AIエージェント【9月11日】サイバーレジリエンス法、猶予は2027年までではなかった
EUサイバーレジリエンス法（CRA）は2027年12月11日から全面適用ですが、第14条の報告義務だけは2026年9月11日から先に始まります。しかも第69条第3項が、それ以前にEU市場へ出した製品にもこの義務をかけています。自社が対象かを条文の4問で判定する方法と、24時間・72時間・14日の報告期限を規則の原文から整理しました。
佐野 泰規株式会社AIエージェント 代表取締役
この記事でわかること
- 報告義務だけ1年3か月早く始まる。規則第71条第2項は「本規則は2027年12月11日から適用する。ただし第14条は2026年9月11日から適用する」と書いている
- すでに市場に出した製品も対象。第69条第2項は「2027年12月11日より前に市場に置かれた製品は、実質的な改変がある場合にのみ本規則の要件に服する」としているが、第69条第3項が第14条だけをその例外にしている
- 作らせた側が「製造者」になりうる。第3条(13)の製造者の定義は「開発・製造する者」だけでなく「設計・開発・製造させたうえで自己の名称または商標で市場に出す者」を含む。外注しても義務は移らない
- 時計は24時間・72時間・14日。第14条第2項は早期警告24時間以内、脆弱性の届出72時間以内、是正措置が利用可能になってから14日以内の最終報告を求めている
- ただし大半の日本の中小企業は対象外。EU市場で商業活動として供給していなければ、第3条(22)の「市場での利用可能化」に当たらない
EUサイバーレジリエンス法（CRA）は「2027年12月11日から」と説明されます。私も最初はその理解でいました。
規則の最後の条文を読むと違いました。報告義務だけは2026年9月11日から始まります。 しかも、それより前にEU市場へ出した製品にもかかります。
先に結論から。EU市場に何も出していない会社には関係ありません。 大半の日本の中小企業はここで終わりです。ただしそう言い切るには条文の4問を通す必要があるので、そこから整理します。
サイバーレジリエンス法の2026年9月11日は、第71条第2項に書いてある
規則（EU）2024/2847の最終条文が、適用日を二段構えにしています。
This Regulation shall apply from 11 December 2027. However, Article 14 shall apply from 11 September 2026 and Chapter IV (Articles 35 to 51) shall apply from 11 June 2026.
（本規則は2027年12月11日から適用する。ただし、第14条は2026年9月11日から、第4章（第35条から第51条）は2026年6月11日から適用する。拙訳）
——Regulation (EU) 2024/2847 第71条第2項（2026年9月3日閲覧）
第14条は「製造者の報告義務」です。報告を受け付ける単一報告プラットフォーム（SRP）も同じ日に稼働すると、欧州委員会が公表しています。
The Single Reporting Platform will be operational by 11 September 2026 (date of entry into application of the CRA reporting requirements).
——European Commission, Cyber Resilience Act - Reporting obligations（2026年9月3日閲覧）
受け皿が同じ日に開く、つまりその日から実際に届出が始まります。
「2027年12月まで猶予」が崩れるのは第69条第3項
経過措置の条文は、一読すると猶予に見えます。
2027年12月11日より前に市場に置かれたデジタル要素を持つ製品は、同日以降に実質的な改変が加えられる場合に限り、本規則に定める要件に服する。
——同規則 第69条第2項（拙訳）
すでに出している製品は、実質的な改変をしない限り対象外。ところが次の項がこれをひっくり返します。
By way of derogation from paragraph 2 of this Article, the obligations laid down in Article 14 shall apply to all products with digital elements that fall within the scope of this Regulation that have been placed on the market before 11 December 2027.
