欧州サイバーレジリエンス法の報告義務まで2カ月、中小企業の対応実態調査報告書を公表 ENISA
欧州連合サイバーセキュリティ機関（ENISA）は2026年6月24日、欧州サイバーレジリエンス法（CRA）に対する中小企業（SME）の対応状況をまとめた調査報告書「SME CRA Survey Report」を公表しました。CRAの認知度は高い一方で、実務対応は大きく遅れている実態が明らかになりました。
CRAはEU市場に流通するインターネット接続機能などを備えた「デジタル要素を持つ製品」全般に対し、設計段階からのセキュリティ確保、脆弱性管理、およびライフサイクルを通じた更新提供を義務付ける「規則（Regulation）」です。ハードウェアとソフトウェアの製造業者、輸入業者、販売業者が対象です。本格適用は2027年12月11日からですが、積極的に悪用されている脆弱性や重大インシデントの報告義務については、先行して2026年9月11日から開始されます。認知から24時間以内の早期警告と72時間以内の詳細通知が求められる、実務負荷の重い義務となります。
調査結果によると、CRAの存在を「知っていた」企業は66％に達した一方、具体的な要件の理解には結びついていませんでした。具体的には、「適合性評価とコンプライアンス手続き」については54％が、「要求される技術文書化」については42％が「理解していない」または「限定的な理解にとどまる」と回答しました。
また、自社の製品がCRAの適用範囲に入るかどうかについても、135社（70％）が「該当する」と回答した一方、39社（20％）は「分からない」と回答しており、適用範囲の判断自体に迷う企業も一定数あることがわかりました。
調査では、5つの分野（※）でセキュリティ成熟度を測定しました。スコアは企業規模が小さいほど低い傾向になったほか、「インシデント対応と製品ライフサイクル管理」の平均スコアは、5分野のなかで最も低いレベル2.6（レベル1～5の5段階評価）でした。
SBOM（ソフトウェア部品表）の導入はCRAにおいて中核的な要件です。しかし、SBOM導入済みの企業は35％、脅威モデリングの導入は24％にとどまりました。報告書では、これら2つの領域が現状とCRAの要求水準との間で最もギャップが大きいと指摘しています。
中小企業に支援策の要望を尋ねたところ、「技術文書用のテンプレート」（73％）や「セキュアな開発実践を文書化するためのテンプレート」（71％）など、すぐに記入して使える実践的なツールの需要が高くなりました。ENISAはこれらの結果を受け、簡素化されたガイドラインの策定や、無償ツールを用いた現実的な実践例（ユースケース）の迅速な提供を提言しました。
調査は2026年2～3月に実施され、EU圏内を中心に31の国・地域の194組織（零細・小規模・中規模）から回答を得ました。
※①ガバナンス・文書化②リスク管理とセキュリティ・バイ・デザイン③脆弱性・パッチ管理④インシデント対応と製品ライフサイクル管理⑤意識・能力・スキルの5領域を指します。
