- Column
- 日系SDVが世界で勝つための協調と独自性
先行適用が迫るCRAに備えて、“攻め”と“守り”の製品セキュリティを実装する
「SDVサミット2026」より、Covalent／Syn-Resilient Managing Directorの小林 弘樹 氏
- 提供：
- Covalent／Syn-Resilient
製品セキュリティに関する法規制がグローバル規模で急速に整備されつつある。中でも、欧州市場に製品を流通させる日本の製造事業者にとって対応が急務となっているのが、2026年9月11日に先行適用が始まるCRA（Cyber Resilience Act：EUサイバーレジリエンス法）だ。CovalentおよびSyn-ResilientでManaging Directorを務める小林 弘樹 氏が「ソフトウェア・ディファインド・ビークル・サミット 2026」（主催：インプレス、2026年6月11日）に登壇。CRAが求める義務内容と、専門人材が不足する中で対策の高度化を果たすためのAI（人工知能）活用アプローチを解説した。
「製品のIoT（Internet of Things：モノのインターネット）化やソフトウェア活用の広がりを受け、製品ライフサイクル全体での『製品セキュリティ』に関する法規制の整備がグローバルで進行している。サイバー攻撃の標的となり得るあらゆる製品が含まれ、当然、自動車も例外ではない。SDV（Software Defined Vehicle）開発に当たっては、この新たな課題への対応を怠ってはならない」--。CovalentおよびSyn-Resilient（シン・レジリエント）でManaging Directorを務める小林 弘樹 氏は、こう指摘する（写真1）。
製品セキュリティを律する国家レベルの法規制は、ここ数年で一気に具体化している。米国では、2021年に署名された大統領令14028に基づく「Improving the Nation's Cybersecurity」が、中国では、2025年に大幅改正され罰則が強化された「サイバーセキュリティ法」などが施行されている。
日本の製造事業者にとって対応が「待ったなし」の状況にあるのが、欧州市場への参入要件となるCRA（Cyber Resilience Act：EUサイバーレジリエンス法）だ。
先行適用される「重大な脆弱性とインシデントの報告義務」の開始期日は2026年9月11日と目前に迫る。CRAは対象製品の準拠状況を、欧州市場での流通に不可欠な「CEマーク」の認証要件へ統合して管理する。つまり、適合のない製品は欧州全域での販売が不可能になる。
準拠に向けては「技術的な製品の堅牢化のみならず、製品の設計から廃棄に至るライフサイクル全般をカバーする、組織的なマネジメント体制の構築が必須となる」と小林氏は指摘する。
CRAによって重要製品には厳格な認証手続きが必要になる
CRAでは、デジタル要素を備えた対象製品を、リスクレベルに応じて「Default」「クラスI（重要製品）」「クラスII（重要製品）」「クリティカル製品」の4つのカテゴリーに大別している（図1）。
カテゴリーごとに求められる認証方式の厳格さは大きく異なる。リスクが比較的低い製品はDefaultに分類され、メーカー自身による自己適合性評価が認められる。しかし「一定以上のリスクを内包する製品は重要製品に指定され、認証手続きが格段に厳格化する」（小林氏）
クラスIでは、ID管理システムやOS、ルーターなどで第三者認証または整合規格への適合が求められる。クラスIIでは、ファイアウォールや侵入検知システムなどで第三者認証の取得が必須になる。クリティカル製品では、より厳格な第三者認証の手続きをパスしなければならない。
上位カテゴリーの製品を抱える企業は「デューデリジェンス（Due Diligence）」の実装にも直面している。「適合性を証明する技術文書の作成に留まらず、工場の工作機械や調達部品のセキュリティ状況に関してもレポートとして記録・保持することが求められる」（小林氏）
なお自動車や医療機器は、WVTA（Whole Vehicle Type Approval：車両型式認証）などの個別規制によって、既に厳格なサイバーセキュリティ基準が敷かれているためCRAの対象から除外される。それでも小林氏は「自動車を構成する汎用的なソフトウェアや電子部品がCRAの要件に巻き込まれるケースは十分に想定される」と指摘する。
2026年9月の先行適用以降、製造事業者は重大な脆弱性を認知した際、EU（European Union：欧州連合）のサイバーセキュリティ機関であるENISA（European Union Agency for Cybersecurity）への段階的な報告義務を負う。これには「極めて厳格な時間制約が設けられている」（小林氏）という。具体的には「24時間以内での早期警告通知、72時間以内での脆弱性通知、是正措置が利用可能になってから14日以内での最終報告の3段階が義務となる」（同）
さらにその先、2027年12月の全面適用後は、開発段階における暗号化やセキュアアップデートの実装、上市時におけるSBOM（Software Bill of Materials：ソフトウェア部品表）の提出、運用時におけるユーザーへの安全使用方法の開示といった対応が規定される（図2）。一連の要件を満たさない場合の罰則は極めて重く、最大1500万ユーロ（約27億円）、または全世界売上高の2.5％のいずれか高い方が制裁金として科せられる仕組みだ。
