欧州サイバーレジリエンス法（CRA）のリスクとは？CRAの対応リスクや回避方法を解説

欧州サイバーレジリエンス法（CRA）は高まる国際的なサイバーセキュリティリスクに対応する施策として採用されている規則です。CRAのような包括的な規則に適合するためには、経営レベルでの戦略的な判断、全社的な取り組みが求められます。

CRAに関するリスクには、ターゲットであるサイバーセキュリティリスクに加え、CRAに適合する場合としない場合のそれぞれで生じ得る企業側のリスクを考える必要があるといえるでしょう。この記事では、CRAのリスクについて解説します。

欧州サイバーレジリエンス法（CRA）とは

まずは欧州サイバーレジリエンス法（CRA）の定義や背景、制定の目的について基礎知識を紹介します。

CRAの定義

CRA（Cyber Resilience Act）は2024年12月10日付けでEUにおいて発効した法的な規制で、日本語ではデジタル要素を含む製品のサイバーセキュリティ要件に関する規則などとも呼ばれています。デジタル製品のセキュリティリスク、サイバーセキュリティリスクに対する備えとして、厳しい要件を定めた規則です。2025年には日本でも認知が広がりを見せています。

2026年3月現在、日本でCRAといえばこの規則と臨床開発モニター（Clinical Research Associate）の2種類の意味がよく知られているといえます。分野が異なる言葉で間違える可能性は低いと考えられますが、混同に注意が必要です。

CRAが制定された背景

CRA制定の背景にはEUエリアにおける国際的なサイバーセキュリティに対する危機意識の高まりがあります。EUにおいては選択可能なデジタル製品のセキュリティレベルが高いとはいえない状況であるとの認識のもと、接続機器の爆発的な増加を前に、有効な対策として制定された規則です。サイバー攻撃に晒された市場が正常な機能を維持するために必要な、デジタル製品に関する包括的な仕組み作りを求める内容となっています。

CRAの対象製品は他のデバイスやネットワークに直接的に接続するものだけでなく、間接的に接続する製品も含まれており、例外指定されているものを除いて広範囲に及ぶため、関係する製造業者や小売業者への影響は大きいといわれている状況です。

CRAの目的

CRAの目的は、主としてEUエリアの各国で流通するデジタル要素を含む製品（ハードウェア・ソフトウェアの両方）について安全性を高め、消費者等がサイバーセキュリティを選択の条件にできる市場環境を実現すること、それによって消費者等を保護することです。

サイバーセキュリティ要件を統一運用することで、サイバー攻撃を受けた場合でも継続した使用、業務が可能な状態を確保できる、脆弱性が低くセキュリティレベルの高い製品開発の保証、許容できるレベルの線引きを意図しています。対象製品については、CRAに適合することをEUエリア各国での販売条件としており、ひとつの目安としてCEマークが付いていない製品は販売できなくなります。

CRAの完全施行は2027年12月11日とされていますが、脆弱性やインシデントに関する製造業者の報告義務が2026年9月11日に始まるなど、2026年に入った段階で対策に追われている企業も少なくないといわれている状況です。

日本企業も他人事ではないCRAとサイバーセキュリティリスク

CRAの影響はEU圏外にも及ぶ

そもそもサイバーセキュリティのリスクはEUエリアに限った話ではありません。また、EUエリアで流通するデジタル要素を含む製品がEUエリア内でのみ製造されているわけでもないことから、CRAの影響はEUの圏外にも及びます。

したがって、CRAの規制はEU加盟国の企業や団体にのみ適用されるわけではなく、EU市場に製品を供給、提供する企業団体であれば規制の対象です。CRAは全世界に影響を及ぼす法規制であり、EUエリアに向けて製品の輸出・供給を行っている日本企業も対応を求められています。

CRAが求める要件

CRAはEUにおける既存の法的な枠組みのなかで、サイバーセキュリティに関して分野を問わない一般的、包括的かつ強制力を備えた規制の必要性が高まったことを受けて制定されており、製品のライフサイクル全般にわたる対応を求めています。日本企業も含めて対応が求められているCRAの要件を見ていきましょう。

