EU 向けに IoT 機器やソフトウェアを輸出・販売している企業は、EU サイバーレジリエンス法 (CRA) への対応が必要になります。2026年9月11日から適用される「脆弱性報告義務」に向けて、自社製品が一般/重要/クリティカルのいずれに該当するかを確認することから始めなくてはなりません。
本記事では、EU CRA の概要や今後の重要なタイムライン、そして発効によって重要性が増している SBOM 管理について紹介します。悪用されている脆弱性を検知してから「24時間以内に把握・報告」するために有用な次世代 ALM プラットフォーム「Codebeamer」についても紹介しますので、半導体、精密機器やソフトウェアなどを EU 向けに販売している企業担当者の方は、当記事を参考にしてください。
そもそも EU サイバーレジリエンス法 (CRA) とは
EU サイバーレジリエンス法とは、Cyber Resilience Act (CRA) のことであり、欧州においてサイバーセキュリティを義務付ける規則です。
2024年12月10日に発効した EU CRA は、デジタルコンポーネントを含む製品またはソフトウェアを市場に投入する際の統一された規則と言えます。製造業者にとっては、2027年までに適合製品（CE マーク付き）を EU 市場に投入しなければならないことを意味しています。
EU サイバーレジリエンス法は、これらの製品の企画、設計、開発、保守を規定するサイバーセキュリティ要件の枠組みだけでなく、バリューチェーンのあらゆる段階で遵守すべき義務や製品のライフサイクル全体にわたる注意義務、情報提供の義務を定めたものです。
中でも、迅速な脆弱性対応体制は、EU 市場で製品を販売する企業にとって単なる努力目標ではなく「事実上の必須要件」となることから注目を集めています。
つながる製品は規制の対象に
EU CRA の規制の対象は、「市場に提供されるデジタル要素を備えた製品であって、その本来の目的または合理的に予見可能な用途に、デバイスまたはネットワークへの直接的または間接的な論理的または物理的なデータ接続が含まれるもの」です（2条1号）。
デジタル要素を備えた製品とは、「ソフトウェア製品またはハードウェア製品、およびそのリモートデータ処理ソリューション（別々に市場に投入されるソフトウェアコンポーネントまたはハードウェアコンポーネントを含む）」と規定されています（3条1号）。
後述する適用除外となる製品を除くと、下記のような製品が対象です。
● IoT 機器
● スマートデバイス
● 通信機器
● SaaS
● 商用目的のオープンソースソフトウェア (OSS) など
「つながる製品」は、基本的にほぼすべて EU CRA の規制対象になると考えてよいでしょう。なお、EU CRA では、デジタル要素を備えた製品を「一般/重要/クリティカル」と分類し、カテゴリー別に異なるサイバーセキュリティ要件への適合性評価法を定めている点に留意が必要です（6条〜8条）。
EU サイバーレジリエンス法 適用除外となるケース
自社の製品が規制対象かどうかを判断する際には、適用除外について定めた規定も確認する必要があります。主な条文を下記にまとめましたので、参考にしてください。
【EU CRA 2条2号】
● Regulation (EU) 2017/745 医療機器規則が適用される製品
● Regulation (EU) 2017/746 体外診断用医療機器規則が適用される製品
● Regulation (EU) 2019/2144 自動車の型式認証に関する規則が適用される製品
【EU CRA 2条3号】
● Regulation (EU) 2018/1139 民間航空分野に関する規則に則り認証取得済みの製品
【EU CRA 2条7号】
● 国家安全保障または防衛目的のみに開発または改造された製品、または機密情報を処理するために特別に設計された製品
【前文12号、18号】
● デジタル製品の機能をサポートしないウェブサイト
● デジタル製品の製造者の責任外で設計・開発されたクラウドサービス
● OSS のうち、商業活動の過程で配布または使用するために提供されたものでないもの
