【ITニュース解説】Europe Starts a 24-Hour Clock for Exploited Vulnerabilities

欧州連合（EU）は、デジタル技術を搭載した製品のサイバーセキュリティを大幅に強化するため、「Cyber Resilience Act（CRA）」という新しい法律を導入した。この法律は、EU市場で販売されるスマートフォン、スマート家電、IoTデバイス、ソフトウェアなど、あらゆる「デジタル要素を持つ製品」に適用されるサイバーセキュリティ要件を定めている。システムエンジニアを目指す皆さんにとって、これは製品開発や運用に携わる上で知っておくべき重要な変化だ。

特に注目すべきは、CRAの「Article 14」という条項である。これは、メーカーが自社製品の「積極的に悪用された脆弱性（ぜいじゃくせい）」や「重大なインシデント」を、決められた期限内に国の当局に報告する義務を課している。この報告義務は、CRAの他の部分よりも早く、2026年9月11日から既に適用が始まっている。残りの規制全体は2027年12月11日から適用される予定だ。

では、具体的にどのような場合に報告義務が発生するのだろうか。報告の「時計」が動き出すのは、主に二つの状況である。一つは「積極的に悪用されている脆弱性」が確認された場合だ。これは、製品にセキュリティ上の欠陥があり、悪意のある第三者が実際にそれを利用して攻撃を行っている、という確かな証拠があるケースを指す。単に脆弱性が発見されただけ（例えば、一般的な脆弱性情報であるCVEが公開されただけ）では、報告義務は発生しない。あくまで「悪用されている」という事実が重要だ。もう一つは、製品のセキュリティに悪影響を及ぼす、またはその可能性がある「重大なインシデント」が発生した場合である。これは、データの可用性（いつでも使えること）、真正性（本物であること）、完全性（改ざんされていないこと）、機密性（秘密が守られていること）が損なわれたり、マルウェアが導入・実行されたりするような事態を指す。

この報告には、非常に短い期限が設けられている。メーカーが脆弱性やインシデントを「認識した時点」から、時間との戦いが始まる。まず、認識後24時間以内に「初期警告」を提出する必要がある。これは、何が起こったのか、どの製品か、どの国で提供されているかといった基本的な情報を伝えるものだ。次に、72時間以内に「より詳細な通知」を行う。ここでは、脆弱性の一般的な性質、悪用の概要、初期評価、そしてメーカーが取った対策やユーザーが取るべき対策などが含まれる。そして、最後に「最終報告」を提出して、一件落着となる。脆弱性の場合は、その修正策が利用可能になってから14日以内、重大なインシデントの場合は、72時間通知から1ヶ月以内が期限だ。

ここで注意すべきは、これらの期限が「暦時間」で数えられることだ。つまり、週末や祝日も関係なく、24時間、72時間といった時間が刻々と進む。金曜日の夕方に問題に気づいたら、土曜日の夕方までに初期警告を出さなければならない、ということだ。これは、企業にとって非常に厳しい要求であり、迅速な対応体制が求められることを示している。

報告は、欧州ネットワーク・情報セキュリティ機関（ENISA）が運営する「CRA単一報告プラットフォーム」を通じて一元的に行われる。メーカーは、主要な事業所を持つEU加盟国のコンピューターセキュリティインシデント対応チーム（CSIRT）に対して報告し、同時にENISAにも情報が提供される仕組みだ。これにより、EU全体でサイバーセキュリティインシデントに関する情報共有と対応が効率化されることが期待されている。

この規制で特に重要なのは、その適用範囲が非常に広い点だ。通常、新しい法律は施行日以降に作られた製品に適用されることが多いが、CRAのArticle 14は異なる。2027年12月11日より前にEU市場に出された製品であっても、その後に大きな変更が加えられていなくても、この報告義務の対象となる。つまり、数年前に販売された古い製品でも、もし2026年9月11日以降にその製品の脆弱性が実際に悪用されたことがメーカーに認識された場合、報告義務が発生する可能性があるのだ。ただし、2026年9月11日より前にメーカーが既に知っていた脆弱性については、報告の義務はない。義務は「認識した時点」から始まるため、過去に遡って適用されるわけではない。

この報告義務を怠った場合、メーカーには厳しい罰則が待っている。2027年12月に規制全体が適用されると、最大1500万ユーロ、または全世界での年間売上高の2.5パーセントという高額な罰金が課される可能性がある。報告義務自体は罰則規定より15ヶ月早く始まるため、企業は罰則が始まる前から、この義務に真剣に取り組む必要がある。

このような短い期限に対応するためには、企業には組織的な準備が不可欠となる。まず、社内の誰が「積極的に悪用されている脆弱性」であると判断し、報告の時計をスタートさせる権限を持つのかを明確にする必要がある。また、対象となるすべての製品、特に数年前に販売されたものも含めて、その在庫リストを常に最新の状態に保つことも重要だ。このリストは、もし製品のコンポーネントがサードパーティ製である場合、その供給元への連絡先リストとしても機能する。報告がいつ受領され、いつ評価が完了したのかを正確に記録することも、「認識した時点」を証明するために求められる。そして、CSIRTからの追加の問い合わせにいつでも応じられるよう、インシデントに関する記録はしっかりと管理しておく必要がある。

さらに、この規制は、企業がサイバー攻撃を早期に検知する能力の重要性も浮き彫りにしている。報告義務は「認識した時点」から始まるため、攻撃を早く発見できればできるほど、対応のための時間を確保できる。インフラの監視体制を強化し、異常を即座に検知し、わかりやすいアラートを発するシステムを構築することが、24時間という短い期限に対応するための唯一の事前対策となる。

このように、EUのCyber Resilience Act、特にArticle 14は、デジタル製品を提供するメーカーに対し、サイバーセキュリティに関する新たな、そして非常に厳しい義務を課している。これは、ユーザーが安心してデジタル製品を利用できる環境を整備するための重要な一歩であり、システムエンジニアを目指す皆さんにとっても、今後の製品開発やセキュリティ対策を考える上で、この動向を深く理解しておくことが不可欠だと言えるだろう。