サイバー攻撃の高度化とサプライチェーンの複雑化に伴い、欧州連合(EU)は域内における「デジタル要素を有する製品」のセキュリティ規制の強化を図っています。その中核となるのが、デジタル製品のセキュリティ要件を定めるEUサイバーレジリエンス法（CRA：Cyber Resilience Act）と、EU共通基準に基づくサイバーセキュリティ認証制度（EUCC: European Common Criteria-based cybersecurity certification scheme）です。本稿では、後者のEUCCについて、その制度設計から日本企業へのインパクト、そして対応すべき事項を解説します。
EU共通基準に基づくサイバーセキュリティ認証制度（EUCC）の概要
EUCCとは、ICT製品などのセキュリティ品質を、EU全域で共通の基準に基づき評価・保証するEU初の統一認証スキームです。この認証を取得すると、EU全加盟国で有効なものとして認められます。加えて、EU域内で具体的かつ厳格なセキュリティ要件を義務付けているEUサイバーレジリエンス法（CRA）（※CRAに関する詳細解説はこちら）への適合性を補完する有効な手段となり得ます。
これまでもICT製品の評価において、Common Criteria（コモンクライテリア）という共通の評価基準は存在し、グローバルな相互承認協定である「CCRA」や、一部のEU加盟国（17カ国）が参加する「SOG-IS（Senior Officials Group Information Systems Security）相互承認協定」のもとで、コモンクライテリア認証の相互承認が行われていました。
しかし、これらはいずれも政府間の任意の取り決めにとどまり、EU法としての強制力は持っていませんでした。対象国や適用範囲にも限界があり、EU全体で単一の調和されたアプローチとして統一的に運用される制度ではありませんでした。そのため、SOG-IS未参加国向けに製品を展開する場合や、相互承認の対象外となる領域・アシュアランスレベルの認証が必要な場合には、国ごとに個別の認証プロセスへの対応が求められるケースがありました。
この課題を解決するために、EU全域でのサイバーセキュリティ認証の共通フレームワークを定めた法律がEUサイバーセキュリティ法（CSA：Cybersecurity Act）であり、EUCCは、このCSAの下で初めて採択された、具体的かつ包括的なセキュリティ認証制度です。SOG-ISで培われた相互承認の仕組みを踏まえつつ、CSAに基づくEU全域共通の認証制度として整備されました。
EUCCは2024年2月27日に発効し、従来SOG-ISの相互承認協定の下で運用されていた認証からEUCCへ移行するための1年間の経過措置期間を経て、2025年2月27日から本格運用が開始されました。
EUCC認証を取得した製品には、EU共通の認証ラベルの使用が認められます。このラベルは、「EUの厳格なセキュリティ基準をクリアした製品である」というアピールになり、EU域内全域での流通に大きく影響することが見込まれます。
EUCCとCSA、CRAの関係性
EUCCの制度設計やメリットを理解するために、まずはEUのサイバーセキュリティ戦略を支える2つの重要な法律、CSAとCRAの関係性に着目したうえで、EUCCの位置づけを解説します。
これらは一見複雑に見えますが、役割は明確に分かれています。
表1 CSA、EUCC、CRAの概要と関係性
| 名称 | CSA | EUCC | CRA |
|---|---|---|---|
| EUサイバーセキュリティ法 | EU共通基準に基づくサイバーセキュリティ認証制度 | EUサイバーレジリエンス法 | |
| 位置付け | 法律 | 認証制度 | 法律 |
| 役割 | 認証制度を作るための「枠組み」 | CSAに基づいて作られたICT製品のセキュリティ「認証」 | EU市場で販売されるデジタル製品の「強制ルール」 |
| 主な目的 | EU全体でバラバラな認証を統合 | 製品の高度な安全性を客観的に証明 | 安全ではない製品を市場から排除 |
| 対象組織 | 認証機関、規格策定組織、EUCCなどEUサイバーセキュリティ認証の取得を希望するICT製品のメーカー企業など | 高度なセキュリティを証明したいメーカー企業 ※取得は任意 |
EUでデジタル製品を取り扱う全企業 ※適合必須 |
| 違反時の 罰則 |
あり（第65条） ※加盟国が国内法で罰則を定める |
