自社のIoT製品や組み込み機器を欧州へ出す計画が動き出し、「EUではセキュリティの規制があると聞くが、結局どの法律に・いつから・何を対応すればよいのか」を確かめたい——そんな場面で検索された方に向けた記事です。社内で「EU対応はどうなっている」と問われても、規制の全体像と期限を公式資料で押さえておかないと、判断の土台が作れません。
EU向けIoT製品にかかる規制の主役は、EUサイバーレジリエンス法（CRA）です。加えて、無線で通信する製品には無線機器指令（RED）の委任規則が別途かかり、欧州以外へ出す場合は英国や米国の制度も視野に入ります。日本にもJC-STARという制度があり、EUとの関係が気になるところです。これらが入り混じると「自社は何個の規制に対応するのか」が見えなくなります。
目次
一括ダウンロードする
EU向けIoT製品に関わるセキュリティ規制の全体像
はじめに、EUへIoT製品を出す際に関わる主なセキュリティ規制を一覧で押さえます。従うべき制度は、大きく次の5つに整理できます。
- EUサイバーレジリエンス法（CRA）：デジタル要素を含む製品全般にかかる、EUの横断的なサイバーセキュリティ規則。IoT製品の多くが対象になります。
- 無線機器指令（RED）の委任規則：インターネットに接続する無線機器に、CRAとは別にかかる必須要件。
- 英国PSTI：英国で販売する消費者向けのネットワーク接続製品にかかる制度。
- 米国 U.S. Cyber Trust Mark：米国の、ワイヤレス消費者向けIoT製品の任意ラベリング制度。
- 日本 JC-STAR：日本国内の、IoT製品向けの任意のラベリング制度。
このうちEU市場で主軸になるのがCRAで、無線製品にはRED委任規則が重ねてかかります。制度ごとに対象・要件・適用時期・違反時の帰結を横並びにすると、次のとおりです。法的な義務（守らないと市場に出せない・罰則がある）と、任意の制度（取得は任意で、未取得でも販売できる）が混在している点に注意してください。
| 制度（国・地域） | 主な対象製品 | 主な義務・要件 | 適用開始日 | 違反時の帰結 |
|---|---|---|---|---|
| CRA（EU） | デジタル要素を含む製品（IoT機器・ソフトウェア等） | 既知の脆弱性がない状態での出荷、安全なデフォルト設定、セキュリティ更新の提供、脆弱性・重大インシデントの報告、CEマーキング | 2024年12月10日発効／2026年9月11日報告義務／2027年12月11日全面適用 | 法的義務。適合しない製品はCEマーキングできず市場に出せない。制裁金は最大1,500万ユーロまたは全世界年間売上高の2.5% |
| RED委任規則（EU） | インターネットに接続する無線機器 | 通信・個人データの保護、不正な送金の防止に関する必須要件（整合規格 EN 18031-1/-2/-3:2024） | 2025年8月1日から適用中 | 法的義務。無線機器指令の必須要件で、適合がCEマーキングの前提 |
| 英国PSTI（英国） | 消費者向けのネットワーク接続製品 | 推測が容易なパスワードの禁止、脆弱性の報告手段の公表、更新提供期間の公表 | 2024年4月29日施行 | 法的義務。罰則あり（販売停止・回収命令等） |
| U.S. Cyber Trust Mark（米国） | ワイヤレスの消費者向けIoT製品 | NISTの基準にもとづく任意のラベリング | 2024年に制度化 | 任意制度。取得は任意で、未取得でも販売は可能 |
| JC-STAR（日本） | IoT製品 | ★1（共通の最低要件・自己宣言）〜★4の段階的な基準 | 2025年3月25日運用開始 | 任意制度。罰則はない |
以降では、EU市場で中心になるCRAから順に、各制度の中身を詳しく見ていきます。自社製品が無線接続を持つ場合は、CRAに加えてRED委任規則の対象になる点を見落とさないことが重要です。
CRA（EUサイバーレジリエンス法）とは
ここからは、EU市場の主軸となるCRA（EUサイバーレジリエンス法）を解説します。CRAは「デジタル要素を含む製品」のサイバーセキュリティに関する横断的な要件を定めたEUの規則で、正式には Regulation (EU) 2024/2847 として成立しています。
