【2025年最新版】サイバーレジリエンス法（CRA）とは？製造業・IoT事業者・経営層が今すぐ動くべき理由
サイバーレジリエンスはじめに｜サイバー攻撃の「連鎖」が企業の存続を脅かす時代に
2024〜2025年にかけて、ニコニコ動画、NTTドコモ、みずほ銀行など、大手企業が立て続けにサイバー攻撃の標的となりました。
今や、攻撃対象はIT業界に限られません。
製造業や物流業、社会インフラの“すき間”を狙った「サプライチェーン攻撃」が主流です。
この“連鎖リスク”に法規制で対応しようというのが、
EUが導入を決定した「サイバーレジリエンス法（Cyber Resilience Act：CRA）」です。
サイバーレジリエンス法（CRA）とは？【2027年施行】
2024年12月に発効し、2027年12月からEU域内で完全適用されるCRAは、次のような特徴を持ちます。
| 項目 | 内容 |
|---|---|
| 適用対象 | ソフトウェア、IoT機器、ハードウェアなど「デジタル要素を含む製品」全般 |
| 規制内容 | 設計〜廃棄までのライフサイクル全体にわたるセキュリティ対策を義務化 |
| 施行日 | 2027年12月11日（ENISAへの通報義務は2026年9月から） |
| 市場アクセス | CRA準拠がCEマーキング要件に追加され、非準拠製品は販売不可 |
**罰則は最大1,500万ユーロ、もしくはグローバル売上高の2.5％。**事業継続リスクに直結する制度です。
日本企業が無視できない3つの理由
① EU輸出製品は直接影響を受ける
CRAの要件に適合しないと、EU市場で製品を販売できなくなります。
特に以下の業界は要注意です：
- 工場自動化機器
- 医療機器（ソフト含む）
- 通信端末・IoTデバイス
- クラウドやアプリケーションを内包するスマート製品
② 欧州以外にも波及する“事実上の国際標準“
CRAは今後「ISO/IECやNISTと連動した国際基準」として世界各国へ拡がると予想されています。
“EUだけ対応すればいい”では済まなくなるリスクが高まっています。
③ 「最終製品メーカー」だけの責任ではない
サプライチェーン構造の中で、「中間製品」「部材」「ソフトモジュール」の提供元もCEマーキング取得の責任を問われます。
CRAは、企業間契約の見直しにもつながる制度です。
CRAが求める4つの「サイバー耐性」
CRAに準拠するには、次のような観点からの体制構築が必要です：
- 設計段階からのセキュア・バイ・デザイン導入（セキュリティを考慮した設計）
- 製品出荷後5年間の脆弱性修正とアップデート（継続的なセキュリティサポート）
- 重大インシデント発生時のENISA報告体制（迅速な情報共有体制）
- 文書管理・リスク評価のドキュメント化（証拠となる記録の整備）
※トレンドマイクロ・サイバートラスト両社も、
**「保守契約に“脆弱性対応5年”をどう盛り込むか」**を課題として挙げています。
まとめ：CRAは“セキュリティ×製品開発”の新常識
サイバーレジリエンス法（CRA）は、単なる法対応というより、＜企業の信頼と商機を左右する「新しいルール」＞です。
「設計の段階から製品セキュリティをどう織り込むか」 「EUだけでなく、今後国内でも求められるセキュリティ基準なのでは？」
「部品提供側として、どう責任範囲を明確にし、CE認証に協力するか」
そんな疑問が1つでもあれば、ぜひご相談ください。 CRA対応は“商談の入口”になる時代が、すでに始まっています。
投稿者プロフィール
