REGULATORY INSIGHT

EUサイバーレジリエンス法の報告義務——24時間・72時間・14日の期限を守れる記録とは

2026年10月22日

誰が、いつから、何を示す必要があるか

デジタル要素を有する製品をEU市場に出している製造者は、2026年9月11日から、能動的に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントを報告する義務を負っています（規則(EU)2024/2847 第14条、第71条2項）。規則の全面適用は2027年12月11日ですが、報告義務だけが先行して始まりました。

EU域外の製造者も対象です。第14条は域外製造者の報告先まで定めています。また、全面適用前にすでに上市している製品にも報告義務は及びます（第69条3項）。日本で製造し、輸入者や流通業者を通じてEUで販売されている機器やソフトウェアも、この期限の中にあります。

規則が定めていること

• 悪用されている脆弱性：認知から24時間以内に早期警告、72時間以内に脆弱性通知、是正措置または緩和措置が利用可能になってから14日以内に最終報告（第14条2項）
• 重大インシデント：24時間以内に早期警告（違法・悪意ある行為が疑われるかを含む）、72時間以内にインシデント通知、通知から1か月以内に最終報告（第14条4項）
• 報告経路：ENISAが運用する単一報告プラットフォームを通じ、調整役CSIRTとENISAに同時に届く。プラットフォームは2026年9月11日に稼働した
• 域外製造者の報告先：認定代理人、輸入者、流通業者の所在国、それもなければ利用者数が最も多い加盟国の順で決まる
• 利用者への通知：影響を受ける利用者に、緩和策や是正措置を知らせる。製造者が適時に知らせない場合、CSIRTが代わって通知できる
• 前提となる体制：構成要素と脆弱性の特定・文書化（SBOMを含む）、協調的脆弱性開示ポリシー、報告窓口（附属書I第II部）。技術文書は上市後10年またはサポート期間の長い方の期間保存する（第13条）
• 制裁金：第14条違反は最大1,500万ユーロまたは全世界年間売上高の2.5%の高い方（第64条2項）。零細・小企業による24時間早期警告の遅延は制裁金の対象外（同条10項）

欧州委員会のガイダンス（2026年7月公表）は、適用開始前から知られていた脆弱性を遡って報告する義務はなく、適用開始後に悪用が発生した、または悪用を知った場合に報告が必要になるという整理を示しています。

実務で詰まる点

1. 期限の起点は「悪用を認知した時点」です。社内のどの窓口に、いつ、どの情報が届いた時点を「認知」とするのかが決まっていないと、24時間以内だったことを後から示せません
2. 報告の要否は、どの製品のどの版に該当の構成要素が含まれているかで決まります。SBOMが出荷版ごとに保存されていないと、影響範囲の特定に時間を取られ、72時間の通知が推測に基づくものになります
3. 販売経路が輸入者・流通業者経由の場合、どの加盟国のCSIRTが調整役になるかを製造者自身が把握していないことがあります。判定の根拠を製品ごとに記録しておく必要があります
4. 早期警告、通知、最終報告で内容が段階的に更新されます。各時点で何を把握し、何を報告したかの版が残っていないと、報告内容の変遷を説明できません

運用でしのぐか、仕組みで担保するか

この種の要請には、二通りの向き合い方があります。ひとつは、手順書を整備し、担当者が確認と記録を行う運用でしのぐ方法。もうひとつは、求められたときに示せる記録が自動的に残る仕組みを組み込む方法です。

前者は着手が早い反面、対象となる手続や担当者が増えるほど破綻します。例外対応が積み重なるうちに記録の粒度が揃わなくなり、後から範囲を特定できなくなるためです。後者は設計の負担が先に来ますが、あとから確認できる状態が保たれます。

当社は、規制対応の適合性を人手の運用ではなく仕組みとして担保する技術を研究開発し、その成果を特許出願として保有しています。詳しくは技術領域をご覧ください。

施行と改正を追っています。更新はRSSで受け取れます。

← 解説の一覧へ