EU での上市にあたり遵守すべき要件 - SBOM -
SBOM（エスボム）は、Software Bill of Materials の略語で、日本語では「ソフトウェア部品表」と呼ばれています。CRA の主要要件が適用される2027年12月11日以降、対象製品では SBOM の作成・管理が求められます。
製造業者の義務の中で、規制当局は SBOM の形式や要素を指定できるとされ（13条24号）、附属書等では、脆弱性対応要件としてソフトウェア部品表の詳細が下記のとおり示されています。
● SBOM の作成と管理：製品に含まれるすべてのソフトウェアコンポーネントを明記し、文書化すること
● 機械読み取り可能な形式：SBOM の自動生成や可読性等の自動化支援のため、SPDX や CycloneDX などの標準フォーマットで作成すること
● 最小範囲：少なくとも「トップレベルの依存関係」を含めること
● 当局への提供：一般公開の義務はないが、市場監視当局から要求があった場合には速やかに提出できること
なお、本ブログで扱う SBOM は、製造業界で一般的に使われる「Service Bill of Materials（サービス部品表）」とは異なります。CRA における SBOM は、製品に含まれるソフトウェアコンポーネントを可視化した「ソフトウェア部品表」を指します。
各 BOM の定義や、設計からサービスまでを繋ぐデータの重要性については、以下の解説ブログを併せてご参照ください。
EBOM、MBOM、SBOM の違いとは？設計・製造 BOM の連携と PLM 活用の重要性
欧州 CRA 発効が与える製造業への影響
ここでは、EU CRA に準拠するために、どのようなアクションが製造業に求められるのか見ていきましょう。
今後の重要なタイムライン
欧州サイバーレジリエンス法が発効したからといって、義務化や罰則の適用がすぐに始まるのではありません。下記のとおり、段階的な猶予期間が設けられています。
● 2024年12月10日：Cyber Resilience Act 発効
● 2026年6月11日：適合性評価機関への通知に関する規定の適用開始
● 2026年9月11日：製造業者による脆弱性やインシデントの報告義務化
● 2027年12月11日：EU CRA の全面適用（適合を証明する CE マークが必須に）
2026年9月11日から脆弱性や重大インシデントの報告義務が適用され、SBOM の作成・管理を含む主要要件は2027年12月11日から適用されます。まずは報告義務への対応を優先的に進めることが重要です。
脆弱性報告義務化（2026年9月〜）の注意ポイント
特に注意すべきは、「悪用されている脆弱性 (Actively exploited vulnerability)」が発見された際の「報告期限」の短さです。「一般/重要/クリティカル」の製品分類を問わず、脆弱性報告は下記のタイムラインに従うことが求められます。
| 報告フェーズ | 報告期限 | 内容 |
| 早期警戒通知 | 24時間以内 | 脆弱性の存在を把握した事実、影響を受ける加盟国 |
| 正式通知 | 72時間以内 | 脆弱性の詳細、初期評価、暫定的な措置 |
| 最終報告書 | 14日以内 | 脆弱性の詳細（深刻度や影響を含む）、攻撃者の情報、修正パッチ等の是正措置 |
報告先は、ENISA（欧州サイバーセキュリティ庁）が運営する「単一の報告プラットフォーム」とコンピュータセキュリティインシデント対応チーム (CSIRT) の両方です。
EU サイバーレジリエンス法の罰則規定
全面適用後、CRA の要件に違反した場合には、行政罰として、最大1,500万ユーロまたは全世界売上高の2.5%のいずれか高い方という巨額の課徴金が科されることになります。
脆弱性ハンドリングや、技術文書の作成、CEマーキングの手続きなどのコンプライアンス違反、不正確・虚偽情報の提供についても、別途、課徴金が定められているので留意が必要です。
製造業者は、自社で開発した部分だけでなく、他社から調達した部品についても安全性を確認する義務（デューディリジェンス）があると明記されており、「知らなかった」は通用しない点も押さえておきましょう。
