この記事でわかること
- EUサイバーレジリエンス法ってなに？
- どんな製品が対象なの？
- 会社は何をしなければいけないの？
- CEマークってなに？
- ルールを破るとどうなるの？
- 日本にも関係あるの？
ヨーロッパの新しいルールをやさしく解説します！
EUサイバーレジリエンス法ってなに？
正式名前
EU Cyber Resilience Act（CRA）
日本語：EUサイバーレジリエンス法
どこの法律？
ヨーロッパ（EU）の法律です。EU加盟国27カ国で使われます。
何のための法律？
インターネットにつながる製品（おもちゃ、家電、パソコンなど）が、「作りっぱなし・売りっぱなし」にならないようにするための法律です。
なぜ必要なの？
いま、私たちの周りには、インターネットにつながる製品がたくさんあります。
- スマートフォン
- スマート家電（冷蔵庫、エアコン、掃除機など）
- おもちゃ
- 防犯カメラ
- スマートウォッチ
でも、これらの製品の中には、セキュリティが弱くて、悪い人に攻撃されやすいものがあります。
→ それを防ぐために、厳しいルールを作りました！
①どんなものが「デジタル製品」なの？
この法律が守るのは…
インターネットにつながる
ほとんどすべての「デジタル製品」
3つのタイプがある
タイプ①
モノ
（ハードウェア）
- パソコン
- スマートフォン
- スマート家電（冷蔵庫、エアコン）
- おもちゃ
- ロボット
- 防犯カメラ
- スマートウォッチ
タイプ②
中身
（ソフトウェア）
- スマホのアプリ
- パソコンのソフト
- ゲーム
- ブラウザ（インターネットを見るソフト）
- プログラムの部品（コンポーネント）
タイプ③
つながる仕組み
- インターネット（Wi-Fi）
- Bluetooth（ブルートゥース）
- その他の無線通信
→ 他の機械とつながるものも対象
②特に関係がある「身近な製品」の例
法律では、危険度によって製品を3つのクラスに分けています。
製品の3つのクラス
🔴 クラスI（一番重要）
特にしっかり守る必要がある製品
例
- インターネットにつながるおもちゃ
- お話しできるぬいぐるみ
- カメラで撮れるドローン
- 位置がわかるおもちゃ
- おうちを守るもの
- 防犯カメラ
- スマートドアロック
- ベビーモニター
- 身につけるもの
- 健康チェックできるスマートウォッチ
- フィットネストラッカー
なぜ重要？
これらの製品は、カメラや位置情報など、個人のプライバシーに関わる情報を扱うので、特に厳しくチェックされます。
🟠 クラスII（重要）
しっかり守る必要がある製品
例
- Windows、Mac、LinuxなどのOS（オペレーティングシステム）
- ファイアウォール（インターネットの出入り口を守るもの）
- VPN（安全な通信をするためのもの）
- パスワード管理ソフト
🟢 デフォルトクラス（通常）
基本的なセキュリティが必要な製品
例
- 普通のスマート家電
- 一般的なアプリ
- スマートスピーカー
- その他のIoT製品
③会社が守る「5つのすごい約束」
製品を作る会社は、みんなが安心して使えるように、
次のようなことをしなければなりません。
約束①：「穴」がないか調べる
何をするの？
製品を売る前に、悪い人が入り込める「穴（脆弱性：ぜいじゃくせい）」がないか厳しくチェックし、記録に残します。
具体的には…
- セキュリティテストを何度もする
- 専門家に脆弱性診断をしてもらう
- テストの結果をすべて文書に残す
- 問題があったら、売る前に必ず直す
たとえば…
新しい車を売る前に、安全テストをするのと同じです。「この製品は安全です！」と証明してから売らなければなりません。
約束②：「中身のリスト（SBOM）」を作る
何をするの？
料理の材料リストのように、製品にどんなプログラムが使われているかをすべて書き出した「ソフトウェア部品表（SBOM）」を作ります。
SBOMってなに？
Software Bill of Materials（ソフトウェア部品表）の略です。
- どんなプログラムが入っているか
- それぞれのバージョンは何か
- どこから持ってきたプログラムか
→ これをすべてリストにします。
なぜ必要？
どこかのプログラムに問題が見つかったとき、「この製品は大丈夫かな？」とすぐに調べられます。
たとえば…
ハンバーガーに「どんな材料が入っているか」のリストがあれば、「卵アレルギーの人は食べられない」とすぐわかりますよね。それと同じです。
約束③：初期設定を安全にする
何をするの？
買ったばかりのときから、パスワードが「1234」のような簡単なものではなく、安全な設定になっているようにします。
具体的には…
