラムをどう調整すべきかを見極める段階へと進んでいます」
同じ法律事務所でデータ・プライバシー・サイバーセキュリティ部門のパートナー兼グローバル共同責任者を務めるJohn Magee氏はこう付け加えました。「現時点ですでに、この規制の適用範囲の広さが多くの組織にとって想定外のものになっているのを目の当たりにしています。
「CRAは主に消費者向けIoTデバイスに関わるものだと今も考えている企業が多いのですが、実際にははるかに幅広いデジタル要素を含む製品群に適用されます。すでに複数のデジタル・ディケイド関連の取り組みへの対応に追われているコンプライアンス担当チームにとっては、このCRAの最初の義務の波が、想定より早く、そしてより広範な影響を伴って到来してしまうリスクがあります」 ®