なぜ規制当局は SBOM を重視するのか？米国 FDA 規制との違い
EU CRA と米国 FDA 規制は、どちらも「SBOM の提出」を求めています。ここでは、SBOM の提出が求められる理由と両方の規制の違いについて見ていきましょう。
SBOM 提出が求められる理由
規制当局によって SBOM 提出が求められる理由は、製品の「透明性」と「事後対応能力」を担保するためです。ソフトウェアコンポーネントやそれらの依存関係の情報を機械処理可能な一覧リスト (SBOM) を作成・管理するメリットには、下記の3つが挙げられます。
● どこの誰が作ったコード（OSS 等）が入っているか、その依存関係や再利用部品を含めて明確化
● 新たな脆弱性（Log4j 等）が見つかった際、自社製品への影響有無の特定までのリードタイムを短縮
● ソフトウェアに含まれているコンポーネントのライセンス違反リスクおよびライセンス管理工数を低減
実際に経産省が行った実証においても、SBOM の作成・管理はソフトウェアの脆弱性管理やライセンス管理においてメリットがあり、その結果、開発の生産性向上にも寄与することがわかりました。
このような背景もあり、ソフトウェアの脆弱性管理およびコンプライアンス強化に役立つ手法として SBOM は注目されているのです。
EU サイバーレジリエンス法と米国 FDA（食品医薬品局）規制の比較
ここでは、EU サイバーレジリエンス法と米国 FDA 規制について比較するために、両規制の違いをまとめました。
| EU サイバーレジリエンス法 | 米国 FDA （FD＆C法 第524B条） |
|
| 規制の対象 | ほぼすべてのデジタル製品 | 医療機器のみ （ネット接続機能等を持つ「サイバーデバイス」） |
| 規制の目的 | EU 市場全体のセキュリティ水準の底上げと消費者保護 | 患者の安全性確保とサイバー攻撃による診断や治療の遅延の防止 |
| 規制の位置付け | 市場流通のための横断的ルール ※2027年12月11日以降、CE マークなしの製品は上市できなくなる |
市販前申請の審査項目 ※2023年10月1日以降、サイバーセキュリティ要件（SBOM の提出を含む）を満たさない申請に対し、 RTA（Refuse to Accept：受理を拒否）が適用される場合あり |
EU CRA と FDA 規制では、適用範囲などに違いはあるものの、規制当局への SBOM 提示が事実上の販売許可証となる点は共通しています。
特に高い安全性が求められる業界では、FDA や EU MDR などの既存規制と CRA への二重対応が求められます。医療機器メーカーが直面する、複雑な規制環境下での品質管理とコンプライアンスの最適化については、以下のページも併せてご覧ください。
● 関連ソリューション：医療の規制コンプライアンスのソリューション
● 関連記事：品質コンプライアンスと規制遵守の違いとは？ビジネスへの影響を解説
ALM による SBOM 生成と PLM による構成管理が重視される時代に
規制に確実に準拠するためには、ハードとソフトが完全にリンクした「デジタルスレッド」を構築し、開発プロセスに SBOM 自動生成・同期を組み込むことが鍵となります。そこで、おすすめは PLM・Windchill と ALM・Codebeamer との連携です。
ハード/ソフトの構成情報を統合すれば、規制当局が求める SBOM 管理と脆弱性対応プロセスを自動化できるようになります。
ALM と PLM の統合がもたらす 4 つのメリットや、具体的な活用イメージについては、「Codebeamer と Windchill の連携で勝利を引き寄せる」も併せてご覧ください。
OSS の脆弱性対応において、Excel 管理が「機能不全」に陥る理由
従来の Excel 管理では、ソフトの更新履歴がハード側に反映されず、脆弱性の影響を受ける製品の特定に数日〜数週間かかっていました。実際に、Excel ファイルは部門ごとにサイロ化されていることが多く、全社横断的な検索に膨大な時間がかかります。
