概要

  • ENISA は、サイバー・レジリエンス法（CRA）報告プラットフォームが11月11日から稼働開始するが、当初版では自動提出向け API を提供しないことを示した。
  • 製造者は内部ワークフローの自動化は可能だが、該当報告は代表者がプラットフォームの画面から提出する必要がある。

事実

ENISA は、CRA 単一報告プラットフォームの初期バージョンが自動提出向け API を提供しないことを確認した。同ガイダンスでは、組織は内部の報告ワークフローを自動化できるが、通知は当初、プラットフォームのインターフェース経由で提出しなければならないと明示している。

プラットフォームは11月11日から稼働予定で、同日から CRA の強制報告要件が始まる。製造者は、実際に悪用されている脆弱性と、デジタル要素を有する製品のセキュリティに重大な影響を与える重大インシデントを報告する義務がある。初期警告は遅滞なく、事象把握後24時間以内に提出し、続いて72時間以内により詳細な通知を行う。

代表者はプラットフォームを使って報告を提出し、調整責任者として該当する国内 CSIRT を選択する。ENISA は、代表者と製造者の紐付け検証は報告手続きと並行して行われ、当初は提出を妨げないと述べる。

報告義務は、CRA の広範な製品要件の大半が2027年12月から適用される前に開始される。

評価

製造者は、インシデント検知と CRA 報告に必要な情報収集を自動化できるが、その自動化は最終提出の直前で止まる。立ち上げ時には、誰かが ENISA のプラットフォームを開き、通知を提出しなければならない。

そのため、企業のセキュリティシステムと報告チームの受け渡しが重要になる。対象イベントが認定されると、24時間の期限はすでに進行している。完全な調査や修正完了を待つと、最初の通知に必要な時間が不足する可能性がある。この初期通知は後段階よりも少ない情報量を受け付ける設計だからだ。

BTW 読者向けには、内部アラートが報告対象の CRA イベントに変わる時に誰が引き継ぐかを把握することが重要だ。担当者はプラットフォームへのアクセス権限を持ち、平常時間外に発生したインシデントでも期限内に提出できる体制である必要がある。自動化は報告書作成を準備できるが、立ち上げ時点では提出自体は自動化できない。

注視点

11月11日の立ち上げ時に、製造者がプラットフォームを使い始める際のアクセス、登録、提出の問題を確認すること。ENISA は後に API を追加する可能性があり、その場合は企業がより多くの工程を自動化できるようになる。現時点では、担当者がシステムへアクセスできるか、期限内に提出できるか、報告が受理されたことを確認できるかが実務上の主要チェックポイントとなる。

情報源

  1. https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions

  2. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

  3. https://www.ncsc.gov.ie/cra/