このブログのポイント
- FCCのCovered Listは米国市場への製品投入、EU CRAはライフサイクル全体にわたる法令対応、IEC 62443は産業用途での設計の妥当性の証明を対象としています。ロボットを市場に出すにあたって求められる内容は、対象市場と用途によって変わり、それぞれ個別に対応する必要があります。
- FCC規制はすでに発効しています。EU CRAの報告義務は2026年9月11日から適用されます。IEC 62443は、顧客の要求、契約上の要件、認証の取得方針のいずれに沿うかによって対応時期が変わります。
- 製品情報、脆弱性管理、追跡可能な証跡を共通化すれば、分散していた作業を削減できます。VicOne CRA Studioは、これらを支える業務を1つの基盤上でつなげます。ただし、それぞれへの適合は個別に評価する必要があります。
ロボットメーカーにとってサイバーセキュリティは、製品をどう設計するかにとどまらず、主要な市場に製品を出せるか、顧客が求める水準を満たせるかまでを左右するようになってきました。
米国では、連邦通信委員会（FCC）がこのほど、海外で生産された高度なロボット機器（FCCが定義する advanced robotic devices）をCovered List（安全保障上のリスクがあると判断された機器・サービスの一覧）に追加しました。対象となる機器は、条件付き承認を得ない限りFCCの機器認証を受けられません。欧州では、EU CRA（サイバーレジリエンス法）が製品のライフサイクル全体にサイバーセキュリティ要件を法的な義務として課しています。これらとは別に、産業用の自動化・制御システムの分野では、セキュリティを示すための枠組みとしてIEC 62443シリーズが広く参照されています。
図1. FCCの規制、EU CRA、IEC 62443のいずれが適用されるかは、製品の対象市場、対象範囲、運用環境によって決まる
この3つは、対応できていなければ製品を市場に出せない、あるいは顧客が調達時に求めるセキュリティの水準に届かないという点で共通しています。ただし、メーカーが示すべきものは同じではありません。FCCのCovered Listでは製品をどこで生産したか、EU CRAではライフサイクル全体でサイバーセキュリティをどう管理しているか、IEC 62443では産業用システムに求められる水準を満たす設計になっているかを、それぞれ個別に示す必要があります。
FCC、EU CRA、IEC 62443が求めるもの
FCCのCovered List、EU CRA、IEC 62443は、根拠となる権限、対象とする範囲、対応が求められる時期のいずれも異なります。ただしどれも、メーカーが自社製品とそのサイバーリスクを正確に把握していることを前提としています。
FCCのCovered Listと米国市場への製品投入
2026年7月28日、FCCはサプライチェーンとサイバーセキュリティのリスクを理由に、海外で生産された高度なロボット機器（advanced robotic devices）をCovered Listに追加しました。対象となる機器は条件付き承認を受けていない限り、FCCの機器認証を取得できません。
ここでいう「高度なロボット機器」はFCCが定義する用語で、地上を移動する機器が対象です。自律走行ロボット（AMR）、ヒューマノイド、四足歩行ロボットのように、移動能力とセンサー、ネットワーク接続、制御ソフトウェアを備えるものが該当します。一方で、産業用または医療用の固定型ロボット（多関節、パラレル／デルタ、直交／ガントリー、スカラ）は定義から明示的に除外されています。コネクテッドカー、鉄道車両、無人航空機、無人潜水機なども対象外です。
ロボットメーカーへの影響
従来のCovered Listは特定の企業を指定し、その企業の製品を対象としてきました。今回の追加は企業を指定せず、生産地という条件に当てはまる機器をすべて対象とします。自社が指定を受けていなくても、生産地によっては対象に入ります。メーカーには次の対応が必要になります。
- 自社のロボットがFCCの定める対象機器に該当するかを判断する
- 製品の生産地が対象機器の判定にどう影響するかを確認する
- 米国市場への製品投入に先立ち、条件付き承認の申請が必要かを見極める
実務上の難しさ
製品の開発、部品の調達、組み立て、テストはそれぞれ別の国で行われていることがあります。そのため、1つのロボットをどこで生産したものとして扱うのか、どのモデルが影響を受けるのかを一貫した基準で整理しづらくなります。
製品とサプライチェーンの情報を正確に把握しておけば、法規対応、開発、調達の各部門がFCCの機器認証を申請する前に対象に当たるかどうかを判断できます。
EU CRAとライフサイクル全体にわたる法令対応