- 初期パスワードは、製品ごとに違うものにする（みんな同じ「admin」はダメ）
- 最初からセキュリティ機能をONにしておく
- 使わない機能は最初からOFFにしておく
- 初回起動時にパスワード変更を促す
たとえば…
新しい家の鍵が「1234」だったら危ないですよね。最初から複雑な鍵にしておくのと同じです。
約束④：24時間以内に報告する
何をするの？
もし製品の「危ない穴」が悪い人に悪用されているのを見つけたら、24時間以内に専門の機関に報告しなければなりません。
報告先
- ENISA（EU サイバーセキュリティ機関）
- 各国のCSIRT（コンピューター緊急対応チーム）
なぜ24時間？
悪い人の攻撃は、あっという間に広がります。だから、すぐに報告して、他の人が被害に遭わないようにする必要があります。
たとえば…
食中毒が出たレストランは、すぐに保健所に報告しなければならないのと同じです。
約束⑤：5年間は直し続ける
何をするの？
製品を売ってから少なくとも5年間は、新しい攻撃から守るためのアップデート（修正プログラム）を出し続けなければなりません。
具体的には…
- 新しい「穴」が見つかったら、すぐに修正プログラムを作る
- ユーザーに「アップデートしてください」と知らせる
- できるだけ自動でアップデートされるようにする
- 5年間はサポートを続ける
なぜ5年間？
製品は長く使われます。「売ったら終わり」ではなく、売った後もずっと責任を持つことで、みんなが安心して使えます。
たとえば…
車を買ったら、メーカーは何年もアフターサービスをしてくれますよね。デジタル製品も同じです。
④「CEマーク」が安全のしるし
CEマークってなに？
CE
ルールを全部守った製品には、
「CEマーク」というマークをつけることができます。
CEマークの意味
「Conformité Européenne」（フランス語）の略で、
「ヨーロッパの基準に適合している」という意味です。
CEマークがないと…
ヨーロッパでは売ることができません！
CEマークは約束のしるし
会社が「この製品は、ヨーロッパの厳しいセキュリティルールをちゃんと守っています！」と約束したしるしです。
たとえば…
おもちゃに「STマーク」がついていたら、安全基準をクリアした証拠ですよね。CEマークも同じです。
⑤もしルールを破ったら？
とても厳しい罰があります
一番重い場合
約25億円
（1500万ユーロ）
または
その会社の世界中での売り上げの2.5％
→ どちらか高い方
どんなときに罰せられる？
- 嘘をついてCEマークをつけた
- 安全でない製品を売った
- 脆弱性を報告しなかった
- 5年間のサポートをしなかった
- SBOMを作らなかった
なぜこんなに厳しい？
セキュリティは、人の命や生活に関わる大切なことです。だから、会社には「しっかり守る」責任があります。
⑥日本にも関係あるの？
日本の会社も注意が必要！
こんな会社は関係あります
- ヨーロッパに製品を輸出している会社
- ヨーロッパで製品を販売している会社
- ヨーロッパ向けのアプリを作っている会社
→ この法律を守らないと、ヨーロッパで売れません！
日本の会社がやるべきこと
- 自分の製品が対象かどうか確認する
- 5つの約束を守れるか確認する
- 必要なら、専門家に相談する
- CEマークを取得する準備をする
いつから始まるの？
スケジュール
| いつ？ | 何が起きる？ |
|---|---|
| 2024年12月 | 法律が正式に決定 |
| 2027年12月 | 本格的にスタート！ |
つまり、準備期間は約3年間です。
その間に、会社は準備を進めなければなりません。
まとめ：EUサイバーレジリエンス法とは
この法律の目的
製品を作る会社に、
「売った後もしっかり見守る」
ことを義務にすることで、
みんなのプライバシーや安全を守る
ポイントまとめ
【対象製品】
- インターネットにつながるほとんどすべての製品
- おもちゃ、家電、パソコン、アプリなど幅広い
- 危険度によって3つのクラスに分類
【会社の5つの約束】
- 「穴」がないか調べる
- 「中身のリスト（SBOM）」を作る
- 初期設定を安全にする
- 24時間以内に報告する
- 5年間は直し続ける
【CEマーク】
- ルールを守った証拠のマーク
- ないとヨーロッパで売れない
【罰則】
- 最大約25億円または売上の2.5％
- とても厳しい罰がある
【日本への影響】
- ヨーロッパに製品を輸出する日本企業も対象
- 2027年12月までに準備が必要
この法律ができることで、
「作りっぱなし・売りっぱなし」がなくなります！
みんなが安心してデジタル製品を使える世界になります。😊
コメント