欧州議会は2024年3月12日に採択し、理事会での採択を経て、2024年11月20日にEU官報で公示、その20日後の2024年12月10日に発効しました。すでに草案段階ではなく、発効済みの法規制です。
CRAは「努力目標」ではなく、EU市場で製品を販売するための法的な要件です。要件を満たさない製品はCEマーキング（EUで製品を流通させるための適合マーク）を付けられず、市場に出せなくなります。以下では、自社製品が対象かどうか、どんな要件があるか、いつから・違反するとどうなるか、の順で確認します。
CRAの対象製品と対象外製品
まず確かめたいのは「自社製品はCRAの対象か」です。CRAの対象は、デバイスやネットワークへ直接・間接にデータ接続する「デジタル要素を含む製品」で、ソフトウェア単体からIoT機器・組み込み機器まで広く含みます。多くのIoT製品はこの定義に当てはまります。
一方、すでに別のEU法でカバーされている製品は対象外とされています。CRA第2条では、医療機器規則（Regulation (EU) 2017/745）・体外診断用医療機器規則（2017/746）・自動車の型式認可規則（2019/2144）の対象製品や、民間航空分野の規則（2018/1139）で認証された製品を適用除外としています。
また、CRAは製品を重要度で区分し、CEマーキングに至る適合性評価の手続きを分けています。多くの一般的な製品は製造者自身による自己適合宣言で足りますが、ルーターやパスワードマネージャー、ファイアウォールなどは「重要な製品」に区分され、より厳格な評価が求められます。
重要な製品のうち、整合規格に沿えば自己評価できるものもあれば、ファイアウォールのように第三者機関による評価が必須のものもあります。さらに重要度の高い「クリティカルな製品」には、EUのサイバーセキュリティ認証（EUCCなど）の取得が求められる場合があります。自社製品がどの区分に当たるかで対応の進め方が変わるため、区分の確認が出発点になります。
CRAが製造者に求める必須要件
CRAは、附属書I（必須のサイバーセキュリティ要件）や第13条・第14条で、製造者の義務を定めています。抽象的な「セキュリティ・バイ・デザイン」にとどまらず、出荷前・出荷後にわたる具体的な義務が並びます。主なものは次のとおりです。
- 既知の悪用可能な脆弱性がない状態で製品を出荷すること
- 安全なデフォルト設定で製品を提供し、セキュリティ更新を利用者に無償で提供すること
- サポート期間を通じて脆弱性を有効に取り扱うこと（ソフトウェア部品表＝SBOMの整備を含む）
- 実際に悪用された脆弱性や重大インシデントを、指定のCSIRT（コンピュータセキュリティインシデント対応チーム）およびENISA（EUサイバーセキュリティ機関）へ報告すること
- 適合した製品にCEマーキングを付けること（第30条）
報告義務（第14条）には期限があり、実際に悪用されている脆弱性の早期警告は認知から24時間以内、脆弱性の通知は72時間以内と定められています。また、セキュリティ更新などを提供するサポート期間は、原則5年以上とされています。ただし製品の想定寿命が5年未満ならその寿命期間とされており、一律に「5年間」と固定されているわけではありません（前文60項）。自社製品の寿命に照らした設定が必要です。
CRAの適用スケジュール（4つの日付）
CRAは発効と同時に全面適用されるわけではなく、義務ごとに適用開始日が分かれています。第71条（発効と適用）に、次の日付が定められています。
- 2024年12月10日：規則の発効（官報公示の20日後）
- 2026年6月11日：適合性評価機関の通知に関する規定（第35〜51条）の適用開始
- 2026年9月11日：脆弱性・重大インシデントの報告義務（第14条）の適用開始
- 2027年12月11日：大部分の規定の全面適用
条文では、適用開始日が次のように定められています。
This Regulation shall apply from 11 December 2027. However, Article 14 shall apply from 11 September 2026 and Chapter IV (Articles 35 to 51) shall apply from 11 June 2026.
