• EU サイバーレジリエンス法（CRA）は、欧州連合内でデジタル製品の規制方法を再定義しようとしています。
  • 2024 年 12 月 12 日に公開されたRIPE NCCの RIPE コミュニティ向けプレゼンテーションで、プライバシーおよびコンプライアンスの専門家である August Bournique が、特にオープンソースソフトウェアに対する CRA の影響について詳しく説明しました。

何が起こったのか

CRAは、2024 年に正式に採択され、ネットワークコンポーネントを含むデジタル製品の安全性と透明性を確保するための EU の最新の取り組みです。2027 年までに、対象となるすべての製品は厳格なセキュリティ要件に準拠する必要があります。このスケジュールには複数の段階があり、2026 年には製造業者による違反と脆弱性の報告義務から始まります。

2027 年以降、製造業者は技術文書の基準を満たし、製品の認証を取得する必要があります。また、CRA は製品が EU 基準に準拠していることを示す、消費者が確認できるマークを導入します。これは加盟国間のセキュリティを調和させることを目的としていますが、特にオープンソースプロジェクトのような小規模な組織にとっては課題も伴います。

あわせて読みたい：欧州委員会、サステナブルファイナンス FAQ を公開
あわせて読みたい：Virkkunen と Ribera が 2024 年の EU 通信規制を主導へ

Bournique は、オープンソースプロジェクトは商業的側面がない限り、一般的に CRA の対象外であると強調しました。しかし、何が「商業的」オープンソースプロジェクトを構成するのかは依然として曖昧です。例えば、寄付を受け取ったり、保守サービスを提供したりすることは、必ずしもプロジェクトを商業的とみなすことにはなりません。一方、商用製品に組み込むために明示的に販売されているプロジェクトは、CRA の適用範囲に入る可能性があります。

また、この法律は自己評価と認証に大きく依存しており、Bournique によれば、執行のためのリソースが限られているため問題になる可能性があります。欧州サイバーセキュリティ機関である ENISA と各国のチームがコンプライアンスを監督することになっていますが、主要な規制機関の職員は約 100 人しかおらず、製造業者が要件を満たしていることを確認する負担は製造業者自身にかかる可能性があります。

なぜ重要なのか

CRA は消費者の信頼を強化し、サイバーセキュリティ基準を統一することを目指していますが、その広範な適用範囲は予期せぬ結果をもたらす可能性があります。従来の商業的枠組みの外で活動することが多いオープンソース開発者は、CRA が自身の仕事にどのように適用されるのか、あるいは適用されるのかどうかについて不確実性に直面しています。ほとんどの非商用プロジェクトはおそらく免除されると思われますが、商用製品で使用されるプロジェクトは依然としてコンプライアンスの障壁に直面する可能性があります。

Bournique は、免除があったとしても、小規模組織は法的な曖昧さとコンプライアンス遵守にかかる潜在的なコストに苦労する可能性があると述べました。商業的オープンソースプロジェクトにとって、CRA に対処するには法律顧問を雇うか、罰則のリスクを負うことを意味するかもしれません。ただし、小規模企業向けの罰金減額などの譲歩があり、Linux Foundation のような NGO を通じて業界固有の基準を確立する取り組みも進行中です。

CRA はまた、規制当局がデジタル製品のセキュリティをどのように捉えるかという変化を示しています。開発段階からサイバーセキュリティを優先することで、EU は侵害に単に反応するのではなく、防止することを望んでいます。しかし、Bournique が指摘したように、法の適用は時間とともに進化し、法解釈がその実際の適用を形作っていくでしょう。

RIPE NCC イベントでの Bournique のプレゼンテーションは、CRA がオープンソースコミュニティに与える影響を考慮すると、特にタイムリーなものでした。プライバシーとコンプライアンスの問題を管理してきた経験から、彼はこの規制が現在の慣行にどのように挑戦するかについて重要な洞察を提供しました。オープンソースエコシステムはネットワーク技術の開発において重要な役割を果たしているため、CRA はデジタルセキュリティへのアプローチを再考する機会であると同時に障壁でもあります。

2027 年の期限が近づくにつれ、組織や開発者はこれらの規制の進展を注意深く監視し、ますます規制が強化されるデジタル環境において自身の仕事が存続可能であることを確保する必要があります。