EU サイバーレジリエンス法で製品の脆弱性報告義務の適用が開始

米法律事務所 Ropes & Gray LLP によると、欧州連合の「EUサイバーレジリエンス法（ CRA ）」に基づく悪用された脆弱性の報告義務が2026年9月11日から開始されています。同社は米国時間の9月14日、制度の概要と運用上の課題を解説しています。

運用の仕組みとしては、製品に含まれる脆弱性の悪用を把握した場合、24時間以内に初期警告を送信する必要があります。続けて72時間以内の詳細通知や対策完了後の最終報告を専門機関へ提出し、被害拡大を防ぐ体制を構築するという手順です。

今回の規制で課題と指摘されているのは、報告義務の範囲の曖昧さです。例えば、製品に使用している他社製の外部部品の脆弱性が悪用された際、自社製品の構造上は悪用が不可能であっても報告が必要なのかという点などです。明確な除外基準が存在しないため、企業が「自社製品では悪用できない」と独自に判断して報告を見送った場合、規制当局が報告義務を広く解釈し、その判断を問題視するリスクがあると指摘されています。