出典：Regulation (EU) 2024/2847 Article 71｜EU官報（EUR-Lex）
報告義務が2026年9月に先行して始まる点に注意が必要です。製品の設計・技術文書の整備には時間がかかるため、全面適用の2027年12月を待たず、早めに準備を進めることが求められます。
この日付は、製品をEU市場へ投入する時期によって効き方が変わります。2027年12月11日以降に投入する製品は全規定の対象になり、それ以前にEU市場へ投入した製品は原則として全規定の対象外です。一方で、報告義務（第14条）だけは既存の製品にも及びます。自社の製品ラインを「全規定の対象」と「報告義務のみ」に切り分けておくと、準備の見通しが立てやすくなります（詳しくは後述のFAQを参照）。
CRA違反時の帰結と制裁金の上限額
要件を満たさない製品はCEマーキングを付けられず、EU市場で販売できません。加えて、CRA第64条は違反の内容に応じた制裁金を、次の3段階で定めています。金額は「○○ユーロ」と「全世界年間売上高の○%」のうち高い方が上限です。
- 附属書Iの必須要件や第13条・第14条の義務に違反した場合：1,500万ユーロ、または全世界年間売上高の2.5%のいずれか高い方（第64条2項）
- 第18〜23条などの義務に違反した場合：1,000万ユーロ、または全世界年間売上高の2%のいずれか高い方（第64条3項）
- 当局への情報提供で虚偽・不備・誤誘導があった場合：500万ユーロ、または全世界年間売上高の1%のいずれか高い方（第64条4項）
最も重い制裁金が、必須要件（附属書I）と報告義務などの中核的な義務に紐づいている点が特徴です。「多額の罰金が科される」と曖昧に捉えるのではなく、どの義務への違反がどの金額に対応するかを押さえておくと、社内での優先順位づけがしやすくなります。
無線機器はRED委任規則で別途義務化される
ここは、無線接続を持つ製品を扱う企業が見落としやすい論点です。CRAとは別に、インターネットに接続する無線機器には、無線機器指令（RED、Directive 2014/53/EU）の委任規則が適用されます。
委任規則は Commission Delegated Regulation (EU) 2022/30 として定められ、RED第3条3項の(d)（通信ネットワークの保護）・(e)（個人データやプライバシーの保護）・(f)（不正な送金の防止）に関する必須要件を発動するものです。Wi-FiやBluetoothなどで通信するIoT機器の多くが、この対象に入ります。
適用開始日には経緯があります。当初は2024年8月1日から適用される予定でしたが、改正委任規則（Commission Delegated Regulation (EU) 2023/2444）によって2025年8月1日へ延期されました。2026年11月時点ではすでに適用中です。2024年時点の古い情報を見て「まだ先」と誤解しないよう注意してください。
必須要件への適合を示す目安となるのが、整合規格（harmonised standards）です。RED委任規則の整合規格としては EN 18031-1:2024 / EN 18031-2:2024 / EN 18031-3:2024 が、Commission Implementing Decision (EU) 2025/138 によって官報に掲載されました。
これらの規格に沿って設計することで、必須要件への適合が推定されます（一部の条項には適合推定の対象外となる制限があります）。無線機器を扱う場合は、CRAの要件に加えて、このRED委任規則とEN 18031への対応を設計に織り込む必要があります。
RED委任規則は通信・個人データの保護・不正送金の防止という3つの観点に絞った要件で、より広範なCRAと重なる部分もあります。ただし両者は別の法令にもとづくため、無線機器ではそれぞれへの適合を別々に示す必要があります。
出典・参考資料（3件）
EU以外の主要国の制度（英国PSTI・米国Cyber Trust Mark）
ここからは、EU以外にも製品を出す場合に関わる、英国と米国の制度を簡潔に押さえます。どちらもEUのCRAとは別枠の制度です。
英国のPSTI（Product Security and Telecommunications Infrastructure）は、消費者向けのインターネット・ネットワーク接続製品にかかる法的な制度で、2024年4月29日に施行されました。
主な要件は、推測が容易なパスワード（初期値の共通パスワードなど）の禁止、セキュリティ問題の報告手段と対応方針の公表、そして最低限のセキュリティ更新提供期間の公表の3点です。
