欧州サイバーレジリエンス法（CRA）対応が実務段階へ
製品サイバーセキュリティを「開発」と「運用」の両面から考える
 

コネクテッド製品やIoT機器、産業用機器の高度化に伴い、製品サイバーセキュリティは市場アクセスを左右する重要な要素となっています。
EUでは、デジタル要素を含む製品を対象とするサイバーレジリエンス法（Cyber Resilience Act：CRA）が段階的に適用されており、2026年9月11日からは、積極的に悪用された脆弱性や重大なセキュリティインシデントに関する報告義務が適用されています。

CRA対応では、製品そのもののセキュリティ機能だけでなく、設計・開発、脆弱性管理、市販後対応までを含む製品ライフサイクル全体での管理が重要です。製造業者には、セキュリティを開発初期から組み込む「セキュリティ・バイ・デザイン」の考え方と、上市後に発見される脆弱性へ継続的に対応できる体制の両方が求められます。

IEC 62443を活用したサイバーセキュリティ対応

産業用オートメーションおよび制御システム（IACS）分野では、IEC 62443シリーズが国際的なサイバーセキュリティ規格として広く活用されています。

特に、IEC 62443-4-1はセキュアな製品開発ライフサイクルを、IEC 62443-4-2はコンポーネントに求められる技術的セキュリティ要件を扱います。要求分析、脅威分析、セキュア設計、検証・妥当性確認、脆弱性管理、更新・保守といった一連の活動を体系化するうえで、有効なフレームワークとなります。

ビューローベリタスは、IEC 62443シリーズに基づく評価・認証を通じて、企業が製品開発プロセスへサイバーセキュリティを組み込み、グローバル市場で求められる要求事項へ対応できる体制づくりを支援しています。

CRA対応は「製品」と「プロセス」の両面から

CRAへの準備では、個別製品の技術的なギャップだけでなく、製造業者としての業務プロセスについても確認することが重要です。

主な検討項目として、以下が挙げられます。

• セキュア開発ライフサイクル（SSDLC）の整備
• 製品ごとのサイバーセキュリティリスク評価
• SBOM（Software Bill of Materials）の作成・管理
• 脆弱性の監視、評価、開示および是正プロセス
• セキュリティインシデントへの対応・報告体制
• サプライチェーンを含むセキュリティ管理
• 製品上市後の継続的な監視とアップデート体制

規制対応を一度限りの適合確認とせず、製品ライフサイクルを通じて継続的に運用できる仕組みを構築することが、今後の製品サイバーセキュリティにおいて重要な取り組みとされています。

原文：Bureau Veritas, Advantech and MediaTek Achieve IEC 62443-4-2 Certification for Arm-Based Platform in Response to EU Cyber Resilience Act（英語）