VicOne CRA Studio
EU CRA対応プラットフォーム

EU サイバーレジリエンス法（CRA）は、デジタル要素を備えた製品のサイバーセキュリティ要件を定めるEU規則（Regulation (EU) 2024/2847）です。製造者には、製品の設計・開発から出荷後のサポート期間まで、サイバーセキュリティリスクの評価、脆弱性への対処、SBOMの作成、技術文書の整備などが求められます。報告義務（第14条）は2026年9月11日から適用されており、2027年12月11日に全面適用されます。

CRAは、想定用途または合理的に予見可能な使用において、機器やネットワークと直接または間接にデータ接続するデジタル要素を備えた製品に原則として適用されます。主な義務は、こうした製品をEU市場に投入する製造者が負います。輸入者、販売者、一定のオープンソースソフトウェアのスチュワードにも、役割に応じた義務があります。

CRA Studioは、製品情報や既存文書をもとに、CRA要件への適合状況とサイバーセキュリティリスクを整理し、技術文書・証跡を整備するEU CRA対応プラットフォームです。既存文書の取り込み・分析、評価・認証情報のCRA条項へのマッピング、リスク分析、Gap分析、CRA対応文書の作成に利用できます。

CRA Studioは製品情報の整理、リスク分析、技術文書・証跡の整備に、xZETAはSBOMの生成・管理と、サポート期間を通じた脆弱性の継続的な把握・評価に利用できます。

SCAツールでソフトウェア構成や脆弱性を把握していても、それだけでCRAへの対応が完結するわけではありません。CRAでは、製品のサイバーセキュリティリスクの評価や技術文書の整備なども求められます。CRA Studioは、既存の評価・認証情報や文書を活用しながら、リスク分析、Gap分析、CRA対応文書の整備を進めるために利用できます。

CRA第14条では、悪用が確認された脆弱性または製品のセキュリティに重大な影響を及ぼすインシデントを認識した場合、24時間以内に早期警告、72時間以内に本通知を行う必要があります。最終報告は、脆弱性では是正措置または緩和措置が利用可能になってから14日以内、重大インシデントでは本通知から1か月以内です。報告はCRA Single Reporting Platformを通じて行い、調整役に指定されたCSIRTとENISAに通知されます。xZETAでは、悪用が確認された脆弱性について、影響を受ける製品・コンポーネントや脆弱性情報を確認し、報告に必要な情報を整理できます。

CRA Studioでは、IEC 62443、ISO/SAE 21434、ETSI EN 303 645、EN 18031-1などの既存の評価・認証情報をCRA条項にマッピングできます。すでに整備している文書や評価結果を確認しながら、不足している情報をGap分析で可視化し、技術文書の整備に活用できます。