サイバーレジリエンス法における報告義務の内容と具体策

製造業者の報告義務

CRA上、製造業者は、対象製品に関して「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合に、報告義務を負います。詳細は以下のとおりです。

脆弱性を認識した場合の報告義務

① 報告義務の内容

製造業者は、対象製品に「実際に悪用されている脆弱性（actively exploited vulnerability）」があることを認識した場合、各EU加盟国によりコーディネーターとして指定されたCSIRT ⁴ と、ENISA ⁵ に報告する必要があります ⁶。

ここでいう「脆弱性」とは、サイバー脅威により悪用される可能性のある対象製品の弱点、脆さまたは欠陥をいい ⁷、たとえば、対象製品の認証機能の弱点が該当し得ます ⁸。また、「実際に悪用されている脆弱性」とは、脆弱性のうち、悪意のある者がシステムオーナーの許可なく、システム上で当該脆弱性を悪用したことの信頼できる証拠があるものをいいます ⁹。このため、システムオーナーおよびユーザのセキュリティを向上させるために実施した調査等の過程で発見された脆弱性については、（悪意者による悪用の証拠が発見されない限り）「実際に悪用されている脆弱性」には当たらず、報告対象ではありません ¹⁰。

また、製造業者は、実際に悪用されている脆弱性を認識した後、影響を受けるユーザに対し、実際に悪用されている脆弱性および、（必要に応じて）当該脆弱性の影響を緩和するためにユーザが実施可能な対処方法について通知する必要があります ¹¹。

なお、製造業者は、報告義務を負わない脆弱性（「実際に悪用されている脆弱性」に該当しないもの）であっても、対象製品に含まれる脆弱性であって、対象製品のリスクプロファイルに影響を及ぼし得るものについて、自主的にCSIRTおよびENISAに報告することもできます ¹²。

② 報告等の方法

製造業者は、上記で説明した実際に悪用されている脆弱性についてのCSIRTおよびENISAへの報告として、①早期警告通知、②脆弱性通知、③最終報告を提出する必要があります ¹³。

①早期警告通知は、製造業者が脆弱性を認識してから24時間以内に実施する必要があり、該当する場合、通知には対象製品が流通しているEU加盟国の範囲を記載する必要があります。

また、②脆弱性通知は、製造業者が脆弱性を認識してから72時間以内に実施する必要があります。脆弱性通知には、次に掲げる情報を含めなければなりません。

③最終報告は、是正措置または緩和措置が利用可能となってから14日以内に提出する必要があります。最終報告には、次に掲げる情報を含めなければなりません。

以上の通知および報告の提出に関しては、製造業者の報告を簡素化するために、単一報告プラットフォームが設置されることになっています。製造業者は、同プラットフォーム上で、主たる拠点を有するEU加盟国のCSIRTの窓口に通知・報告することになります。この窓口には、ENISAもアクセスすることができ、これにより、CSIRTとENISAへ同時に通知・報告することができます ¹⁴。また、製造業者がEU域内に主たる事務所を有しない場合は、以下の順序に従い決定されたEU加盟国の窓口へ報告を行うこととなります ¹⁵。

以上に加え、製造業者は、CSIRTから必要に応じて実際に悪用されている脆弱性に関する中間報告を求められる場合があります ¹⁶。

重大なインシデントを認識した場合の報告義務

① 報告義務の内容

製造業者は、「対象製品のセキュリティに影響を及ぼす重大なインシデント（severe incident having an impact on the security of the product with digital elements）」を認識した場合、各EU加盟国によりコーディネーターとして指定されたCSIRTと、ENISAに報告する必要があります ¹⁷。

ここでいう「対象製品のセキュリティに影響を及ぼすインシデント」とは、データまたは機能の可用性、真正性、完全性または機密性を保護する対象製品の能力に対して悪影響を及ぼす、または悪影響を及ぼし得るインシデントを指し ¹⁸、以下の場合に、当該インシデントは重大なものであるとみなされます ¹⁹。

具体例としては、攻撃者が、製造業者がユーザにセキュリティアップデートをリリースするためのリリースチャネルを通じて、悪意のあるコードを導入した場合があげられます ²⁰。

また、製造業者は、対象製品のセキュリティに影響を及ぼす重大なインシデントを認識した後、影響を受けるユーザに対し、重大なインシデントの詳細および、（必要に応じて）当該インシデントの影響を緩和するためにユーザが実施可能な対処方法について通知する必要があります ²¹。