英国で販売する製品が対象になり、法人向けを想定した機器でも消費者が入手できる場合は対象となることがあります。英国では罰則が定められており、違反すると販売停止や回収命令などの対象になり得ます。
米国のU.S. Cyber Trust Markは、連邦通信委員会（FCC）が定めた、ワイヤレスの消費者向けIoT製品に対する任意のサイバーセキュリティ・ラベリング制度です。評価基準はNIST（米国国立標準技術研究所）のIoT基準をベースとしており、認証を取得した製品にはラベルを表示できます。
あくまで任意制度のため、取得は義務ではなく、未取得でも販売自体はできます。この点が、法的義務であるCRAやRED委任規則・英国PSTIとは性格が異なります。
出典・参考資料（2件）
日本のJC-STARとEU CRAの関係
日本国内にも、IoT製品向けの制度としてJC-STAR（セキュリティ要件適合評価及びラベリング制度）があります。EUへ製品を出す企業にとっては「JC-STARを取れば、EUのCRA対応が楽になるのか」が実務上の関心になります。まず制度の中身を押さえ、次にEUとの関係の最新動向を確認します。
JC-STARは、情報処理推進機構（IPA）が運用する任意のラベリング制度で、2025年3月25日に運用を開始しました。IoT製品に共通して求められる最低限の要件を定めた★1から、製品類型ごとの特徴に応じた★2・★3・★4まで、段階的な基準が設けられています。
運用開始時点の★1は、要件を満たすことを製品ベンダーが自ら宣言する「自己適合宣言」の仕組みです。法的義務でCEマーキングを伴うCRAとは、任意制度である点が大きく異なります。
EUとの関係については、2026年11月4日に経済産業省とIPAが、JC-STARとCRAの制度比較に向けた日EU協力が本格化すると発表しました。CRA・JC-STAR技術ワーキンググループ（TWG）を在欧日系ビジネス協議会（JBCE）が運営し、2026年10月26日にJBCEとStandICT.eu事務局が協力覚書（MoU）に署名しています。
両制度のセキュリティ要件の比較・分析を進め、類似点や相違点を特定していく段階です。
ここで注意したいのは、EUとの関係は現時点では「制度比較に向けた協力」であって、「相互承認」ではないという点です。JC-STARが相互承認を開始しているのは、別の国の制度です。
JC-STARは、2026年1月より英国PSTI法との相互承認、同年6月シンガポールCLS（サイバーセキュリティ・ラベリング・スキーム）との相互承認を開始しております。
出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）とEUサイバーレジリエンス法（CRA）の制度比較に向けた日EU協力が本格化します｜経済産業省
相互承認が始まっているのは英国PSTI法とシンガポールCLSで、EUのCRAとは比較・協力の段階です。現時点で「JC-STARを取得すればCRA対応が不要になる」「自動的に適合が認められる」とは言えません。将来的な重複回避に向けた動きとして注視しつつ、EU向けにはCRA・RED委任規則への対応を自社で進める前提で計画を立てるのが現実的です。
出典・参考資料（2件）
EU規制適合に向けて今から着手すべきこと
ここまでの規制を踏まえ、「では自社は何から始めればよいか」を整理します。報告義務が2026年9月に始まっていることを踏まえると、以下の順で着手するのが現実的です。
- 対象の切り分け：自社製品がCRAの「デジタル要素を含む製品」に当たるか、無線接続があってRED委任規則の対象にもなるかを確認します。医療機器や自動車など、別のEU法でカバーされる製品は対象外になる場合があります。
- 脆弱性診断・セキュリティ検証：既知の脆弱性がない状態での出荷が求められるため、実機・ファームウェア・通信を対象に脆弱性を洗い出します。自社に知見や体制がなければ、IoT機器・組み込み・ハードウェアの診断を提供する専門サービスへ委ねる選択肢があります。
- 技術文書・プロセスの整備：リスク評価や脆弱性の取扱い方針、サポート期間の設定、報告体制（24時間・72時間の期限に対応できる窓口）を整え、技術文書として残します。
CRAが出荷前の解消を求める「既知の悪用可能な脆弱性」とは、具体的にどんなものを指すのでしょうか。IoT機器では、初期パスワードの使い回しやファームウェアに残る既知の欠陥、通信の暗号化不備などが繰り返し狙われてきました。狙われやすい脆弱性の種類と、実際に起きた被害事例は、次の記事で整理しています。
