EU CRA（サイバーレジリエンス法）は、デジタル要素を含む製品にサイバーセキュリティ要件を義務として課す規則で、コネクテッド機器やAIを搭載した製品も対象になります。SBOMの整備や脆弱性管理など、メーカーが押さえておくべき点を解説します。
このブログのポイント：
サイバーセキュリティは、製品そのものが負う責任になります。EU CRA（サイバーレジリエンス法）は、設計の段階からEU市場に供給している全期間にわたってセキュリティ対策を製品に組み込み、その内容を文書として整備し、維持し続けることをメーカーに求めています。
準備に充てられる期間は、多くのメーカーが見込んでいるほど長くありません。報告義務は2026年9月に適用が始まり、全面適用は2027年12月に控えています。
対応の成否は、自社製品の中身をどこまで把握できているかで決まります。どの製品にどの構成要素が使われているか、どこに脆弱性があるか、サプライヤーから持ち込まれるリスクは何か、誰がいつ報告するか、適合をどう記録に残すか。これらを個別の作業として抱えるのではなく、一連の業務としてつないでおく必要があります。
2025年9月、Unitree製の四足歩行ロボットとヒューマノイドロボットの複数機種に影響する脆弱性が研究者によって公表されました。UniPwnと名付けられたこの実証コードは、機体をWi-Fiにつなぐときに使うBluetooth Low Energy（BLE）経由の初期設定機能を悪用するもので、成功すれば機体のroot権限を奪えるとされています。さらに、乗っ取られた機体がBLEの届く範囲にある別のUnitree製ロボットを次々と侵害していく、ワームのような広がり方も可能だと報告されています。
悪用されたのは特別な機能ではなく、どの機体にも標準で備わっている初期設定の仕組みでした。こうした欠陥を抱えている製品が自ら動き、周囲を認識し、データを集め、人や設備のそばで作業する機器である場合、被害はシステムの侵害だけでは終わらず周囲の人や物にまで影響が及ぶおそれがあります。
コネクテッド機器やAIを搭載した製品を手がけるメーカーにとって、EU CRA（サイバーレジリエンス法）が重要になるのはこのためです。CRAは適合確認の項目を一つ増やすだけの規制ではなく、サイバーセキュリティを製品側の責任として負い続けることを求める枠組みです。
EU CRAの概要と対象範囲
CRAは、EU市場に流通するデジタル要素を含む製品に対してサイバーセキュリティ要件を義務として課す規則です。対象はハードウェアとソフトウェアの広い範囲に及び、AIロボティクス、IoT機器、産業機器、EV充電器、農業機械、公道外で使用される機械などが含まれます。
CRAは製品ライフサイクル全体を対象としているため、メーカーには設計の段階からサイバーセキュリティに取り組み、製品を市場に供給している間は対策を維持し、リリース後も文書の整備、脆弱性管理、インシデント報告を継続することが求められます。
CRAのスケジュール
2024年12月10日：CRA発効
2026年9月11日：報告義務の適用開始。実際に悪用されている脆弱性や重大なセキュリティインシデントを、CRA単一報告プラットフォーム（CRA Single Reporting Platform）を通じて各国の所管当局および欧州連合サイバーセキュリティ機関（ENISA）へ通知することが義務づけられます
2027年12月11日：全面適用。SBOMの文書化、継続的な脆弱性管理、セキュリティアップデートの提供、ライフサイクル全体を通じた記録の保持が対象になります
EUの規制対応にこれから取り組むメーカーにとって、この日程は決して余裕のあるものではありません。報告の手順は2026年9月より前に動かせる状態にしておく必要があり、その前提となる製品構成の把握、脆弱性の監視、影響を受ける製品の特定、記録の管理は、さらに早い時期から整えておくことになります。
機器の動作に関わるリスクとCRA対応の難しさ
サイバーセキュリティに関する規制の多くは、データ保護を念頭に設計されています。CRAはその一歩先を前提としており、ソフトウェアの脆弱性が情報の流出を招くだけでなく、機器の動作そのものを左右する状況を想定しています。
コネクテッド機器を手がけるメーカーにとって、この前提の違いは脆弱性の意味を大きく変えます。ネットワークにつながるEV充電器や産業用コントローラー、AIを搭載したロボットシステムに脆弱性が残っていれば、影響はデータの漏えいにとどまりません。稼働が止まるリスク、人の安全に関わる判断、そしてEU市場に製品を出し続けられるかどうかという問題にまで広がります。
AIモデルが機器の動作を判断するようになると、守るべき対象はネットワークの境界だけではなくなります。攻撃者がモデルの判断を狂わせれば通信経路に異常が現れないまま機器が誤った動作をとることになり、攻撃対象領域（アタックサーフェス）は機器の判断のしくみそのものにまで広がります。CRA自体はAI固有のリスクを個別に定めた規制ではありませんが、継続的な脆弱性の追跡、アップデートの提供、インシデント報告というライフサイクル全体にわたる義務はこうしたリスクを見つけて手を打つための土台になります。
コネクテッド機器でCRA対応が難しくなる要素は3つあります。
ソフトウェアサプライチェーンの深さ：コネクテッド製品はオープンソースのコンポーネント、サプライヤーから供給されるファームウェア、他社提供のサービスに支えられていることが多く、メーカーが直接管理できない範囲からも脆弱性が入り込む可能性があります。
