欧州サイバーレジリエンス法案（Cyber Resilience Act）の適合性評価—＜連載＞経営agendaとして取り組むべきEUのサイバーセキュリティ法規制動向～欧州サイバーレジリエンス法案（Cyber Resilience Act）第3回

CRAの適合性評価

CRAでは、適用対象となるすべてのデジタル製品に対して、セキュリティ要件への適合を求めています。CRAにおける適合性評価の形式としては、「自己認証」・「第三者認証（型式認証）」・「第三者認証（実地検査）」の3パターンがあります。

ポイントは、適用対象製品の分類に応じて、「適合性評価」の形式が定義されているということです。CRAにおける適用対象製品は「重要なデジタル製品（[クラスⅠ（低リスク）]・[クラスⅡ（高リスク）]）」と「重要なデジタル製品以外」に分類されています。

重要なデジタル製品以外では自己認証による適合性評価が認められているものの、重要なデジタル製品では第三者認証による適合性評価が必須とされています。

分類ごとに選択可能な適合性評価形式

■重要なデジタル製品以外：
自己認証 or 第三者認証（型式認証） or 第三者認証（実地検査）

■重要なデジタル製品（クラスⅠ（低リスク））：
第三者認証（型式認証） or 第三者認証（実地検査）
※EUCCやUN規格など他の規格等への準拠に基づく適合宣言も認められている

■重要なデジタル製品（クラスⅡ（高リスク））：
第三者認証（型式認証） or 第三者認証（実地検査）

各評価形式における評価内容

「自己認証」の場合は、製造業者が自らの責任において、適用対象製品がCRAにて定義されたセキュリティ要件に準拠していることを保証・宣言します。

一方で、「第三者評価」の場合は、適用対象製品がCRAにて定義されたセキュリティ要件に準拠していることに対する適合性評価機関によるお墨付きが必要です。

第三者認証（型式認証）では、評価対象の製品に係る1つ以上の重要な部品の検査が求められ、第三者認証（実地検査）では、評価対象の製品に係る製造プロセス及び品質システム文書・記録の実地検査が求められます。

第4回では、CRAの適用対象製品に要求される「セキュリティ要件」や対応に係るポイント等を解説していきます。