このうち、自社だけで進めにくいのが脆弱性診断・セキュリティ検証です。IoT製品はソフトウェアだけでなく、ファームウェアやハードウェアの層まで攻撃対象になり得るため、実機を使った診断には専門的な知見が要ります。ここは外部の専門サービスに委ねることで、適合に向けた着手を具体化できます。
脆弱性診断サービスは、診断対象や手法、費用の考え方が会社ごとに異なります。IoT製品に限らず、脆弱性診断サービス全般の選び方や費用相場から比較検討したい場合は、次のまとめ記事が参考になります。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
MCB FinTechカタログでは、IoT製品の脆弱性診断・セキュリティ検証を手がけるサービスの資料を無料で請求できます。各社の診断対象や進め方を比べて、自社に合う依頼先の検討にお役立てください。
一括ダウンロードする
IoT製品の脆弱性診断・セキュリティ検証を依頼できるサービス
ここからは、EU規制適合に向けた着手——IoT機器・組み込み・ハードウェアの脆弱性診断やセキュリティ検証を委ねられるサービスを紹介します。いずれも実機やファームウェア、ハードウェアの層まで踏み込んだ診断を公式に掲げるサービスです。各社ともCRAやRED委任規則への「適合を保証する診断」を掲げているわけではなく、位置づけは「適合に向けた脆弱性診断・検証の委託先」です。
| サービス名 | Hi AUDIT | GMOサイバーセキュリティ byイエラエ | NRIセキュア | ラック | NTTセキュリティ・ジャパン | MBSD | SQAT |
|---|---|---|---|---|---|---|---|
| 提供会社 | 株式会社TECHFUND | GMOサイバーセキュリティ byイエラエ株式会社 | NRIセキュアテクノロジーズ株式会社 | 株式会社ラック | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | 三井物産セキュアディレクション株式会社 | 株式会社ブロードバンドセキュリティ |
| IoT・組込み機器の診断 | IoT機器・医療機器などハードウェアの診断に対応（TECHFUNDの説明） | IoTデバイスのハードウェア解析（基板・デバッグインタフェース）／ファームウェア解析／通信解析。ドローンなどにも対応 | IPベースで接続するデバイス（医療・車載・産業制御機器）の実機診断・ファジング検証 | IoTデバイスペネトレーションテスト（実機を使って脆弱性を洗い出し） | IoTプロダクト（ドローン・カメラ・制御システム等）。分解・内部解析を含む診断 | 組込み機器を対象に、ソフトウェア面・ハードウェア面の両面から完全手動で診断 | IoTデバイス本体／制御用スマホアプリ／通信（API）。ファームウェア・ハードウェア解析に対応 |
| 診断方式 | ハイブリッド（ツール自動診断＋専門家の手動診断） | ハイブリッド（手動診断が主体） | ハイブリッド（手動診断が主体） | ハイブリッド（手動診断が主体） | 専門家＋複数ツールの診断（IoTはペネトレ・通信解析） | 手動診断が主体（IoT診断は完全手動） | ハイブリッド（手動診断＋独自の自動診断） |
| JC-STAR対応 | ×公式の記載なし | ●JC-STAR取得支援サービスあり | ×公式の記載なし | ×公式の記載なし | △認定取得支援あり（制度名の記載なし） | ×公式の記載なし | ◎★1適合評価の受託・機器検証サービス登録 |
| 料金体系 | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
JC-STAR対応の記号：◎＝★1適合評価の受託・機器検証サービス登録あり／●＝取得支援サービスあり／△＝認定取得支援あり（制度名の明記なし）／×＝公式の記載なし。各社の公式情報にもとづく（2026年11月時点）。
1. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加え、TECHFUNDの説明によれば、IoT機器や医療機器といったハードウェアのセキュリティ診断にも対応するとしています。
欧州へ製品を出荷する製造業から、欧州独自の規制に対応できるかという相談を受けることがあるとされ、要求事項に沿って適合状況をチェックする取り組みを挙げています。EU規制への対応を見据えて診断の相談先を探す段階で、選択肢の一つになります。診断範囲や自社製品への適合可否は、直接確認するとよいでしょう。
