EU CRAの実務ガイダンス公表、9月の報告義務開始控え67の具体例を提示 欧州委
欧州委員会は2026年7月27日、デジタル要素を持つ製品にセキュリティ要件を課すEUサイバーレジリエンス法（CRA）について、実務的なガイダンスを公表しました。本ガイダンスは中小・零細企業への配慮を特に重視し、67の具体例やユースケース、フローチャートを収録しています。
CRAはEU市場に流通するソフトウェア・ハードウェア製品に共通のサイバーセキュリティ要件を課す法規制で、2024年12月に発効しました。対象はルーターやスマートウォッチ、OS、産業用機器など、ネットワークに接続されるあらゆるデジタル要素製品です。主要義務の適用開始は2027年12月11日ですが、これに先立ち、悪用された脆弱性や深刻なインシデントの報告を義務付ける第14条の規定は2026年9月11日から適用されます。今回のガイダンスは、CRA第26条に基づき欧州委に策定が義務付けられているもので、報告義務の適用を目前に控え、事業者や開発者から質問の多いテーマについて具体的な法的解釈と判断基準を示すことを目的に公表されました。
まず、適用範囲については、フリー＆オープンソースソフトウェア（FOSS）とリモートデータ処理ソリューション（RDPS）の線引きを整理しました。FOSSが規制対象となる「市場投入」の判断基準や、商業利用向けプロジェクトを体系的に支援する「OSSスチュワード」の責務を明確化。個人が単発で関与する場合は規制対象外ですが、プロジェクトを持続的に支援する法人（実質的な管理者）にはインシデント報告などの一定の義務が生じます。
また、再評価が必要となる「大幅な変更」の該当性基準や、原則5年以上とされるセキュリティサポート期間について、アジャイル開発の実務に即した柔軟な運用方法も提示されています。
事業者から質問が相次いだ「報告義務（第14条）」に関しては、今回のガイダンスで実務上の解釈が大幅に肉付けされました。
第1に、対象製品の範囲です。報告義務は、CRAの全面適用（2027年12月）前に発売された既存の古い製品や、すでにサポートが終了した製品であっても、2026年9月11日以降にEU市場を流通している（利用可能である）ものであれば例外なく対象となります。
第2に、報告の起点となる「認知（becoming aware）」の定義です。不審な兆候の検知や第三者から通報を受けた段階では、報告期限のカウントダウンは開始されません。メーカーが迅速に初期アセスメント（調査）を行い、悪用の事実やインシデントについて「合理的な確実性」を得た時点が起点（カウント開始）となります。
第3に、ユーザー通知における「リスクベース」の運用方針が認められています。重要インフラなどに配慮し、パッチ提供前は不特定多数への公表は避け、影響を受けるユーザーのみに限定して段階的に開示することを認めると示されました。