（本条第2項の定めにかかわらず、第14条に定める義務は、本規則の範囲に含まれ、2027年12月11日より前に市場に置かれたすべてのデジタル要素を持つ製品に適用する。拙訳）
——同規則 第69条第3項
つまり構造はこうです。要件への適合は将来の製品から。報告義務だけは、いま動いている製品を含めて9月11日から。 「2027年12月まで様子を見る」という判断は、第14条についてだけは成立しません。
自社が対象かは、条文の4問で判定できる
「EUに売っていないから関係ない」で正しいのですが、どこを見てそう言えるのかを条文に戻して4問にしました。4つすべてがYesのときだけ対象です。
| # | 問い | 根拠条文 | 見落としやすいところ |
|---|---|---|---|
| 1 | それは「デジタル要素を持つ製品」か | 第3条(1) | ソフトウェア単体でも該当。単独で市場に出されるコンポーネントも含む |
| 2 | デバイスやネットワークに直接または間接につながるか | 第2条第1項・第3条(10) | 「間接」は、直接つながる大きなシステムの一部として接続される場合を含む |
| 3 | EU市場で商業活動として供給しているか | 第3条(21)(22) | 無償でも該当。「商業活動の過程における、EU市場での頒布または使用のための供給」 |
| 4 | 自社は「製造者」に当たるか | 第3条(13) | 次の節。外注していても該当しうる |
問3が実質的な足切りです。第3条(22)は「市場での利用可能化」を「商業活動の過程における、EU市場での頒布または使用のための供給。有償・無償を問わない」と定義しています。判定は会社の所在地ではなく供給先なので、日本の会社でもEUへ出していれば入り、EUの会社でも域内に出していなければ入りません。
作らせた側が「製造者」になる
「製造者」と訳される語ですが、定義は開発を自分でやったかどうかで切れていません。
a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark
（デジタル要素を持つ製品を開発もしくは製造する自然人もしくは法人、または、デジタル要素を持つ製品を設計、開発もしくは製造させ、自己の名称もしくは商標のもとでそれらを市場に出す者。拙訳。条文はこのあと「有償・収益化・無償を問わず」と続く）
——同規則 第3条(13)「製造者」の定義
私はここを、発注する側にとっていちばん重要な一文だと読みました。開発会社に作らせた製品を自社ブランドでEUに出しているなら、報告義務を負うのは開発会社ではなく自社です。 契約書に「セキュリティ対応はベンダーが行う」と書いてあっても、規制上の名宛人は変わりません。契約で移せるのは作業であって、義務ではないからです。
外注している場合に確認することは2つだけです。悪用が判明したときに開発会社から24時間以内に自社へ連絡が来る経路があるか。その連絡を受けて誰がSRPへ出すのかが決まっているか。 ここが空欄なら、期限のほうが先に来ます。
この「契約で移せるのは作業であって義務ではない」という構図は、EU向けに限った話ではありません。国内の外注でも、下請法の観点から何が委託先に移り何が移らないかはシステム開発の外注と下請法で整理しています。また、脆弱性に24時間で反応できる体制は保守契約の中身そのものなので、何にいくら払っているかはシステムの保守・運用費の相場とあわせて見てください。
報告の時計は24時間・72時間・14日
第14条第2項が、能動的に悪用されている脆弱性についての段取りを決めています。
| 段階 | 期限 | 出す内容 |
|---|---|---|
| 早期警告 | 認識から24時間以内 | 悪用されている脆弱性の存在。判明していれば、製品が供給されている加盟国 |
| 脆弱性の届出 | 認識から72時間以内 | 製品の一般情報、悪用と脆弱性の性質、講じた是正・緩和措置、利用者が取れる措置 |
| 最終報告 | 是正措置が利用可能になってから14日以内 | 脆弱性の記述・深刻度・影響、判明していれば攻撃者の情報、提供した更新の詳細 |
重大なインシデント（第14条第3項・第4項）も24時間・72時間は同じで、最終報告だけが「届出から1か月以内」になります。
14日の起算点が「認識から」ではなく「是正措置が利用可能になってから」である点は、実務上ありがたい設計です。直すのに時間がかかっても最終報告は遅らせられます。動かないのは最初の24時間で、こちらは直せているかを問わず走り出します。
制裁金は1,500万ユーロか全世界売上高の2.5%
第64条第2項が、第13条・第14条の義務違反について「1,500万ユーロ以下、または事業者の場合は前会計年度の全世界年間売上高の2.5%以下のいずれか高いほう」と定めています。同条第5項(c)は額を決める際に「零細企業および中小企業（スタートアップを含む）の規模」を考慮するとしていますが、対象から外すとは書いていません。 第14条に中小企業向けの適用除外はありません。