この欧州規制をめぐる相談の実態について、TECHFUNDのセキュリティ監査事業部 事業責任者・生田氏は、インタビューで次のように述べています。
最近では、製造業で欧州に出荷する企業様から、欧州独自の規制に対応できるかというご相談もよくいただいています。要求事項を出したうえで、すべてに対応できているかをチェックできます。
2. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
ホワイトハッカーによる診断を手がけるGMOサイバーセキュリティ byイエラエ株式会社は、「IoTデバイスペネトレーションテスト」を独立メニューとして持ちます。ハードウェア解析やファームウェア抽出、通信までの評価に対応し、JC-STARの取得支援や製品サイバーセキュリティ認証の準拠支援も掲げています。実機診断と認証対応をまとめて相談したい企業に向いています。
3. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）
野村総合研究所グループでセキュリティを専業とするNRIセキュアテクノロジーズ株式会社は、医療機器・車載・産業用制御機器などIPベースで接続するデバイスの「デバイス・セキュリティ診断」を提供しています。実機の脆弱性診断・ファジング検証に加え、NSF for IoTやIEC 62443-2-1をふまえたコンサルティングも手がけ、制御機器や産業用IoTを欧州へ出す企業の相談先になります。
4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
長年セキュリティ診断やインシデント対応を手がけてきた株式会社ラックは、公式メニューに「IoTデバイスペネトレーションテスト」を備え、実機でIoT機器の脆弱性を洗い出します。Webアプリやネットワークの診断も幅広く持つため、IoT製品単体だけでなく関連するシステム全体を見てほしい場合にも相談しやすいのが特徴です。
5. セキュリティ診断（NTTセキュリティ・ジャパン株式会社）
ドローンやカメラ、制御システムといったIoT機器を分解・内部解析まで含めて検証するのが、NTTグループでセキュリティ専業のNTTセキュリティ・ジャパン株式会社の「IoTプロダクトセキュリティ」です。脅威分析・脆弱性診断・ペネトレーションテスト・通信解析を提供し、製品の企画・設計段階からの相談もしやすい体制です。
6. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション株式会社（MBSD）は、専用の「IoT診断」メニューで、組み込み機器をソフトウェア面・ハードウェア面の両面から手動中心に診断します。ファームウェアや通信、ハードウェアの調査まで踏み込むため、IoT・組み込み製品の脆弱性を深く洗い出したい場合の委託先になります。
7. SQAT（脆弱性診断サービス）（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティの「SQAT」シリーズには、IoT機器向けの「SQAT for IoT」があり、実機の動的解析・ファームウェア/バイナリ解析・ハードウェア解析に対応します。JC-STARの★1適合評価の受託や機器検証サービスの登録（登録番号018-0038-50）もあり、EU規制と国内のJC-STAR対応を一つの窓口で進めたい企業に向いています。
よくある質問（FAQ）
Q. CRA（EUサイバーレジリエンス法）とは何ですか？
CRA（EUサイバーレジリエンス法）とは、デジタル要素を含む製品のサイバーセキュリティ要件を定めたEUの横断的な規則（Regulation (EU) 2024/2847）です。ソフトウェア単体からIoT機器・組み込み機器まで広く対象とし、2024年12月10日に発効済みの法規制です。「努力目標」ではなく、要件を満たさない製品はCEマーキングを付けられず、EU市場で販売できなくなります。
Q. CRAはいつから対応が必要ですか？
CRAは義務ごとに適用日が分かれており、脆弱性・重大インシデントの報告義務が2026年9月11日、大部分の規定が2027年12月11日から適用されます。規則自体は2024年12月10日に発効済みで、報告義務が全面適用に先行して始まる点に注意が必要です。製品の設計や技術文書の整備には時間がかかるため、2027年12月の全面適用を待たず、早めに準備を進めることが求められます。
