EUサイバーレジリエンス法（CRA）の第14条、脆弱性とインシデントの報告義務が2026年9月11日に発効しました。ENISAの報告プラットフォームも同日に稼働しています。CRAの残りの規定が適用されるのは2027年12月11日ですが、報告義務だけが先行して動き出した形です。
対象は「デジタル要素を持つ製品」の製造者
EU市場に出している製品が何らかのネットワーク接続機能を持つなら、原則として対象です。ハードウェアもソフトウェアも、業務用も消費者向けも含まれます。自社ブランドでIoT家電やスマート機器、Bluetooth接続の商品を作っているメーカーは、まず該当を疑うべきです。
報告は3段階
第14条の報告期限
- 0124時間以内：早期警告悪用されている脆弱性、または製品のセキュリティに影響する重大インシデントを認識してから24時間以内に、限定的な情報で第一報を出します。
- 0272時間以内：詳細報告より詳しい内容を報告します。
- 0314日以内または1か月以内：最終報告悪用された脆弱性については、修正・緩和措置が利用可能になってから14日以内。重大インシデントについては、72時間報告から1か月以内に完全な報告を提出します。
中国語圏の報道では24時間と72時間の2段階だけが紹介されている例が見られますが、第3段階の最終報告まで義務に含まれます。
実務で詰まりやすい点
報告は単一報告プラットフォーム（SRP）経由で1回行い、主たる拠点のCSIRT宛てに提出され、同時にENISAにも共有されます。注意が必要なのは時計が「認識した時点」から動くことです。機密性への配慮を申し出ることはできますが、それによって期限が止まるわけではありません。情報を開示しないという判断は受け取る側のCSIRTが行います。
もう一つ、第三者コンポーネントに脆弱性を見つけた場合、その製造者や保守主体へ通知する義務もあります。自社製品だけを見ていれば足りる設計ではありません。
なおSBOM（部品表）の正式な義務化は2027年12月からですが、24時間で「どの製品のどの部品が影響を受けるか」を判断するには、実質的にSBOMがないと間に合いません。義務化を待たずに整備を始めるのが現実的です。
参考：European Commission「Cyber Resilience Act – Reporting obligations」、Crowell & Moring