一方、ソフトウェアの脆弱性は毎日新しく発見されるため、CVE などの最新の脆弱性データベースと手作業で突合する作業には、担当者が必要です。しかし、自社で直接組み込んだ OSS の名前は記録できても、その裏で動いている間接依存関係まで手作業で確実に網羅するのは、ほぼ不可能でしょう。
そこで推奨されるのが、ALM ソフトウェアの活用です。Excel 管理の限界をどう打破し、経営戦略としての ALM 導入を成功させるか。ROI の考え方や導入ステップをまとめた資料は、下記よりご覧いただけます。
統合ALM導入の価値とは？：経営層への提案ガイド
単なるツール更新ではなく「戦略的投資」としての ALM の価値は何か？社内説得のための具体策を提示します。
詳細はこちらハード/ソフトの構成情報を統合し、規制当局の要求を自動化
ALM と PLM の統合は、製品全体の構成をリアルタイムに同期し、ハード/ソフト双方向のトレーサビリティの確立を可能にします。Windchill 上の物理的な部品構成 (Engineering BOM) と、Codebeamer 上のソフトウェア要件やソースコードのバージョン (Software BOM) が直接リンクされると、リコールやアップデートの対象を迅速に絞り込むことが可能です。
変更管理の同期（クローズドループ・チェンジマネジメント）によって、ハードとソフトに生じた変更とその影響は「双方向」で反映されるため、不整合の防止や製品品質の向上にもつながります。
実際に、医療テクノロジーのグローバルリーダーである Medtronic（メドトロニック）社では、Codebeamer の導入により、乱立していた複数の開発ツールと手作業による管理を統合。ソースコードに至るまでの完全なトレーサビリティを確立し、規制当局 (FDA) への監査用ドキュメント作成にかかる工数を劇的に削減しています。同社はこの変革により、厳格な規制遵守とアジャイル開発のスピードを両立させました。
なお、コンプライアンスのサイクルタイムを最大 35% 削減し、CRA が求める迅速な脆弱性対応を実現する具体的な手法については、下記よりご覧いただけます。
製品品質管理のための PLM:デジタルスレッドでクローズドループ型のプロセスを実現
データ統合と自動化を実現する鍵：3D CAD Creo のセマンティック定義
製品全体にわたって継続的なデジタルスレッドを維持するには、アプリケーション間で容易にデータ共有ができることが前提となります。このデータ統合を可能にするのが、モデルベース定義 (MBD) の基盤となる3D CAD Creo のセマンティック定義です。
PMI や属性情報を活用したセマンティック定義では、寸法と 3D モデルのジオメトリ（面、エッジ）が論理的にリンクしており、データの意味に基づいた自動追跡/機械処理を可能にします。これにより、3D モデルを設計・製造・サービスまで活用する MBD を機能させることができます。
ALM で管理されるソフトウェア要件を、Creo 上の特定のコンポーネントや設計パラメータへセマンティックに紐付けることで、要求事項と物理設計の間の動的な双方向トレーサビリティを実現可能です。
3D モデルを核としたデジタル資産化を加速させ、設計の精度と継承性を高める「モデルベース定義 (MBD)」の最新機能については、こちらの eBook で詳しく解説しています。
Creo：モデルベース定義 (MBD) で設計ノウハウ継承
設計意図を正確に伝える機能やグローバル規格への対応について詳しく解説します。
詳細はこちらデジタルスレッド構築により EU CRA 対応の盤石な基盤を整える
短い報告期限内に、コードが直接参照していないコンポーネントに起因する脆弱性やその他の問題を特定して対応するには、ALM と PLM の統合が効果的な解決策です。デジタルスレッド構築により、規制当局の査察時に「この機能はどの部品とどのコードで実現され、どうテストされたか」という証跡を、ツールをまたいで一気通貫で提示できます。
規制準拠に苦心されている製造業者の担当者の方は、PTC 社のエキスパートまでぜひお問い合わせください。
お問い合わせ
お客様ごとの課題に合わせて、エキスパートが最適なソリューションをご提案します。
詳細はこちら次に進む