• リスクアセスメント
  CRA第13条の製造業者の義務では、デジタル要素を含む製品についてサイバーセキュリティリスクの評価を行うことが規定されています。また、このリスクアセスメントの結果は、計画や設計段階のみならず市場に投入された後の保守に至るまでの各段階で考慮することとされている点がCRAの大きな特徴です。
• サイバーセキュリティ要件・セキュアな設計開発
  CRAの附属書のIにサイバーセキュリティ要件が定められています。CRAの対象となる製造業者はセキュリティ・バイ・デザインの考え方で、企画設計段階から情報セキュリティ対策に万全を期すことが必要です。
• 脆弱性管理要件と報告義務・SBOM（ソフトウェア部品表）
  CRAは対象となる製品について、ライフサイクル全般にわたる脆弱性の管理、監視と重大インシデントと悪用された脆弱性の報告義務を定めています。また、SBOMと呼ばれる表を用い、システム、ソフトウェアの構成要素をリストで可視化し、管理確認するための文書化が必要です。
• 適合性評価とCEマーク
  CRAでは適合する製品にCEマークが付されますが、適合性の評価はリスクレベルにより、自己宣言と第三者機関による評価に分かれています。
• 第三者機関による認証が必要な製品
  附属書IVの指定に該当するクリティカルな製品、附属書IIIの重要な製品（クラスI・II）※一定の条件を満たす場合は第三者機関の認証不要
• 自己宣言の対象となる製品
  上記カテゴリに属さない製品
  スマートフォンやパソコン、アプリ、ネットワークルーターなどの一般的な製品

CRA的な法規制は各国で始まっている

CRAはEUの法規制ですが、EU以外でも同様の法規制が始まっています。日本で注目されているのが、2025年に運用開始されたJC-STAR（IoT製品に対するセキュリティラベリング制度）です。

JC-STARはIoT製品のセキュリティレベルについて共通の基準や製品類型による個別の基準を設け、基準に適合した製品にはラベルの付与と適合ラベルが発行されます。適合ラベルを見ることにより、IoT製品を購入・調達する人が誰であれ、自身が求めるセキュリティレベルを備えた製品の選択が容易になる仕組みです。

米国では包括的な枠組みの規制こそないものの、サイバーレジリエンスに関してはNIST（米国立標準技術研究所）が策定したガイドラインが知られているように、施策がないわけではありません。2026年3月現在では個別の規制やガイドライン、基準による対応がメインです。

EUエリアの市場は大きく、域内に自社製品の流通がある企業団体が拠点を置く国も多数にのぼることから、CRAへの対応が急がれています。また、サイバーセキュリティリスクに国境はなく、CRA的な規制、規則は全世界的に広がることが予想されているところです。どの地域かを問わず、対外的な活動を行っている製造業者などは無関係ではいられない未来が目の前に迫っているといえます。

CRAに不適合（違反）となることのリスク

CRAに不適合、違反となると起こり得るリスクは、デジタル要素を含む製品の製造業者などにとって看過できないものです。

市場からの退場などEU市場での事業が大幅に制限される

すでに述べたように、CRAが完全施行されると、対象となるデジタル要素を含む製品はCEマークなしではEUでの販売ができなくなります。

2024年1月1日のデータでEUの加盟国は大国のフランスやドイツ、イタリアなど27カ国にのぼり、域内人口は4億4,930万人余りと大きな市場です（※1）。EUでの販売ができなくなれば、EU市場での事業が大幅に制限される事態となり、その打撃は計り知れません。

※1 出典: 独立行政法人日本貿易振興機構「EU 概況・基本統計（外部サイト）」

莫大な金銭的制裁を受ける

CRAに不適合、違反となった場合にはEU市場からの退場のみならず、莫大な金銭的制裁を受けるおそれがあります。

CRAの64条に罰則が定められており、附属書Iのサイバーセキュリティ要件や13条、14条の規定に違反した場合の罰金は、最高で1,500万ユーロ（2026年3月時点で約27億円以上）または年間売上高の2.5%（1兆円企業なら250億円）の高いほうという莫大な金額です。他の条文違反でも最高1,500万ユーロの部分が最高1,000万ユーロや最高500万ユーロに、年間売上高2.5%の部分が2%や1%に下がるだけで、重い罰則であることに変わりありません。

信用力の低下につながりかねない

CRAに不適合だった、違反となったという事実によって起こり得るリスクでEU市場からの退場や金銭的制裁以上におそろしいのは、信用力の低下であり企業としてのブランドイメージの毀損だといえます。

「あの企業の製品はCRA不適合になった」という事実が、サイバーセキュリティに関する取り組みの甘さとして社会に受け止められる可能性があり、当該製品だけでなく、当該企業のすべての製品が消費者等から懐疑的に見られかねません。サイバーセキュリティに関する規制への適合は時代の要請といえるものであり、不適合となることは企業の価値にかかわる一大事だといっても過言ではない事態です。

CRAに対応しようとすることで生じるリスク

CRAに不適合となるリスクは重大なものですが、CRAに対応、適合しようとすることで生じ得るリスクもあります。

対象製品の見極め・あらゆる製品に影響が及ぶ可能性

CRAが対象としている製品は、EU市場において流通、入手できるデジタル要素を含むあらゆる製品です。直接的か間接的かを問わず論理的または物理的にデバイスやネットワークに接続可能な製品とされており、一部医療や航空分野など専門領域の製品が対象から除外されているとはいえ、日常的にかかわりのある製品の多くが対象となり得ます。