EU CRAは、EU市場に投入されるデジタル要素を含むハードウェア製品とソフトウェア製品に対して、サイバーセキュリティ要件を定めています。
ロボットメーカーへの影響
EU CRAへの対応は、一度認証を取得すれば完了するものではありません。適用範囲に含まれるネットワークに接続するロボットについては、ライフサイクル全体を通じてサポートを継続する必要があります。メーカーには次の対応が求められます。
- 設計・開発の初期段階からサイバーセキュリティを組み込む
- ソフトウェア部品表（SBOM）を含む技術文書を整備し、維持する
- サポート期間中は脆弱性を監視し、対処する
- 悪用が確認された脆弱性と重大なセキュリティインシデントを認識してから、24時間以内に早期警告を届け出る
EU CRAの主な適用期限
- 2026年9月11日：悪用が確認された脆弱性と重大なインシデントに関する報告義務の適用が始まります。いずれもメーカーがそれを認識した時点が起算点で、認識から24時間以内に早期警告を届け出て、続けて認識から72時間以内に詳細な通知を行う必要があります。
- 2027年12月11日：適合性評価と技術文書の整備を含め、製品に対するサイバーセキュリティ要件が広く適用されます。
なお、この24時間以内の報告は、製品で見つかったすべての脆弱性が対象になるわけではありません。
実務上の難しさ
EU CRAへの対応は製品の発売で終わらず、ロボットが市場に出たあとも続きます。メーカーはサポート期間を通じて、出荷済みの製品、搭載しているソフトウェア部品、影響を受けるバージョン、利用可能な緩和策を把握しておく必要があります。
こうした情報を開発、セキュリティ、法規対応の各部門が別々のシステムで管理していると、脆弱性の評価と必要な文書の作成に工数が割かれ、報告と対応そのものに充てられる時間が圧迫されます。
IEC 62443とセキュリティ水準を満たす設計の証明
IEC 62443シリーズは、産業用の自動化・制御システムのセキュリティについて国際的に認められた枠組みを示しています。法規制ではありませんが、産業環境で稼働するロボットについては製品の設計が求められるセキュリティ水準を満たしていることを証跡によって示すうえで重要な要件になります。
ロボットメーカーへの影響
製品の種類と産業システムのなかで担う役割によって、メーカーが示すべき内容は変わります。示すことが求められるのは、次のような内容です。
- セキュリティを組み込んだ製品開発のライフサイクル
- リスクアセスメントと脅威モデリングの実施状況
- 認証、アクセス制御をはじめとする技術的な保護措置
- 文書として残したセキュリティ上の判断と、脆弱性への対応プロセス
実務上の難しさ
IEC 62443は、部品メーカーからシステムインテグレーター、資産所有者まで産業システムに関わる立場と階層を幅広く対象としています。メーカーは自社製品にどの部分が適用されるのか、顧客がどの証跡を求めているのかを見極める必要があります。
IEC 62443で求められる実務のうち、セキュリティを組み込んだ製品開発と脆弱性管理については、EU CRAへの対応にも活かせる部分があります。ただしIEC 62443に沿っていることがそのままEU CRAへの適合を意味するわけではありません。共通して使える証跡であっても、どの要件を満たすものなのかは枠組みごとに個別に対応づける必要があります。
| FCCのCovered List 対象：米国市場への製品投入 | EU CRA 対象：法令対応 | IEC 62443 対象：設計のセキュリティ水準の証明 | |
| 管理する対象 | 製品の生産地と機器認証の取得状況 | 脆弱性、パッチの適用状況、インシデントの報告記録 | 脅威モデル、アーキテクチャ上の設計判断、リスクアセスメント |
| 担当部門 | 法規対応、調達 | セキュリティ、法令対応 | 製品開発、設計 |
| 対応が必要な時期 | 市場投入前の機器認証 | ライフサイクル全体の監視、報告対象事象を認識してから24時間以内の早期警告 | 設計段階から製品の提供終了まで |
| 求められる成果物 | 生産地の記録と、必要な場合は条件付き承認 | SBOM、技術文書、インシデントの通知 | 脅威モデル、リスクアセスメント、設計文書 |
| 確認の方法 | FCCの機器認証 | 適合性評価、脆弱性の監視、インシデントの記録 | セキュリティ評価、または求められる場合は認証の取得 |
表1. FCCのCovered List、EU CRA、IEC 62443について、管理する対象、担当部門、対応が必要な時期、成果物、確認の方法を比較
FCCのCovered List、EU CRA、IEC 62443のそれぞれで、メーカーが直面する実務上の課題は異なります。ただし、その課題に対処するために用いる製品情報やセキュリティ上の業務、証跡には共通するものがあります。
