コネクテッド充電器のEU RED サイバーセキュリティ：今はEN 18031、次はサイバーレジリエンス法
2025年8月1日以降、EUで販売されるインターネット接続型無線機器はREDのサイバーセキュリティ要求を満たす必要があります。EV充電器に何が適用されるか、EN 18031の制約、2027年の変化を整理します。
- 012025年8月1日以降、EUのインターネット接続型無線機器はRED第3条3項(d)(e)(f)を満たす必要があります。
- 02Wi-Fiやセルラーなどの無線でインターネットにつながる充電器は対象です。
- 03EN 18031-1/-2/-3は2025年1月30日に引用されましたが、自己宣言の道を閉ざし得る制限付きです。
- 04ユーザーがパスワードを設定しなくてもよい場合、適合推定は得られず、ノーティファイドボディが必要です。
- 05委任規則2026/339により、サイバーレジリエンス法が全面適用される2027年12月11日に本規則は廃止されます。
2025年8月1日に変わったこと
委任規則(EU) 2022/30は、無線機器指令(RED)のサイバーセキュリティ要求3項目を発効させました。当初は2024年8月1日適用の予定でしたが、委任規則(EU) 2023/2444により2025年8月1日に延期されました。同日以降にEU市場に出される対象製品はすべて適合が必要です。
| 要求 | 保護対象 | 適用対象 |
|---|---|---|
| 第3条3項(d) | ネットワーク | 直接または他の機器を介してインターネットで通信できる無線機器 |
| 第3条3項(e) | 個人データ・プライバシー | 個人データやトラフィック・位置データを処理する接続機器、さらに保育機器、玩具、ウェアラブル |
| 第3条3項(f) | 不正防止 | 利用者が金銭、金銭的価値、仮想通貨を移転できる接続機器 |
自社の充電器は対象か
判断基準は「無線+インターネット」です。Wi-Fiやセルラーモデムでバックエンドと通信する充電器は(d)の対象です。ユーザーアカウント、カードID、個人に結び付く充電セッションデータを扱うなら(e)が適用される可能性が高く、充電器で支払いができるなら(f)が適用される可能性が高いと言えます。
無線機能を一切持たず有線のみで接続する充電器は無線機器ではなく、REDの対象外です。分類は製品ごとに確認してください。
EN 18031：制限付きの引用
欧州委員会は2025年1月30日、EN 18031-1、EN 18031-2、EN 18031-3:2024を官報に引用しました(実施決定(EU) 2025/138)。ただし適合推定を制限する注記が付いています。
| 規格 | 注記 |
|---|---|
| 3規格共通 | 「根拠」と「ガイダンス」の部分は適合推定を与えない |
| 3規格共通 | ユーザーがパスワードを設定・使用しないことを許す場合、推定なし |
| EN 18031-2 | 該当機器で保護者によるアクセス制御が確保されない場合、推定なし |
| EN 18031-3 | セキュアアップデートの評価基準(6.3.2.4項)は推定なし |
これは適合性評価ルートを左右します。引用された整合規格を完全に適用した場合にのみ自己宣言が可能です。制限に該当する、または規格を完全に適用しない場合は、ノーティファイドボディの関与が必要です。
次の変化：サイバーレジリエンス法
規則(EU) 2024/2847(CRA)は、デジタル要素を持つ製品をより広く対象とします。
| 日付 | 内容 |
|---|---|
| 2026年9月11日 | 実際に悪用されている脆弱性と重大インシデントの報告義務が開始 |
| 2027年12月11日 | CRAの要求が全面適用 |
| 2027年12月11日 | 規則2022/30を廃止(委任規則(EU) 2026/339) |
2025年8月1日から2027年12月10日の間に上市された製品は、市場監視上は引き続きREDの要求の対象です。
今やるべきこと
- パスワードなしの選択肢をなくす。 機器固有の認証情報やパスワード設定の強制で、EN 18031の制限を回避できます。
- セキュアアップデートの証拠を残す。 ファームウェア更新の完全性と真正性には独立した証拠が必要です。
- 2027年まで見据えて一度で整える。 EN 18031向けのリスク評価、脆弱性対応、更新ポリシーはCRAに引き継げます。
当社は充電器メーカーのEU向けCEルート策定を支援し、提携試験所ネットワークでEMCと安全の試験を提供しています。
よくある質問
Wi-Fi付きの充電器は対象ですか？
インターネットで通信できれば対象です。第3条3項(d)が適用され、(e)と(f)は個人データの処理や決済機能の有無によります。
EN 18031で自己宣言できますか？
引用規格を完全に適用し、制限(パスワード省略を許すなど)に該当しない場合のみ可能です。それ以外はノーティファイドボディが必要です。
2027年12月に何が起きますか？
CRAが全面適用され、規則2022/30は2027年12月11日付で廃止されます。
出典
- Commission Delegated Regulation (EU) 2022/30 — EUR-Lex
- Commission Delegated Regulation (EU) 2023/2444 (application date moved to 1 August 2025) — EUR-Lex
- Commission Implementing Decision (EU) 2025/138 (EN 18031 citation and restrictions) — EUR-Lex
- Commission Delegated Regulation (EU) 2026/339 (repeal of 2022/30) — EUR-Lex
- McCann FitzGerald: Cyber Resilience Act reporting obligations apply from 11 September 2026
認証EU CE・TÜV 
