中小企業向けサイバーレジリエンス成熟度評価モデルを公表、エクセル形式の自己評価ツールも提供 ENISA
欧州連合サイバーセキュリティ機関（ENISA）は2026年7月13日、中小企業（SME）向けに「サイバーレジリエンス成熟度評価モデル（SME Cyber Resilience Maturity Assessment Model）」を公表しました。リソースの限られた中小企業が、欧州サイバーレジリエンス法（CRA）の要件を段階的に満たせるよう手引きするもので、ソフトウェアやハードウェアなど「デジタル要素を含む製品」を製造し、EU市場に提供する中小企業を対象としています。
CRAは2027年12月に全面適用され、対象製品の開発から設計、販売後のサポートに至るまで、ライフサイクル全体を通じたセキュリティ要件の充足を義務付けています。要件は主に製造業者、輸入業者、販売業者に直接適用され、市場に出回る製品の適合性は市場監視当局（MSA）が監視します。規制を満たさない製品には是正措置が講じられるほか、企業は重大な脆弱性やインシデントが発生した際にMSAへ連絡する必要があります。
今回公表された成熟度評価モデル（PDF形式）には、企業が自社の状態を評価するための自己評価質問票（Annex A）と、評価後の改善計画を策定するためのチェックリスト（Annex B）が収録されています。また、実際のスコア計算を容易に行うための補助ツールとして、エクセル形式のCRA成熟度モデルツールも別途提供されています。成熟度評価は「ガバナンスと文書化」など5つのドメイン（※）で構成され、企業は付属の自己評価質問票を用いて、ドメインごとに5段階で自己評価します。各ドメインの平均スコアを算出した上で、その5ドメイン分の平均値から組織全体の成熟度スコアを算出する仕組みで、スコアに応じて3段階の成熟度プロファイル、基礎（スコア1.0～2.5）▽中間（スコア2.6～3.9）▽高度（スコア4.0～5.0）に分類されます。なお、成熟度評価モデルで最高評価を得た場合でも、CRAの要件を満たしているという法的な証明にはならないと文書内で明記しています。
評価結果が出た企業は、チェックリストを参照し、自社の成熟度レベルに応じた改善計画を策定するステップへ進みます。ENISAは、全ての対策を一斉に実施するのではなく、スコアが2.5未満など低い分野を優先し、3～6カ月で完了できる少数の施策から着手するよう推奨しています。
CRAの法的要件を確実に満たすための土台として、成熟度評価モデルでは製品セキュリティに関する役割と責任を明確化し、経営陣の承認を得ることが「ガバナンスと文書化」の成熟度向上に不可欠だとしています。これが欠けると、セキュリティ活動の一貫性や優先順位づけが維持できなくなるためです。
また、CRAが強く求めている、開発の初期段階でリスクを特定し市場投入前に脆弱性を低減する「セキュリティ・バイ・デザイン」の原則の適用や、サードパーティー製ライブラリーやオープンソースの構成要素を可視化するSBOM（ソフトウェア部品表）の整備による迅速な脆弱性管理についても、具体的な評価項目として組み込まれています。
さらに、製品が市場に出た後の「製品ライフサイクル管理」の分野についても、CRAはあらかじめ宣言されたサポート期間全体を通じてセキュリティ更新を提供するよう製造業者に義務付けています。そのため成熟度評価モデルでは、セキュリティアップデートの提供期間やサポート終了の時期を明確に定義し、ユーザーへ適切に通知するプロセスが組織内で機能しているかを重要な評価基準としています。
※「ガバナンスと文書化」「リスク管理とセキュア・バイ・デザインおよびデフォルト」「脆弱性とパッチ管理」「製品ライフサイクル管理」「認識、能力、およびスキル」