なお、製造業者は、報告義務を負わないインシデント（「重大な」インシデントに該当しないもの）であっても、対象製品のセキュリティに影響を及ぼすインシデントおよびそのようなインシデントになりかけた事案について、自主的にCSIRTまたはENISAに報告することもできます ²²。

② 報告等の方法

製造業者は、上記で説明したインシデントについてのCSIRTおよびENISAへの報告として、①早期警告通知、②インシデント通知、③最終報告を提出する必要があります ²³。

①早期警告通知は、製造業者がインシデントを認識してから24時間以内に実施する必要があり、通知には当該インシデントが違法な行為または悪意のある行為によって引き起こされた疑いがあるか否かについて記載する必要があります。さらに、対象製品が複数のEU加盟国で流通している場合には、流通しているEU加盟国の範囲を記載する必要があります。

また、②インシデント通知は、製造業者がインシデントを認識してから72時間以内に実施する必要があります。インシデント通知には、次に掲げる情報を含めなければなりません。

③最終報告は、インシデント通知後1か月以内に提出する必要があります。最終報告には、次に掲げる情報を含めなければなりません。

以上の通知および報告の提出は、脆弱性を認識した場合の報告方法と同じく、単一報告プラットフォームを通じて行うこととなります ²⁴。

以上に加え、製造業者は、CSIRTから必要に応じてインシデントに関する中間報告を求められる場合があります ²⁵。

罰則

「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合の報告義務に違反した場合、最高1,500万ユーロまたは前会計年度の全世界の年間総売上高の2.5％のいずれか高い方の金額を上限とする行政罰の対象になります ²⁶。

輸入業者と流通業者の報告義務等

輸入業者と流通業者の報告義務に関しては、製造業者の報告義務とは異なり、2027年12月11日以降でなければ適用が開始されないものの ²⁷、関連性が高いため、以下のとおり解説します。

報告義務の内容

輸入業者と流通業者は、下表のとおり、サイバーセキュリティリスクをもたらす一定の場合に、製造業者や市場監視当局に対する報告等をする義務を負います ²⁸。

類型	状況	対応
市場におく前の対象製品	対象製品または製造業者が実施したプロセスがCRA（流通業者についてはAnnex I）に準拠していないと考え、またはそのように信じる理由がある。	当該対象製品または当該プロセスがCRAに準拠するまで当該対象製品をEU市場におかない。
	対象製品が重大なサイバーセキュリティリスク 29 をもたらす。	製造業者および市場監視当局にその旨を報告する。
	（輸入業者のみ）対象製品が非技術的リスク要因に照らして重大なサイバーセキュリティリスクをもたらし得ると信じる理由がある。	市場監視当局にその旨を報告する。
すでに市場におかれた対象製品	対象製品または製造業者が実施したプロセスがCRAに準拠していないと認識し、またはそのように信じる理由がある。	当該対象製品がCRAに準拠するために必要な是正措置をただちに講じ、または、必要に応じ、当該対象製品の回収・リコールをする。 ※流通業者は、上記の対応がなされることを確保する。
	対象製品の脆弱性を認識した。	製造業者に遅滞なくその旨を報告する。
	対象製品が重大なサイバーセキュリティリスクをもたらす。	すでに対象製品がおかれた市場の市場監視当局にただちにその旨を報告する。

製造業者の義務が輸入業者および流通業者に適用されるケース

輸入業者と流通業者は、対象製品を自身の名称または商標を利用してEU市場においた場合、またはすでにEU市場におかれた対象製品に実質的な改変を加えた場合には、「製造業者」とみなされ、「製造業者の報告義務」の項で述べた製造業者の義務を自ら負うことになります ³⁰。

罰則

ここまで解説した義務に違反した場合、最高1,000万ユーロまたは前会計年度の全世界の年間総売上高の2％のいずれか高い方の金額を上限とする行政罰の対象になります ³¹。

報告義務に対応するための具体策

以上で説明した報告義務を遵守するための実務上の対策としては、以下のような措置を講じておくことが考えられます。

CRA対応を含めたセキュリティガバナンス体制の構築

サイバー攻撃等により、CRA上の報告対象事態である「実際に悪用されている脆弱性」や「対象製品のセキュリティに影響を及ぼす重大なインシデント」が発生した場合には、上記のとおり、認識後24時間以内に早期警告通知を行う必要があるなど、きわめて迅速な対応が求められます。加えて、サイバー攻撃等を受けたときには、CRA対応にとどまらず、事業の停止等による損害拡大の回避やユーザ等との契約上の義務の履行のためにも、タイムリーに適切な判断をすることが求められます。したがって、平時からCRA上の報告対象事態を含めたインシデントへの対応体制を整備しておくことが不可欠です。