求められる内容の違いと、共通するセキュリティの土台
FCCのCovered List、EU CRA、IEC 62443が求める証跡はそれぞれ異なりますが、その裏側にあるセキュリティ業務は多くが重なります。それぞれの要求に対して別々の台帳、ツール、文書の流れで対応していると同じ作業を繰り返すことになり、対応にかかるコストと手間が膨らみます。
- 製品と構成部品の把握：製品、構成部品、生産に関する記録を、部門ごとに別々に管理している場合があります。部門間で記録の内容に相違があると、対象市場へ製品を投入できるかの判断、影響を受ける製品の特定、証跡の準備がいずれも難しくなります。
- 製品と結びついていない脆弱性情報：一般に公開されている脆弱性情報だけでは、その脆弱性を含むコードが自社製品に存在するのか、実行される経路にあるのか、実際に悪用されているのかまでは分かりません。製品側の情報と突き合わせることで、対処が必要なリスクと直ちに対応する必要のないものを切り分けられます。
- 個別に管理された文書：製品の記録、リスクアセスメント、脆弱性の調査結果、修正の対応履歴はそれぞれ別に文書化されていることが多くあります。これらの証跡をつないでおけば作業の重複が減り、規制当局、評価機関、顧客に対する追跡可能性も確保できます。
- 部門ごとに分断された担当範囲：調達先の変更、設計の変更、ソフトウェアの変更は複数の部門に影響します。記録を共有し業務の流れを部門間でつないでおけば、調達、開発、セキュリティ、法令対応、法務の各部門が同じ情報をもとに動けます。
こうした対応を効率よく進めるには、部門をまたいで業務をつなぎ、同じ証跡を複数の要求に使える状態にしておく必要があります。ただし、一方の要求を満たしたことが他方を満たしたことにはならないため、対応はそれぞれ個別に進める必要があります。
複数のサイバーセキュリティ要件への一元的な対応
サプライチェーンの可視化、脆弱性スキャン、セキュリティ評価のように、既存のソリューションの多くは特定の領域に絞られています。VicOneの「CRA Studio」はこれらの機能を統合し、EU CRA対応業務の一部の自動化、SBOM管理、サプライチェーンのリスク管理を1つのプラットフォーム上で提供します。「CRA Studio」では製品情報の取り込み、セキュリティ評価、継続的な監視、法令対応文書の作成まで、4つのステップで対応を進められます。
ステップ1：製品情報の取り込み
ロボットメーカーは、ファームウェア、SBOM、設計文書に加え、IEC 62443、ISO/SAE 21434、EN 303 645、EN 18031-1に基づく既存の評価や認証の文書をアップロードできます。「CRA Studio」はこれらの情報を1つの製品記録にまとめ、該当する証跡をEU CRAの条文に対応づけるため、別々の業務のなかで同じ文書を作り直す必要がなくなります。
ステップ2：製品のセキュリティ評価
ファームウェアとSBOMの解析により、3つの観点を同時に確認できます。
- サプライチェーンの可視化：製品全体のソフトウェア部品と依存関係を特定します。
- サポート期間中の脆弱性管理：既知／ゼロデイ／未公表を含めた脆弱性を継続的に監視し、EU CRAが求めるサポート期間中の対応を支えます。
- 設計の妥当性評価の支援：脅威モデリング、攻撃経路の分析、リスクの優先順位付けを製品のシステム構成と結びつけます。
ステップ3：監視と対応
「CRA Studio」は出荷済みの製品を継続的に監視し、次の対応を支援します。
- 24時間以内の報告の支援：製品のセキュリティに影響する、悪用が確認された脆弱性と重大なインシデントの評価、優先順位付け、記録を支援し、EU CRAの早期警告の要件への対応を支えます。
- 緩和策の提示：製品のシステム構成と特定した攻撃経路をもとに、その製品に即した対処方法を示します。
- 複数製品にまたがる追跡：1つの脆弱性が製品ラインアップ内の複数のSKUに影響する場合、影響がどこまで及ぶかを示します。
ステップ4：法令対応文書のドラフト生成と証跡の整理
「CRA Studio」はリスクアセスメント、脅威モデル、SBOM、既存の認証、脆弱性の調査結果、修正の対応履歴を含む該当する証跡をEU CRAの条文に対応づけ、文書のドラフトを生成します。
レポートはワンステップで生成でき、規制当局、顧客、評価機関、社内の関係部門に向けた文書の準備に活用できます。調査結果のひとつひとつが関連する製品情報、セキュリティ上の判断、評価、修正の対応履歴と結びつくため、あらゆる段階にわたって追跡可能な証跡が残ります。
日本無線株式会社様（旧JRCモビリティ株式会社）：脆弱性検証の工数を70〜80％削減