EU市場に出していないなら、ここで終わってよい
正直に書くと、この記事を読んでいる会社の大半は対象外です。国内の顧客に納めるシステム、社内で使う業務システム、日本国内向けのアプリ。これらは第3条(22)の「EU市場での頒布または使用のための供給」に当たりません。やることはありません。
対象になりうるのは2つだけ。自社製品やアプリをEUの顧客・EU向けストアに出しているとき。もうひとつは、自社が作ったものが顧客の製品に組み込まれ、その顧客がEUへ出しているときです。後者の名宛人は顧客ですが、24時間の起算点は「製造者が認識した時」なので、顧客から自社へ照会が来ます。心当たりがあるなら、取引先との連絡経路を9月11日までに1本決めておくだけで足ります。残りは2027年12月に向けて時間をかけて構いません。
制度の話の前に、自社の現在地を確かめておく
この手の規制で判断を鈍らせるのは、規制そのものより自社のシステムが今どこまで外につながっているかを把握できていないことのほうです。
そこを短時間で見るなら、AI適合度診断（10問・約3分）が使えます。連絡先の入力は要りません。 社内で回して現在地の共有に使ってください。
つなぎ直す話になったときの金額感はAI見積もりで約3分。SIerの相場と当社の金額を並べて出すので、稟議の前の当たり付けに向きます。外注の進め方はAI受託開発にまとめています。
出典
- Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 (Cyber Resilience Act) — EUR-Lex（官報 L series, 2024/2847, 20.11.2024）。第2条、第3条、第14条、第64条、第69条、第71条（2026年9月3日閲覧）
- European Commission, "Cyber Resilience Act - Reporting obligations" — Shaping Europe's digital future（2026年9月3日閲覧）
条文の訳は拙訳です。正文は英語版を含むEU公用語版で、解釈が問題になる場面では原文と、必要に応じて専門家の確認をお願いします。
よくある質問
- EUサイバーレジリエンス法はいつから適用されますか？
- 規則（EU）2024/2847第71条第2項は「本規則は2027年12月11日から適用する。ただし、第14条は2026年9月11日から、第4章（第35条から第51条）は2026年6月11日から適用する」と定めています。全面適用は2027年12月11日ですが、製造者の報告義務を定めた第14条だけが2026年9月11日に先行して始まります。
- 2027年より前にEU市場へ出した製品も対象になりますか？
- 第14条の報告義務については対象になります。第69条第2項は2027年12月11日より前に市場に置かれた製品を原則として規則の要件から外していますが、第69条第3項が「第2項の定めにかかわらず、第14条に定める義務は、本規則の範囲に含まれ2027年12月11日より前に市場に置かれたすべてのデジタル要素を持つ製品に適用する」としています。
- 日本の会社も対象になりますか？
- EU域内で製品を市場に出しているかどうかで決まります。第2条第1項は「市場で利用可能にされたデジタル要素を持つ製品」を対象とし、第3条(22)は「市場での利用可能化」を「商業活動の過程における、EU市場での頒布または使用のための供給」と定義しています。日本国内の顧客だけに供給しているなら、この定義に当たりません。所在地ではなく供給先で判断します。
- 開発を外注していれば義務は外注先にありますか？
- 移りません。第3条(13)は製造者を「デジタル要素を持つ製品を開発もしくは製造する者、または、デジタル要素を持つ製品を設計、開発もしくは製造させ、有償・収益化・無償を問わず自己の名称もしくは商標のもとでそれらを市場に出す者」と定義しています。作らせた側でも、自社の名前で出すなら製造者に当たります。
- 報告を怠るとどうなりますか？
- 第64条第2項は、附属書Iの必須要件および第13条・第14条の義務への不遵守について、1,500万ユーロ以下、または事業者の場合は前会計年度の全世界年間売上高の2.5%以下のいずれか高い額の制裁金を定めています。第64条第5項(c)は額を決める際に零細・中小企業の規模を考慮するとしていますが、対象から外すとは書いていません。
自社の場合、いくら？
作りたいものを入力するだけで、AIが約3分で概算見積もりを作成します。一般的なSIer相場との比較つき、無料・営業からのしつこい連絡はありません。
AIで概算見積もり（無料） →先に費用の目安を知りたい方は用途別の費用相場へ。