要約

  • 2026年9月11日から、製造者には製品の安全性に影響する悪用済み脆弱性と重大インシデントの報告義務がある。初報は24時間以内、正式通知は72時間以内だ。
  • Mandalari氏はRIPE 93で、ネットワーク機器、ソフトウェアの販売経路、サポート期間に関する現場の事例をCRAの規格策定に反映させようと呼びかけた。

サイバーレジリエンス法（CRA）は製造者に24時間の報告時計を動かした。ネットワークを運営するすべての企業に、同じ法的義務を課したわけではない。RIPE 93でAnna Maria Mandalari氏が示したのは、その境界を事故より先に整理する必要性だ。欧州市場に出す製品は何か。供給網のどの役割を担うのか。報告書を作成し、送信する担当者は誰か。

RIPE 93のIoT作業部会の公式文字起こしは、最後の講演を遠隔登壇したMandalari氏の発表として記録している。彼女はルーター、モデム、スイッチなどのネットワーク機器と、その運用に使うソフトウェアをCRAに結びつけた。RIPEコミュニティに求めたのは、機器が現場で何年使われるか、誰が更新を届けるか、製造者・販売者・顧客の責任がどこで切り替わるかという具体例を、規格づくりの議論へ持ち込むことだった。

日程を見れば、これは先送りできない。CRAの主要規定は2027年12月11日から適用される一方、第14条の報告義務は2026年9月11日に始まった。製造者が、悪用されている脆弱性または製品の安全性に影響する重大インシデントを把握した場合、24時間以内に初報、72時間以内に正式通知を出す。脆弱性への是正措置が利用可能になった場合、最終報告はその14日後まで。重大インシデントは72時間通知から1か月以内だ。報告はCRA単一報告プラットフォームを通じて行う。

義務を負うのは製造者であり、ルーターを購入しただけの運用者ではない。欧州委員会が7月に公表した実施ガイダンスは、対象製品や実質的変更を扱っている。同委員会の説明では、製品を開発・製造する、または製造させ、自社名や商標でEU市場に出す主体が製造者に当たる。未改変の機器を買っても、それだけで運用者が製造者になるわけではない。自社ブランドで販売したり、製品を実質的に変更したりすれば判断は変わり得る。製品と流通形態を個別に見る必要がある。

法令を運用へつなぐのが規格だ。ETSIは8月13日、CRAを支援する17件の分野別最終草案が公開照会中だと発表した。これらは整合規格を目指す草案であり、確定済みの規則ではない。分野によって承認手続きは9月半ばから11月半ばまで続く予定だった。Mandalari氏はサポート期間、ネットワーク機器、ソフトウェア流通、更新処理の実例をRIPEから提出するよう促した。

「更新を提供する」という販売者の約束だけでは、運用は回らない。セキュリティ更新をどう試験し、監査し、展開し、サービスへの影響を測るかまで見えていなければならない。CRAは製造者にサポート期間の設定と明示を求めるが、ネットワーク機器の実稼働期間はその期間を超えることがある。予定していた更改より先にサポートが切れれば、調達判断が緊急移行へ変わる。

Mandalari氏は研究、ネットワーク運用、規格策定をつなぐ位置にいる。UCLは同氏を通信・接続システム研究所の副所長として掲載し、ETSIはCYBER EUSR作業部会の幹事、RIPEのIoT作業部会の議長として紹介している。彼女がコミュニティに投げた問いは、ネットワーク運用そのものだ。次の更新を誰が担い、製品に問題が起きたとき誰が最初の報告を出すのか。

欧州委員会は実施ガイダンスを公表し、報告プラットフォームも稼働している。残る作業は、製品の識別、供給者の役割、サポート期間、インシデントの決裁者を、脆弱性発生後の24時間に探し始めなくて済む形につなぐことだ。

出典