これらの要件は、全面適用日（2027年12月11日）以降にEU市場へ新たに投入する製品に適用されます。それ以前に出荷済みの製品は原則として対象外ですが、同日以降に大幅な改修を加えた場合は対象になります。ただし、脆弱性・重大インシデントの報告義務（第14条）は、既存の出荷済み製品にも適用されます。
Q. 自社の無線機器はCRAとRED委任規則のどちらの対象になりますか？
インターネットに接続する無線機器は、CRAとRED委任規則の両方の対象になります（どちらか一方ではありません）。CRAはデジタル要素を含む製品全般にかかり、これに加えてRED委任規則（Commission Delegated Regulation (EU) 2022/30）が無線機器に別途適用され、2025年8月1日からすでに適用中です。
Wi-FiやBluetoothなどで通信するIoT機器の多くがこれに当たるため、CRAだけを見てRED委任規則とEN 18031への対応を見落とさないことが重要です。
Q. CRA違反の制裁金はいくらですか？
CRA違反の制裁金は違反内容に応じて3段階で定められており、最も重い附属書Iの必須要件違反などで1,500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方が上限です（第64条2項）。このほか、第18〜23条などの義務違反で1,000万ユーロまたは売上2%、当局への虚偽・不備の情報提供で500万ユーロまたは売上1%の段階があります。
制裁金に加えて、適合しない製品はCEマーキングができず市場に出せなくなります。制裁金は各加盟国が定める当局（市場監視当局など）が、違反の性質や重大性・期間などを踏まえて科します。
Q. JC-STARを取得すればEUのCRA対応は不要になりますか？
JC-STARを取得しても、現時点でEUのCRA対応が不要になることはありません。JC-STARとCRAは相互承認の関係ではなく、2026年11月時点では両制度のセキュリティ要件を比較・分析する日EU協力の段階にあります。
JC-STARが相互承認を開始しているのは英国PSTI法（2026年1月〜）とシンガポールCLS（2026年6月〜）で、EUのCRAとは比較・協力の段階です。EU向けにはCRA・RED委任規則への対応を自社で進める前提で計画するのが現実的です。
Q. CRAで求められるセキュリティ更新のサポート期間は何年ですか？
CRAのサポート期間は原則5年以上ですが、製品の想定寿命が5年未満ならその寿命期間とされ、一律に「5年間」と固定されているわけではありません（前文60項）。この期間を通じて、製造者はセキュリティ更新の提供や脆弱性の有効な取り扱いを続ける義務があります。自社製品の想定寿命に照らしてサポート期間を設定することが必要です。
Q. CRAではSBOM（ソフトウェア部品表）の整備は必須ですか？
CRAでは、サポート期間を通じて脆弱性を有効に取り扱う義務の一環として、SBOM（ソフトウェア部品表）の整備が求められます。SBOMは製品に含まれるソフトウェア部品を一覧化したもので、既知の脆弱性がない状態での出荷や、出荷後の脆弱性対応の前提になります。附属書Iの必須要件に沿って、どの部品にどの脆弱性が影響するかを把握できる体制を整えておくことが実務上の着手点になります。
まとめ
本記事では、EU向けIoT製品に関わるセキュリティ規制を横並びで整理しました。EU市場の主軸はCRA（EUサイバーレジリエンス法）で、2024年12月に発効し、2026年9月から報告義務、2027年12月から全面適用という段階的なスケジュールが定められています。無線接続を持つ製品には、2025年8月から適用中のRED委任規則が別途かかります。
対応の出発点は、自社製品がどの規制の対象かを切り分けることです。そのうえで、既知の脆弱性がない状態での出荷に向けて実機の脆弱性診断・セキュリティ検証を進め、報告体制や技術文書を整えます。
日本のJC-STARはEUとの相互承認には至っておらず、EU向けにはCRA・RED委任規則への対応を自社で進める前提で計画するのが現実的です。まずは自社製品の診断から着手し、必要に応じて専門サービスの資料を取り寄せて比較してみてください。
一括ダウンロードする
IoT製品の脆弱性診断・セキュリティ検証サービスの料金・資料を一括チェック
MCB FinTechカタログでは、EU規制適合に向けたIoT機器・組み込み・ハードウェアの脆弱性診断・セキュリティ検証サービスの最新資料を無料で一括請求できます。診断対象・進め方・料金を並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
