CRA報告義務：期限・担当者・準備チェックリスト

どのような事案が対象か

対象は、サイバーレジリエンス法（CRA）の適用範囲に入る、デジタル要素を含む製品の製造者です。実際に悪用されている脆弱性と、製品のセキュリティに影響する重大なインシデントが報告対象になります。企業サイトを運営しているというだけで、その運営者が自動的に対象の製造者になるわけではありません。

まず製品、自社の役割、具体的な事案を確認します。スキャナーの検出結果だけでは、実際の悪用を確認したことにはなりません。社内で判断する際は、観察した内容、確認済みの事実、未解決の点を分けてください。 [1] [2]

期限は認識した時点から数える

24時間と72時間の期限は、同じ時点から始まります。タイムゾーンと判断の根拠を併せて記録し、新たな情報は個別の時刻を付けて同じ事案記録に追加します。 [1] [5]

報告担当者と代理者を決める

報告はENISAのSingle Reporting Platform（SRP）を通じて調整担当CSIRTに送られ、原則としてENISAにも提供されます。指定担当者は、多要素認証を有効にした個人のEU Loginアカウントを使用します。

社内で主担当者と代理者を決め、EU Loginとアクセス手順を準備します。ENISAは現在、SRPへの製造者登録と確認手続きは、実際に報告が必要になった時点で開始するよう勧めています。利用前に最新の公式手順を確認してください。 [3] [4]

事案の記録を一か所にまとめる

実務上の提案として、製品と影響を受けるバージョン、認識時刻、技術的証拠、影響、実施済みの対策、未解決の点を一つの記録にまとめます。次に行う各作業には担当者と期限を設定します。

これにより、代理者も確認済みの事実と調査中の事項を区別できます。実際に送信した報告と送信時刻も保存します。後の追記を追跡でき、初期の判断を当時から確定していた事実のように扱うことも防げます。

現在の注意点：画面上の期限表示を照合する

2026年10月3日更新のENISAのFAQによると、現在のSRPの72時間カウンターは、早期警告の提出から48時間後を期限として表示します。このため、認識から72時間が経過する前に、期限超過と表示される場合があります。

適用される期限は社内でも管理してください。画面表示は法定期限の判断に代わるものではありません。ENISAは計算方法の変更を予定しているため、実際の事案ではその時点の説明を確認する必要があります。 [4]

短い演習で不足を見つける

当局への報告は送信せず、架空の事案を使って社内の流れを確認します。誰が情報を受け取り、影響を評価し、判断し、通常の勤務時間外に対応するのか。代理者が記録を見つけられるかも確認してください。

最後に、アクセス権の不足、代理体制の不明確さ、古い製品一覧、判断記録の欠落など、具体的な改善点を短くまとめます。次の実際の事案が起きる前に解消しておきます。

CRA報告の準備チェックリスト

社内の準備に活用してください。未完了の項目ごとに担当者を決め、根拠を記録し、確認日を設定します。準備状況を記録する資料であり、ENISAへの通知書でも、法的義務を網羅した一覧でもありません。

架空の案件番号で引き継ぎを練習し、代理担当者が最新の社内記録を確認できる場所を明確にします。証拠はアクセス制限のある場所に保管し、表には参照先のみを記載してください。認証情報や未加工の個人データは記入しないでください。

表は左右にスクロールできます。

CRA準備チェックリストをダウンロード