したがって、EU市場を商圏と考える企業がCRAへの適合を意図しながら、早計にこれは対象外だと判断することは大きなリスクにつながりかねず、正確な見極めが必要です。極論すれば、対象か否かを考えるのではなく、自社製品のすべてが対象であるとの前提で適合を目指す以外ないかもしれません。そうなれば、さまざまなコストが増加しリスク要因となり得ます。

CRAの対象から除外される主な製品は第2条に規定されている以下の規則の適用がある製品です。

• EU規則2017/745（医療機器）
• EU規則2017/746（体外診断用医療機器）
• EU規則2019/2144（自動車）
• EU規則2018/1139（航空関連機器）
• EU指令2014/90（船舶用機器）

ガバナンスを含め事業全体を見直すリスク

CRAの詳細な要求に適合させることは、単に製品の開発・販売・保守という範疇におさまらず、企業としてのガバナンスの問題にもつながる重要なミッションです。経営戦略やリスク管理体制など、事業全体を見直す必要に迫られるリスクをも想定させるものといえます。

コストを含めたリソース負担の増大

CRAへの適合は、そのための体制作りに投じる経済的なコストや時間、人的リソースを要する可能性が大です。CRAに対応することは、負担増というリスク要因になり得ます。とはいえ、サイバーセキュリティリスクに対応する取り組みは、対象製品を扱う企業にとって事実上避けることができない必要事項であり、リスクをとっても完遂する意義があるといえるでしょう。

CRAのリスクを回避する方法

CRAのリスクを回避する方法はいくつか考えられます。

リスクアセスメントの実施

まずはリスクアセスメントの実施です。CRAに不適合となるリスクはリスク評価が不完全であることで生じる可能性が低くないといえます。CRAではリスクアセスメントの実施が必須です。その結果を各段階に活かすことを求めており、リスクアセスメントを正しく行うことは、CRAのリスクを回避する基本的な方法のひとつです。

CRAの要求を完璧に満たす体制作り

CRAの要求を完璧に満たす体制作りをすることが、CRA不適合によるリスク回避の根本的な方法です。リスクアセスメントの実施にしても、その結果を踏まえた業務推進にしても、CRAの要求を完璧に満たす体制作りを抜きにしては実現が難しいといえます。

既存の体制でサイバーセキュリティ対策が万全にできており、CRAの要求をカバーできる企業はよいとして、そこまでの体制ができあがっている企業ばかりではありません。従来の体制ではCRAに対応できそうにない企業が少なくないからこそ、完全施行を前にした2026年3月の時点でCRAの話題が増えているといえます。

CRAが適用される地域を商圏から外す

消極的なリスク回避策として、CRAが適用される地域を商圏から外すという対策が考えられます。適用外のエリアで活動していれば、CRA不適合、CRA違反を問われる心配がありません。とはいえ、海外展開している企業にとって、EU市場を商圏から外すという選択が妥当か否かの問題があります。

また、CRAのリスクは回避したとしても、世界の広い範囲でCRA的な規制が動き出せば、それぞれに対応するか商圏から外すかの選択を迫られることになります。CRAが適用される地域を商圏から外すことはビジネスチャンスを狭めることであり、必ずしも効果的なリスク回避方法とはならないでしょう。結果として、CRAに対応する前提でリスク回避を考えることが重要です。

専門の支援サービスを活用する

CRAのリスクを回避するためには、CRAを十分に理解していることが前提となります。しかし、対象となる製品を扱うすべての企業がCRAを完全に理解でき、適切な対応策をとれるとは限りません。

CRAに適切に対応できる体制を作り、無駄なく漏れのないリスク回避を行うためには、専門的なサポートを行っている支援サービスへの相談・セキュリティソリューションの活用が求められます。

CRAはリスクを正しく評価・認識して対策を立てる

CRAは対象製品をEU市場で販売する企業にとって避けて通れない規制です。CRAの完全施行後も引き続き製品の販売を行うためには、CRAに完全対応する必要があります。CRAに対応するためには、経営レベルでの見直しや体制作りなどでリスクを抱える可能性を否定できません。

しかし、CRAに不適合となれば市場からの締め出しや高額の罰金に加え、企業への信頼・ブランドイメージに打撃を受けかねないリスクを負います。そうならないためには、CRAのリスクとサイバーセキュリティリスクを正しく評価・認識して対策を立てることが重要です。

2026年5月22日公開
※この記事に掲載されている内容、および製品仕様、所属情報（会社名・部署名）は公開当時のものです。予告なく変更される場合がありますので、あらかじめご了承ください。