同社は、欧州RED（無線機器指令）および整合規格EN 18031への対応に向けて、VicOneの自動車向けSBOM生成・脆弱性管理ツール「xZETA」を導入されました。SBOMの自動生成と脆弱性管理により、脆弱性抽出・評価にかかる工数を手作業と比較して70〜80％削減（試算）し、EU CRAへの対応に向けた基盤の整備にもつなげています。
個別の要件を超えた備え
市場への製品投入に関わる規則、サイバーセキュリティ規制、顧客が調達条件として求めるセキュリティ水準は地域ごと、業界ごとに今後も変わり続けます。製品の記録を正確に保ち、担当範囲を明確にし、セキュリティ上の判断を追跡できる形で残しているメーカーであれば、新しい市場、新しい規格、新しい顧客評価が加わるたびに業務を組み直す必要はありません。
長期的な備えとして必要なのは、現時点の要件を満たすことに加えて、適用対象かどうかの判断、リスクの評価、部門間の連携、実施内容の提示を繰り返し行える形に整えておくことです。
図2. 「CRA Studio」は製品セキュリティに関する共通の業務と証跡をつなぎながら、それぞれの要件への対応を個別に進められる形にします
xZETAの無償PoCキャンペーンを実施中です
VicOneでは、SBOM管理と脆弱性対応の仕組みづくりに取り組む企業様を対象に、自動車・IoT機器向けSBOM生成・脆弱性管理ツール「xZETA」の無償PoCを、2026年9月末までの期間限定で提供しています。貴社のファームウェアまたはソフトウェアを実際にスキャンし、SBOMの生成から脆弱性の検出、対応の優先順位付けまでの流れを1か月間ご確認いただけます。
FCCのCovered List、EU CRA、IEC 62443についてよくあるご質問
IEC 62443の評価を受けています。これでEU CRA（サイバーレジリエンス法）にも対応できていますか。
IEC 62443の評価だけでEU CRA（サイバーレジリエンス法）の要件をすべて満たすことはできません。ただし、セキュリティを組み込んだ製品開発、リスクアセスメント、実装しているセキュリティ機能については、IEC 62443の評価で作成した証跡をEU CRAへの対応にも活用できます。
IEC 62443-4-1は、セキュアな製品開発のライフサイクルを対象とする規格で、そのなかには欠陥管理、パッチ管理、製品の提供終了までの対応も含まれています。脆弱性への継続的な対応やセキュリティアップデートの提供については、EU CRAと共通する要求があります。一方で、悪用が確認された脆弱性と重大なセキュリティインシデントの当局への報告、CRAに基づく適合性評価、EU適合宣言とCEマーキング、CRAが求める技術文書といったCRA固有の義務は、IEC 62443だけではカバーできないため、別途対応が必要です。VicOneの「CRA Studio」は、既存のIEC 62443評価の証跡をEU CRAの条文に対応づけることで、対応済みの部分と不足している部分を切り分けることができます。
FCCが求めるサプライチェーンの把握と、EU CRA（サイバーレジリエンス法）が求める脆弱性の監視は、どう違いますか。
FCCの措置が対象とするのは、高度なロボット機器をどこで生産したか、機器認証を取得できるかという点で、判断の時点は市場への製品投入前です。EU CRA（サイバーレジリエンス法）が対象とするのは、製品のサイバーセキュリティをライフサイクル全体でどう管理しているかで、義務は発売後も続きます。求められるものが異なるため、一方の対応が他方を満たすことはありません。
ただし、どちらも製品の記録が出発点となります。製品記録を共通化しておけば、生産地の確認と脆弱性の影響を受けるモデルや部品の特定の双方に使うことができます。
開発部門の負荷を増やさずに、FCC、EU CRA（サイバーレジリエンス法）、IEC 62443に対応できますか。
設計上の判断、脅威モデリング、修正の実装は開発部門が担う必要があります。一方で、SBOMの生成、脆弱性の監視、リスクの優先順位付け、法令対応文書の作成は、VicOneの「CRA Studio」で自動化できます。製品情報を1つの記録にまとめ、そこに脆弱性情報と証跡を結びつけることで、要件ごとに同じ調査と文書作成を繰り返す必要がなくなります。要件ごとの個別評価は引き続き必要ですが、「CRA Studio」の活用により開発部門は本来の設計・実装業務により多くの時間を充てることができます。
対応の期限はいつですか。
FCC規制はすでに発効しています。EU CRA（サイバーレジリエンス法）は、脆弱性とインシデントの報告義務が2026年9月11日から適用され、2027年12月11日に全面適用を迎えます。IEC 62443には規制上の一律の期限はなく、顧客からの要求、契約上の要件、認証の取得方針によって対応時期が決まります。