• EU サイバーレジリエンス法の報告義務が9月11日に始まる
  • 製造業者は最初の警報に24時間、より詳しい報告に72時間の期限が与えられる

事実

EU サイバーレジリエンス法の報告義務が9月11日に発効し、デジタル要素を含む製品の製造業者は、活発に悪用されている脆弱性や製品セキュリティに影響する重大なインシデントを報告することが求められる。報告対象となる事象を認知してから24時間以内に早期警報を提出しなければならない。

その72時間以内により詳しい通知が続く。最終期限は事象の種類によって異なる。活発に悪用されている脆弱性の場合、是正策または緩和策が利用可能になってから遅くとも14日以内に最終報告を提出する。重大なインシデントの場合、72時間通知から1か月以内に最終報告を提出し、インシデント、その影響、推定原因、講じたまたは講じる予定の対策を網羅しなければならない。

報告は ENISA の単一報告プラットフォームを通じて所管の各国 CSIRT に提出され、情報は通常、同時に ENISA にも提供される。この義務は製造業者に課されるものであり、製品を使用するすべての顧客に同じ報告義務を課すものではない。同法はまた、影響を受ける利用者への通知や、是正策・緩和策に関する情報の提供にも対応している。より広範な製品要件の大部分は2027年12月から適用される。

評価

脆弱性が活発に悪用されていることを製造業者が把握した時点で、技術者が十分に理解する前に問題を報告しなければならない場合がある。そのため最初の24時間警報は、影響を受けるすべてのバージョンが特定されたり、修正がテストされたりする前に出される可能性がある。より詳しい内容は、技術調査が継続する中で72時間後に続く。

実際には、報告と対応処置はしばしば同時に進むことになる。製造業者は、初期の仮定を確定した調査結果として示すことなく、把握していることを規制当局に伝える必要がある。一方、顧客は、自社が影響を受けているか、即時の対応が必要かを判断できるだけの情報を必要とする。

BTW の読者にとって重要なのは、その最初の警報がどれほど速く有用なガイダンスへ発展するかである。運用者には、影響を受けるバージョン、安全な緩和策、そして最終的には正式にサポートされた修正に関する明確な情報が必要だ。報告期限の遵守は重要だが、顧客は依然として、稼働中の機材をどう扱うべきかを知らなければならない。

注目すべき点

最初の警報の後、サプライヤーの注意喚起情報が確定した事実、暫定的な調査結果、利用可能な緩和策を明確に区別しているかを注視すること。バージョン別のガイダンス、72時間通知後の更新情報、そして正式にサポートされた修正への明確な道筋が、新しいタイムテーブルが単なる期日通りの規制報告ではなく、運用者の保守判断を実際に助けているかを示すことになる。