EUサイバーレジリエンス法：報告義務が2026年9月11日に開始。充電器・インバータメーカーがすべきこと

#スケジュール

#何を、どれだけ早く報告するか

期限は製造者が認識した時点から数える。報告は単一報告プラットフォームで1回提出し、製造者の主たる拠点がある加盟国の調整役CSIRTに届き、例外的な場合を除きENISAにも同時に届く。

重大インシデントとは、データや機能の可用性・真正性・完全性・機密性を守る製品の能力に影響する（またはしうる）もの、あるいは製品や利用者のシステムで悪意あるコードの実行につながる（またはつながりうる）ものをいう。

製造者は、影響を受けた利用者、必要に応じて全利用者に、脆弱性やインシデントと利用可能な緩和策を知らせなければならない。必要に応じて構造化された機械可読形式を用いる。

#販売済みの製品も対象

2027年12月11日より前に上市された製品は、原則として大幅な改変がない限りCRAの対象とならない（第69条2項）。報告義務は例外で、第14条は改変の有無にかかわらず範囲内のそうした製品すべてに適用される（第69条3項）。EU内の既設製品は今すでに対象である。

#充電器、インバータ、蓄電システムは対象か

CRAは機器やネットワークに接続するデジタル要素を持つ製品を対象とする。OCPP対応の充電器、Wi-Fiや4Gで監視するインバータ、クラウドに接続した蓄電システム、エネルギー管理ユニットはいずれも該当する。

これらの製品は附属書III（重要製品）にも附属書IV（重大製品）にも名前がない。附属書IIIにはルーターやモデム、OS、セキュリティ機能を持つスマートホーム製品などが、附属書IVにはスマートメーターゲートウェイが挙がっている。掲載されていない製品はデフォルト区分となり、2027年12月から製造者が自ら適合性を評価できる。

それまでの間も、EUで販売される接続型無線機器は無線機器指令のサイバーセキュリティ要求を満たす必要があり、EN 18031で評価する。

#今すべきこと

1. 24時間の対応体制を作る。 脆弱性報告を誰が受け、悪用されているかを誰が判断し、早期警告を誰が提出するかを決める。
2. 単一報告プラットフォームへのアクセスを準備し、通知を受けるCSIRTを確認する。
3. 既設製品を一覧にする。 EUで販売したすべての接続型モデル、ファームウェアのバージョン、現場への更新配信方法。義務は旧製品にも及ぶ。
4. 利用者への告知を準備する。 テンプレートと告知チャネル、できれば機械可読形式で。
5. 2027年12月に備える。 セキュアバイデフォルト設計、サポート期間中のセキュリティ更新、ソフトウェア部品表（SBOM）が要求事項になる。