EU、サイバーレジリエンス法の24時間報告義務を厳格に施行

9月11日、欧州連合(EU)域内で販売されるデジタル製品のメーカーは、積極的に悪用されている脆弱性や深刻なセキュリティインシデントを当局に報告する義務を負うことになりました。問題を発見してから24時間以内に初期警告を送付し、最大72時間以内により詳細な通知を用意しなければなりません。サイバーレジリエンス法(CRA)の中でも特に実務的な要素の一つが、将来の要件から現行の義務へと移行したのです。

統一報告プラットフォーム

こうした重要な報告を円滑にするため、ENISA(欧州連合サイバーセキュリティ機関)はCRA単一報告プラットフォームが開設され、完全に稼働していることを発表しました。メーカーは重要な情報を一度提出するだけで済みます。システムがその通知をENISAと、主要調整役として指定された各国のCSIRT(コンピュータセキュリティインシデント対応チーム)にシームレスに直接伝達します。その後、対象製品が販売されている他のEU加盟国の所管当局も、その重要データに容易にアクセスできるようになります。

この重大な義務は、発見されたすべての欠陥に適用されるわけではありません。CRAは積極的に悪用されている脆弱性を、システム所有者の許可なく悪意ある形で悪用された確実な証拠を持つ弱点であると明確に定義しています。セキュリティ研究者による発見や、通常のバグバウンティによるテスト、あるいは定例パッチによって見つかった脆弱性は、それ自体では24時間のカウントダウンの引き金にはなりません。

深刻なセキュリティインシデントの期限

深刻なインシデントについても、まったく同じ初期期限が適用されます。メーカーはインシデントを認知してから24時間以内に早期警告を発する必要があります。そして72時間以内に、攻撃の性質に関する入手可能なすべての詳細、影響についての予備評価、実施した防御措置を提出しなければなりません。この規則は、重要なデータや機能の機密性・完全性・真正性・可用性を損なう恐れのある事態、および悪意あるコードの注入や実行につながる事態を、深刻なインシデントとして明確に分類しています。

72時間の節目は、規制上の手続きの終わりではありません。積極的に悪用されている脆弱性については、パッチまたは代替の防御措置を展開してから遅くとも14日以内に、メーカーは最終報告書を提出しなければなりません。深刻なインシデントの場合、当局は72時間通知から1か月以内に最終報告書を要求します。この包括的な文書には、最終的な影響、インシデントの根本原因、悪用に関する具体的な詳細、そして展開されたすべてのパッチや保護措置を含める必要があります。

市場適用範囲と罰則

この厳格な新規則は、CRAが完全に施行された後に発売される製品だけに適用されるわけではありません。欧州委員会は、報告義務が現在EU市場で入手可能なデジタル要素を備えたすべての対象製品に及ぶことを明確にしています。したがって、現行のソフトウェアバージョン、ネットワーク機器、コネクテッドデバイス、その他CRAの対象となる製品の開発者は、この新たな枠組みに直ちに従わなければなりません。

ただし、この要件に遡及性はありません。あるメーカーが9月11日より前に、特定の脆弱性が積極的な悪用に直面していることを知っていた場合、CRAが施行されたという理由だけで改めて報告する義務は生じません。しかし、9月11日以降にその悪用の証拠が浮上した場合は、たとえ古くから長らく文書化されてきた脆弱性であっても、報告義務は確実に適用されます。

最初の24時間報告は、あくまで早期警告として機能するものです。そのため規制当局は、1日のうちに攻撃の包括的な調査が完了することを期待していません。72時間の節目までには、求められる情報量が大幅に増加します。ENISAは、対象製品に関するデータ、悪用またはインシデントの正確な性質、影響の規模、利用可能な緩和策について、詳細な情報を求めています。開設当初、このプラットフォームには自動化されたAPIがないため、各事業者はこれらの必須通知を安全なウェブインターフェースを通じて手動で提出する必要があります。

第14条への違反には、重大な罰則が伴います。CRAは、1,500万ユーロ、または対象企業の前会計年度における全世界の総年間売上高の2.5%のいずれか高い方を上限とする、段階的な制裁金を科すことを認めています。この規則は、最初の24時間期限を守れなかった場合の金銭的制裁について、零細企業および小規模企業に対する特別な免除を設けています。

サイバーレジリエンス法の今後

一方で、サイバーレジリエンス法全体としては、まだ完全な運用能力に達していません。デジタル製品の設計、開発、更新、ライフサイクル管理に関する基本的な要件が完全に義務化されるのは、2027年12月11日です。その日に、第14条の義務はCRAが指定するオープンソースプロジェクトの管理者にも拡大されます。しかし、商用メーカーにとって、猶予期間はすでになくなっています。2026年9月11日以降、企業が積極的に悪用されている脆弱性や重大なセキュリティインシデントを認知した瞬間から、24時間と72時間のカウントダウンが開始されます。