体制整備プロセスの推進にあたっては、旗振り役となるチームの組成が非常に重要です。これは、実質的にそのチームが、体制構築後のセキュリティ組織のコアメンバーとなることが多いためです。

チーム組成の方法はさまざまであり、また、チームの規模も異なりますが、成功のポイントとしては、法務・情報システム・情報セキュリティ・広報・主要事業部門などから、分野横断的に適切なメンバーを揃えることであるといえます。自社の現状把握が適切になされてはじめて実効性のあるセキュリティ確保体制の構築・運用が可能となるため、これを可能とするチームの組成が適切な対応へとつながります。

インシデント対応マニュアルの作成・周知

報告義務については、きわめてタイトなスケジュールでの対応が求められることから、具体的に、誰がいかなる対応をどのように行うのかに関して、平時においてあらかじめ有事に備えたインシデント対応フローを確立し、これをマニュアル化したうえで、研修等により従業員への周知徹底を行っておくことが重要です。CRA上のインシデント対応の一般的な流れは下図のとおりとなると考えられるため、インシデント対応マニュアルでは、以下のプロセスごとに、「誰が」「いかなる対応を」「どのように」行うのかを具体的に定めておくことになります。

GDPR対応とCRA対応の連携

対象製品においては、GDPR（General Data Protection Regulation：一般データ保護規則）の適用対象である「個人データ」が処理されるケースも多いと想定されます。仮に、CRA上の報告対象であるインシデントが発生し、これによって同時に個人データが漏えいしたような場合には、CRA上の報告義務のみならず、GDPR上の関連当局への報告義務も発生します ³²。また、当該漏えい等が個人データの本人の権利・自由に高いリスクをもたらす場合には、GDPR上の本人への通知義務も負うことになります ³³。

そのため、上記のような事態が発生した場合に、CRA対応とGDPR対応とで効率的かつ矛盾のない対応を行うために、CRA対応とGDPR対応とを同じチームで担当するように体制構築しておくことが考えられます。この場合、すでにGDPR対応チームが存在するのであれば、CRA対応に必要なメンバー（製品セキュリティの担当者等）の追加を検討する必要があると考えられます。他方で、GDPR対応チームとCRA対応チームを分ける場合には、少なくとも、各チーム間で情報等の緊密な連携をとりつつ対応する必要があると考えられます。このような連携の方法やタイミングについても、上記のインシデント対応マニュアルに含めておくことが有益です。

なお、GDPRでは、原則としてインシデント認識時から72時間以内に当局への報告をすることが求められている一方、CRA上は、インシデント認識時から24時間以内に早期警告通知をすることが求められているなど、CRAとGDPRとでは対応のスケジュールや内容が異なることに留意しなければなりません。

業務委託先等との間の契約書上の規定の策定

前述のとおり、インシデント発生時には、CRA対応にとどまらず、事業の停止等による損害拡大の回避や、ユーザ等との契約上の義務の履行のために、迅速な対応が求められます。このため、製造業者は、輸入業者や流通業者その他の業務委託先等との間の契約において、脆弱性やインシデントを検知した際には製造業者に対してただちに報告する義務を課すとともに、その報告の方法を指定しておくこと（具体的には、当該製造業者において構築したインシデント時のレポーティングラインへとつながる特定のメールアドレスを、契約書上に明記することなど）が考えられます。また、輸入業者や流通業者においても、その業務委託先等に対して上記と同様の契約書上の規定をおくことが考えられます。

また、CRA上の報告を実施する際は、「製造業者の報告義務」の項で解説したように、さまざまな脆弱性またはインシデントに関する情報を含めなければならず、自社のみで必要な情報を収集するのは難しい場合も予想されます。そのため、効率的に必要な情報を収集できるようにするため、業務委託先等の必要な情報を保持している者との間で、必要な情報を定められた方法で適時に提供したり、自社の指示に基づいて調査を実施したりするなど、一連の報告義務への対応に協力する義務を課しておくことも有益であると考えられます。

---