Aimed at manufacturers, software developers, importers, distributors, and resellers, the Cyber Resilience Act sets out to ensure that products with digital components are secure throughout their lifecycle.
について Cyber Resilience Act was signed into law on October 10, 2024, and entered into force on December 10, 2024. Most provisions will become applicable 36 months later, while reporting requirements will take effect 21 months after the entry into force.
企業と消費者の双方にとってメリットがある
この規制は、EU域内におけるIoTデバイスのセキュリティに対する調和のとれたアプローチを確保し、製造業者が要件に容易に準拠できるようにするとともに、規制の重複を回避します。
サイバー攻撃のリスクが大幅に低下し、企業や消費者は潜在的なデータ漏洩、経済的損失、風評被害から守られます。
サイバーセキュリティ機能を導入することで、数百万ドルに上ることもあるデータ漏洩の対応にかかる多大なコストを回避できます。
CRAによるセキュリティの強化は、顧客の信頼を高め、デジタル要素を含む商品への需要を促進するでしょう。
この需要の増加は、メーカー、輸入業者、流通業者、再販業者にとって、顧客数の増加と利益の拡大をもたらすでしょう。
この規制により、機器に関する明確な情報へのアクセスが容易になり、透明性が向上します。
IoT デバイスで収集されたデータの安全性を確保し、潜在的な侵害から保護することで、データやプライバシーといった基本的権利の保護を強化します。
サイバーレジリエンス法は、欧州市場にデジタル製品を供給する製造業者、ソフトウェア開発者、流通業者、輸入業者、再販業者などの経済事業者に適用されます。
ただし、重要な例外もいくつかあります。
⚠️ According to Article 64(10)(b), even if the free and open-source software falls under the purview of the CRA (because of commercial activities) fines for non compliance DO NOT apply to them.
サイバーレジリエンス法は、欧州市場にデジタル製品を供給する製造業者、輸入業者、販売業者、および第三者に、特定の要件と義務を課しています。
まず、製品の設計・開発段階でサイバーセキュリティ機能を考慮する義務があります。これは、製品開発プロセスにサイバーセキュリティへの配慮を組み込む必要があることを意味します。
特に製造業者は、製品がCRAに規定されたセキュリティ要件を満たしていることを保証しなければなりません。これには、設計およびデフォルトによるセキュリティ、リスク管理、インシデント管理、個人データの保護に関する規定が含まれます（これはGDPRと密接に関連しています）。
製品はアップデート可能であり、出現する可能性のある脆弱性に対処するためのパッチが適用可能でなければなりません。また、製品のサイバーセキュリティ機能に関する情報は、明確かつ包括的な方法でユーザーに提供されなければなりません。
If a manufacturer becomes aware of a cybersecurity risk, they must take immediate action to address it, including notifying users and the CSIRTs. They must also cooperate with national authorities in investigating and resolving cybersecurity incidents related to their products.
サイバーレジリエンス法を遵守しなかった場合、罰金1500万ユーロまたは年間売上高の2.5％（いずれか高い方）が科されるなど、厳しい罰則や制裁が科される可能性があります。
⚠️ A 36-month transition period follows the entry into force of Cyber Resilience Act, however, reporting obligations concerning actively exploited vulnerabilities and severe incidents impacting the security of products with digital elements will apply from 21 months after the entry into force of the Act.