金銭的罰則はなし ※証明書の停止・取消しという行政上の措置 |
最大1,500万ユーロまたは前年度の全世界総売上高の2.5％のいずれか高い方（附属書Iに規定される必須サイバーセキュリティ要件および第13条、第14条に規定される義務を遵守しない場合） |
出典 EUR-Lex（EU官報）などを参考にニュートン・コンサルティングが作成
前述の通りCSAは、EUにおけるサイバーセキュリティ認証の共通フレームワークを定めた法律です。その下で具体化された認証制度がEUCCであり、その取得は任意です。
一方、CRAはEU域内で流通するデジタル製品すべてに対し、必須のサイバーセキュリティ要件を義務付ける法律です。
EUCCとCRAを比較すると、EUCCが「特に重要な製品群」について高度な要求事項をクリアしていることを第三者が公式に証明する認証制度であるのに対し、CRAは「市場に投入されるすべての製品が満たすべき最低限のセキュリティ要件を定めた法律」です。
EUCCとCRAはいずれもデジタル製品を対象とすることから、企業の負担を軽減する仕組みが設けられています。それが「適合性の推定」です。EUCC認証（保証レベル：SubstantialまたはHigh）を取得している製品は、その認証範囲内のセキュリティ機能について、制度上はCRAの該当する法的要件を満たしていると推定されます。
つまり、CRAの具体的な適合性評価手法や整合規格の整備が進む中、既存のコモンクライテリアを用いて運用されるEUCCは、特定分野の製品において、長年運用されてきた評価プロセスに基づいてセキュリティ水準を示せる手段としても注目されています。
EUCCの審査プロセスとセキュリティ要件
では実際にEUCCを取得するとなった場合、具体的に何が求められているのか、審査プロセスについて見ていきます。
EUの認証の土台となるCSAの3つの保証レベル（Basic、Substantial、High）のうち、EUCCが対象とするのは上位の“Substantial”と“High”の2つです。
この2つは特にユーザーや社会インフラに直結し、甚大な被害影響が出る可能性がある重要製品が対象であるため、一般的なリスクから最先端のサイバー攻撃までへの対策がされているか、という観点で非常に厳格な第三者認証が求められます。
EUCCによる認証プロセスは、認定された専門機関による厳格な技術的評価と、認証後を含めた長期的な監視体制がセットになった仕組みです。EUCC認証の取得から認証維持にいたるプロセスには、大きく3つの段階があります。
1つ目は要件定義と保証レベルに応じた脆弱性評価の準備です。申請者はまず、評価対象（TOE）と設計仕様・脅威モデルを定めたセキュリティターゲット（ST）を作成します。その際、セキュリティリスクに応じて「Substantial」と「High」の保証レベルが設定されます。
2つ目は認定評価機関（ITSEF）と認証機関（CB）による独立した第三者評価とプロセス審査です。申請者が作成したSTの検証にとどまらず、EUCCの下で認定・認可された外部の専門試験所（ITSEF）が、実際の製品に対して客観的な検証テストを行います。製品のセキュリティ機能だけでなく、メーカーの「脆弱性管理やパッチ管理のプロセス」自体もこの段階で厳しく審査されます。これらの評価を経て、要件を満たしていると判断された場合にのみ、認証機関（CB）から証明書が発行されます。
3つ目は、認証書が発行された後に求められる、継続的な脆弱性管理（ライフサイクル監視）です。出荷時点の評価だけで完結していた従来のコモンクライテリアに基づく認証制度とは対照的に、EUCCでは市場投入後も評価プロセスが継続します。証明書の有効期間（最長5年間）の間、メーカーは認証を維持するために、能動的な脆弱性の監視や修正パッチの迅速な配布といった、販売後のセキュリティ維持体制を運用し続ける義務を負います。
2つ目のプロセスにおける、満たすべき「要件」についてもう少し詳細にご紹介いたします。EUCCでは、コモンクライテリアで定義されたセキュリティ機能要件（SFR：Security Functional Requirements）およびセキュリティ保証要件（SAR：Security Assurance Requirements）に基づいて評価が行われます。
SFRは、アクセス制御や暗号化など、製品がサイバー脅威から身を守るために「どのような機能を持つべきか」を定義するものです。一方のSARは、その機能が設計通りに正しく実装され、未知の脆弱性が排除されていることを「どのようなプロセスやテストの深さで確認するか」という開発・評価の確実性を定めています。これら「機能」と「保証」の両要件をクリアして初めて、EUCCが目的とする高度なセキュリティ品質が客観的に証明される仕組みとなっています。