出荷後に生じる脆弱性：従来の製品と異なり、コネクテッド機器は出荷後も新たな脆弱性を抱えます。ある時点で評価を済ませる方式では対応しきれないため、継続的な監視が欠かせません。
稼働を止められないという事情：セキュリティアップデートは速やかに配布したい一方で、そのアップデートが新たな不具合を持ち込まないことも確認しなければなりません。メーカーはこの両立に迫られます。
CRA対応に向けてメーカーが整えるべきこと
CRAへの備えを進めるには、個別に切り離されたまま進んでいる適合対応を、製品のサイバーセキュリティを継続して維持する一連の業務として組み立て直す必要があります。出発点になるのは次の取り組みです。
SBOMの作成と維持：SBOMはCRA対応の土台になります。オープンソースのライブラリ、他社提供のモジュール、ファームウェアが依存しているソフトウェアまで含めて各製品に何が組み込まれているかを把握していなければ、新たな脆弱性が公表されたときに影響を受ける製品を特定できません。
サプライチェーン全体での依存関係の把握：サプライヤーから供給されるコンポーネント、オープンソースのパッケージ、外部と接続するサービスは、いずれも製品に脆弱性を持ち込む経路になります。
製品ごとの実際のリスクに基づく優先順位付け：公表された脆弱性が自社の製品構成で実際に悪用できるものか、どの製品が影響を受けるか、直ちに修正すべきものか計画的なアップデートで足りるものかをメーカー自身が見極めます。
報告手順の整備：担当チームには、脅威の検知、影響を受ける製品の特定、対処方法の検討、公表の準備を一つの流れとしてつなぐ手順が求められます。
セキュリティアップデートとサポート方針の策定：アップデートの提供方法、サポート期間、修正の進め方、顧客への周知の計画をあらかじめ定めておきます。いずれも脆弱性が見つかってから後付けするものではなく、製品の発売時点で整っている状態が前提です。
監査を受けられる状態での記録の保持：適合を示すには、サイバーセキュリティを継続して組み込み、維持してきたことを裏づける文書が欠かせません。
実務としてCRAを回す難しさ
何をすべきかを把握することは、最初の一歩にすぎません。難しいのは、複数の製品、サプライヤー、部門、システムをまたいでCRA対応を日々の業務として回せる形にすることです。
図1. CRA対応は、要件を把握するだけでは足りず、メーカーには製品ライフサイクル全体でサイバーセキュリティを維持し続けるための業務手順、製品の把握、記録が求められます
CRAへの備えは、セキュア・バイ・デザイン、サプライチェーンのセキュリティ、リスク管理、インシデント報告、継続的な監視という相互に結びついた領域にまたがります。いずれも、自社製品の構成を正確に把握していること、最新の脆弱性情報、そして開発・コンプライアンス・調達・セキュリティの各部門が連携して動く手順のうえに成り立ちます。多くのOEMが行き詰まるのはこの段階です。表計算ソフトでの管理、互いに連携しないツール、一度きりの文書作成では、CRA対応は成立しません。
冒頭で取り上げたUniPwnのような、新たな攻撃経路は今後も見つかるでしょう。影響を受ける製品を特定し、リスクに優先順位を付け、アップデートを準備し、記録を残す。そして脆弱性やインシデントが判明したときには速やかに対処する。この一連の作業を、同じ手順で繰り返し実行できる体制が必要です。
備えから、日々の運用としてのCRA対応へ
CRAによって、サイバーセキュリティは製品そのものが負う責任になりました。要件を知っているだけでは対応になりません。製品の構成、脆弱性、サプライヤーから持ち込まれるリスク、インシデント発生時の動き方を継続して把握し、製品ライフサイクル全体でサイバーセキュリティを維持し続けていることを示す記録も残していく必要があります。
VicOneの「CRA Studio」は、この実務が追いついていない部分に対応するために開発されたソリューションです。CRA対応の自動化、SBOM管理、脆弱性インテリジェンス、脅威インテリジェンス、サプライチェーンのリスク管理を一つのプラットフォームで行える形にし、個別に分断された適合作業からサイバーセキュリティを継続して維持する業務へと移行できるよう支援します。
図2. 「CRA Studio」では、CRA対応に必要な作業を一つのプラットフォーム上でまとめて行えます
CRA Studioは、実務において次の役割を担います。
出荷時点だけでなく、製品ラインアップ全体でSBOMを常に最新の状態に保ちます
公表された脆弱性と影響を受ける製品を自動で突き合わせ、対処方針を決めるまでの時間を短縮します
監査に対応できる適合の記録が、通常の業務のなかで自動的に残ります
2026年9月からCRA単一報告プラットフォームで求められる報告の手順に対応します
フィジカルAIやネットワークにつながる機器の普及により、ソフトウェアが下した判断がそのまま機器の動作として現れるようになっています。そのためメーカーには、法令に対応するだけでなく、サイバー攻撃や障害が発生しても製品の安全性と機能を維持し、速やかに復旧できる体制が求められます。こうした取り組みは、製品への信頼と安全性を確保し、市場で販売を続けるうえで欠かせません。
「CRA Studio」を活用したCRA対応の進め方については、VicOneまでお問い合わせください。
自律型ロボットを取り巻くサイバーセキュリティリスクと防御策について詳しくお知りになりたい方は、VicOne LAB R7のホワイトペーパー『Securing the Rise of AI Robots: Cyber Risks, Real-World Threats, and Defense Strategies』をご覧ください。