EUサイバーセキュリティ機関(ENISA)は2026年9月11日、サイバーレジリエンス法(CRA)の「単一報告プラットフォーム」を稼働させました。この日は、同法の報告義務がメーカーに対して発効した日でもあります。ENISAはこのツールを構築し、日々の運用を担っています。これはCRA第16条(1)がENISAに課している任務です。
デジタル要素を持つ製品をEU市場に投入する事業者は、実際に悪用された脆弱性や深刻なインシデントについて、この一つのポータルを通じて報告することになります。時計が動き出すのは、メーカーが事象を認知した時点からです。24時間以内に早期警告、72時間以内に初期評価を含むより詳細な通知、そして是正・緩和措置が講じられてから14日以内に最終報告を提出する必要があります。深刻なインシデントの場合、最終報告の期限は72時間通知から1か月後となります。
提出は1回、その後はCSIRTが転送
メーカーは電子的に申請を行い、調整役に指定されたCSIRT(国のインシデント対応チームで最初に受理する窓口)を選びます。このチームは、当該製品が流通している他の加盟国のCSIRTに通知を転送します。ENISAは同じタイミングでそのコピーを受け取りますが、メーカーが第16条(2)に定める例外的状況のいずれかを申告している場合は例外です。その場合、ENISAは部分的な情報のみを閲覧でき、受理したCSIRTが残りの情報を公開するまで待つことになります。
調整役の選定はメーカーの責任です。一般的には、自社の製品のサイバーセキュリティに関する意思決定が主に行われている、EU内の主たる拠点がある加盟国を選ぶことになります。選定を誤ると通知が無効となり、正しい調整役に対して再提出しなければなりません。
登録には多要素認証を備えたEU Loginアカウントを使用します。各メーカーには1名の主担当代表者(Primary Assigned Representative)と、最大20名の副担当代表者(Secondary AR)が割り当てられ、指定されたCSIRTがその紐付けを検証します。紐付けの検証がまだ完了していない代表者でも、検証が必須となる前であれば最大20件までの通知を提出できます。
ENISAのエグゼクティブディレクターであるJuhan Lepassaar氏は、「実際に悪用された脆弱性や深刻なインシデントに関する報告・情報共有を効率化することで、より強靭なデジタル単一市場の構築につながります」と述べています。
初回リリースに含まれない機能
今回のバージョンにはAPIが同梱されておらず、通知はWebインターフェース経由で行う形になります。ENISAによれば、各組織は社内のワークフローを自動化することが可能で、今後のフェーズでAPI機能が提供される可能性があるとしています。複数の影響を受けた製品ラインを抱えるベンダーであっても、1件の事象につき1件の通知をフォームに入力する必要があり、各支社・子会社間で調整を行った上で、確実に1件のみを提出することになります。
プラットフォームは公開当初は英語のみで提供され、関連資料の翻訳は今後追加される予定です。第15条に基づく脆弱性、サイバー脅威、インシデント、ニアミスの任意報告については、後のフェーズで計画されています。オープンソースソフトウェアの管理団体(スチュワード)についても、2027年12月11日から同様の義務が適用されます。
翻訳元: https://www.helpnetsecurity.com/2026/09/14/enisa-cra-single-reporting-platform/