表2 セキュリティ機能要件（SFR:技術的な実装要件）
| カテゴリ | 具体的な要求内容 |
|---|---|
| 識別と認証 | 強固なパスワード、MFA（多要素認証）、不正ログイン試行のブロック |
| アクセス制御 | 最小権限の原則に基づく、ユーザー・プロセスごとのデータアクセス制限 |
| 暗号支援 | 最新の暗号アルゴリズムを用いたデータの暗号化、鍵管理プロトコルの実装 |
| セキュリティ監査 | 誰が・いつ・何をしたかのログ生成、ログの改ざん防止 |
| 通信保護 | TLSなどのプロトコルを使用した、通信経路上でのデータの機密性と完全性の確保 |
| リソース利用 | サービス拒否（DoS）攻撃に対抗するための、リソース割り当て制限 |
| セキュリティ管理 | 管理者権限の適切な分離と、セキュリティパラメータの安全な設定 |
※内容は一例です。
出典 European Union Agency for Cybersecurity（ENISA）公表資料などを基にニュートン・コンサルティング作成
表3 セキュリティ保証要件（SAR:プロセス・品質）
| カテゴリ | 具体的な要求内容 |
|---|---|
| 設計と開発 | セキュリティアーキテクチャの定義、設計図とソースコードの整合性 |
| ガイダンス | ユーザー・管理者が安全に操作するためのマニュアルの整備 |
| ライフサイクルサポート | 安全な開発環境の維持、CM（構成管理）、サプライチェーンのリスク管理 |
| テスト | 開発者による単体・結合テスト、評価機関による脆弱性・侵入テスト |
| 脆弱性評定 | 公開・未公開の脆弱性に対する耐性試験（AVA_VAN） |
※内容は一例です。
出典 European Union Agency for Cybersecurity（ENISA）公表資料などを基にニュートン・コンサルティング作成
なお、これらの要件は製品が取得すべき「保証レベル（SubstantialまたはHigh）」によって要求される深さが異なります。例えばHighの審査では、単なる表面的な動作テストにとどまらず、ソースコードの脆弱性解析や、開発環境の物理的セキュリティまで踏み込んだ客観的証明が要求されます。
EUCCは日本企業にどのような影響をもたらすのか
EUCCは、EU市場にICT製品を展開する日本企業にとって、有力なサイバーセキュリティ認証制度の一つです。現在、EUCCの取得は任意ですが今後、公共調達や民間企業との取引において取得が求められる場面が増えれば、取得済み製品は競争上の優位性を確保しやすくなる可能性があります。
また、CRAへの対応を進める上でも、EUCCは重要な役割を果たすと期待されています。CRAの適合性評価は、まず自社製品がどのリスク区分（デフォルト・Important Class I・Important Class II・クリティカル）に該当するかによって手続きが異なります。デフォルト区分の製品は、自己適合宣言で対応可能ですが、リスクの高い区分ではノーティファイドボディ（公認の第三者機関）による評価が要求されます（その他条件による）。ただし、前述したように、保証レベル「実質的（Substantial）」以上のEUCC認証を取得している場合には、本来義務付けられるノーティファイドボディによる第三者適合性評価を法的に免除するとの規定があります。さらに、最上位であるクリティカル製品においては、EUCCが適合性評価の優先的な証明手段として位置づけられています。
EUCCを含むECCF（欧州サイバーセキュリティ認証枠組み）のスキームには、他のEU法規が認める場合にその法規への適合性推定としても活用できる設計思想が組み込まれています。そのため、セキュリティ審査の重複負担を軽減する有力な候補ともなります。
まとめ
EUCCを単なるコンプライアンス上の負担ではなく、EU市場において自社製品の安全性・信頼性を証明し、特に本稿で述べたようなCRA適合を証明する戦略的ツールとして活用できた企業には、EU市場において強力なアドバンテージとなります。自社製品のカテゴリ分類を正確に見極め、いち早くEU共通の認証ラベルを獲得することが、法的リスクを回避し、EU市場でのビジネスを強固にするための最短ルートと言えます。
