サイバーレジリエンス法

欧州市場向けに製品を開発されているお客様から、当社のコンポーネントを組み込んだソフトウェアにサイバーレジリエンス法がどう影響するのかというご質問をいただきます。このページでは、同規則が現在どの段階にあるのか、どの義務が当社に、どの義務がお客様に課されるのか、そしてお客様がご自身のデューデリジェンス文書を整えられるよう当社が何を提供するのかを説明します。

CRA の現在地

規則 (EU) 2024/2847 は 2024年12月10日に発効しましたが、その義務は段階的に適用されます。

• 2026年6月11日。 適合性評価機関の通知に関する規定が適用され、評価のための基盤がようやく存在し始めます。
• 2026年9月11日。 製造者は、実際に悪用されている脆弱性および重大なインシデントを ENISA と所管 CSIRT に報告する義務を負います。24時間以内に早期警告、72時間以内により詳細な届出、是正措置が用意でき次第、最終報告を行います。
• 2027年12月11日。 必須サイバーセキュリティ要件、脆弱性対応要件、技術文書、EU 適合宣言、CE マーキングが全面的に適用されます。

2027年12月までは、市場のいかなる製品にも CRA 適合宣言は付いていません。それを発行する枠組み自体がまだ整備の途上にあるからです。現時点で CRA 適合性評価を完了したと主張する供給者があれば、それはまだ存在しないものを語っていることになります。当社が今できること、そしてこのページの目的は、お客様ご自身の評価に必要な証拠をお渡しすることです。

eSeGeCe コンポーネントは適用対象か

はい。商業的に供給されるソフトウェアライブラリは、それ自体がデジタル要素を含む製品にあたるため、eSeGeCe コンポーネントは本規則の適用範囲に入り、当社がその製造者となります。これは、お客様が市場に出される製品についてお客様が負う義務とは別のものです。

製品の分類

eSeGeCe コンポーネントライブラリは、本規則の附属書 III にも附属書 IV にも掲載されていません。オペレーティングシステム、ハイパーバイザー、コンテナランタイム、ファイアウォール、侵入検知システム、VPN、アイデンティティ管理システム、パスワードマネージャー、ブートマネージャー、公開鍵基盤、ネットワーク管理システム、その他いずれの重要または重大クラスにも該当しません。

したがって既定のカテゴリーに属し、適合性は届出機関ではなく製造者がモジュール A の内部管理手続によって確立します。お客様の文書という観点では、当社のコンポーネントを組み込むこと自体によって、お客様の製品がより上位の適合性評価クラスに引き上げられることはない、ということを意味します。お客様の製品の分類は、その製品が何を行うかによって決まります。

責任の所在

EU 市場に製品を出されるお客様がその製品の製造者であり、その製品の CE マーキングと適合宣言はお客様に帰属します。当社とお客様の関係は、次の 2 つの条項が規律します。

• 第13条第5項。 第三者から調達したコンポーネントを組み込む際には、それが製品のサイバーセキュリティを損なわないよう相当の注意を払う必要があります。以下に挙げるものは、まさにその目的のために当社が提供する資料です。
• 第13条第6項。 組み込んだコンポーネントに脆弱性を見つけた場合、それを保守している者に報告する必要があります。当社のコードについては、その窓口を脆弱性開示ポリシーに記載しています。

デューデリジェンスのために当社が提供するもの

• 完全なソースコード。 すべてのライセンスに、ご利用のコンポーネントの Delphi および C++ Builder の完全なソースが含まれます。バイナリを信用してくださいとはお願いしません。出荷されるものすべてを、確認し、監査し、計測を挟み、再ビルドしていただけます。附属書 I に基づく評価において、これはコンポーネント供給者が提示しうる最も強力な証拠であり、商用コンポーネントベンダーの多くはこれを提供していません。
• ご請求に応じて提供する SBOM。 附属書 I 第 II 部第 1 項は、少なくとも最上位の依存関係を網羅した部品表を作成し技術文書に保持することを求めていますが、公開までは求めていません。当社はリリースごとに CycloneDX 形式でこれを維持し、ご請求に応じて提供しますので、お客様の資産台帳へそのまま取り込めます。セキュリティページからご請求ください。
• 協調的脆弱性開示ポリシー。 単一の窓口、受領確認と評価の目標期間、開示までの猶予期間を備えて公開しており、附属書 I 第 II 部第 5 項の要求を満たします。
• 文書化された変更履歴。 各リリースには、セキュリティに関わる変更を含め、何が変わったのかを記録した履歴ファイルが同梱されます。何がいつ修正されたのかについて、書面の記録が残ります。
• サポート期間。 メジャーバージョンに対するセキュリティ修正は、その公開日から少なくとも 5 年間提供され、第13条第8項の最低要件を満たします。

既定で安全

附属書 I 第 I 部は、製品が安全な既定設定で提供されること、サービス妨害から自らを守ること、攻撃面が最小化されていることを求めています。この取り組みはすでに製品に現れています。近年のリリースでは、WebSocket サーバーが受信する制御フレームにレート制限を設け、無制限に受け入れる代わりに同時接続数に上限を設け、HTTP/2 サーバーにリクエストボディの最大サイズが加わり、MCP サーバーを呼び出せるブラウザーのオリジンが制限されました。トランスポートのセキュリティは OpenSSL で、また Windows では配布すべき外部ライブラリを一切必要としない SChannel で利用できます。これらの既定値を厳しくしたのは、それが正しい既定値だからであって、期限がそれを求めたからではありません。

準備中の事項

上記の期限に向けて、当社は附属書 VII に定める技術文書、附属書 V の EU 適合宣言、当社に該当する範囲での CE マーキング、附属書 II の利用者向け情報および説明、そして 2026年9月に始まる第14条の報告義務に対応する社内プロセスの整備を進めています。完成したものから順にこのページで公開します。本規則の整合規格はまだ策定中であり、利用可能になり次第それに合わせます。

供給者アンケート

お客様のコンプライアンス部門に供給者評価シート、コンポーネントに関する質問票、SBOM の提出依頼などがございましたら、ご利用中の製品、エディション、バージョンを添えて当社のお問い合わせフォームからお送りください。お客様のビルドに即した具体的な回答を記入してお返しします。

ご注意

このページはお客様ご自身の評価を支援するために提供しています。当社の製品と実務についての情報であり、本規則に基づくお客様の義務に関する法的助言ではありません。