EUのサイバーレジリエンス法（CRA）で、製品にデジタル要素を含むメーカーは、悪用が確認された脆弱性を発見してから24時間以内にENISAへ第一報を出す義務を負い始めました。この期限を「必要な緊張感」と評価する声がある一方、対象範囲がIoT機器に限らず広いことに気づいていない企業もいると法律専門家は指摘しています。
EUのサイバーレジリエンス法、脆弱性報告の24時間ルールが始動
EUで販売されるデジタル要素を含む製品のメーカーは、悪用されている脆弱性や深刻なセキュリティインシデントを、ENISAが新設した報告プラットフォーム「Single Reporting Platform（SRP）」を通じて当局へ報告する義務を負うことになりました。CRA第14条に定められたこの報告義務は、対象のメーカーが実際に発生日を迎えた形で適用が始まっています。適用対象はEU域内で製品を流通させるメーカー全般で、本社がEU域外にあるかどうかは問いませんが、CRAが定める適用除外に該当する場合はこの限りではありません。
具体的な期限は段階的に設定されています。メーカーは、脆弱性が悪用されていることに気づいてから24時間以内に早期警告を出し、続けて72時間以内により詳細な通知を提出しなければなりません。深刻なインシデントについても同じ期限が適用されます。異なるのは最終報告のタイミングだけです。悪用された脆弱性については、是正または緩和措置を利用可能にしてから14日以内に最終報告を提出する必要があります。深刻なインシデントの場合は、最初の報告から1か月以内が期限です。
報告先は、CRAの下で定められる調整担当のCSIRT（コンピュータセキュリティインシデント対応チーム）です。EU域内のメーカーであれば、主たる事業拠点がある加盟国のCSIRTが基本になります。EU域外のメーカーについては別の規則で調整先が決まる仕組みです。加えて、メーカーは該当する場合、影響を受ける利用者に対しても、利用可能な修正や緩和策について不当な遅延なく知らせる義務を負います。
違反した場合の罰則は段階的に設定されており、最も重い違反では1,500万ユーロ（約26億8,000万円）または年間売上高の2.5%のいずれか高い方が科される可能性があります。この水準の罰則が設定されていること自体、報告義務を軽視できない制度設計になっていることを示しています。
The Registerによれば、Netscoutでセキュリティ担当CTOを務めるDarren Anstee氏は、この報告期限について「24時間という初期警告の期限が緊張感を生み、その後の期限が追加情報の収集と公開を迅速にする」と述べています。より質の高い、迅速な情報共有が進めば、リスクが高まっていることを把握した組織が防御策や緩和策を講じやすくなるという趣旨です。
専門家が指摘する適用範囲の広さと規制の重複
CRAの適用範囲をめぐっては、法律専門家から異なる角度の指摘も出ています。DLA Piperでデータ・プライバシー・サイバーセキュリティ部門のパートナーを務めるHeidi Waem氏は、CRAが単独で登場したわけではない点を強調しています。NIS2、DORA、Data Act、AI Actといった一連のデジタル関連規制がすでに企業に課されている中でCRAが加わったことで、企業にとっての課題は「単一の規制を理解すること」から「複数の枠組みがどう相互作用し、どこで要件が重複し、コンプライアンス体制全体をどう調整するか」という段階へ移っていると述べています。
同じくDLA Piperでデータ・プライバシー・サイバーセキュリティのグローバル共同代表を務めるJohn Magee氏は、規制の対象範囲そのものが企業の想定を超えていると指摘しています。多くの企業は依然としてCRAを消費者向けIoT機器を主な対象とする規制だと考えているものの、実際にはデジタル要素を含む製品全般という、より広い対象群に適用されるとしています。すでに複数のデジタル関連規制対応に追われているコンプライアンス担当チームにとって、CRAの最初の義務がより早く、より広い範囲で到来したことになる、という見立てです。
この二つの指摘は、報告期限そのものの厳しさとは別の論点です。24時間という期限は明確な数字ですが、そもそも自社の製品がCRAの対象に含まれるかどうかの判断が、想定より複雑になっている可能性がある、という点に注意が必要です。出典記事には、具体的にどの業種でこの見落としが起きているかまでは記載がなく、その先の実態については今回確認した範囲では判断材料が不足しています。
用語補足：CVSS
本文や関連ニュースで登場するCVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を評価する共通の指標です。デジタル庁のGSS不正アクセス事案で悪用された脆弱性は「Medium（中）」に、GitLabの脆弱性は「10.0」に分類されています。
注目ニュース
デジタル庁、GSSへの不正侵入で職員情報24万6000件漏洩の恐れ
デジタル庁は2026年9月11日、国の機関の職員向け業務環境「ガバメントソリューションサービス（GSS）」への不正アクセスにより、利用者の氏名、メールアドレス、電話番号など最大約24万6000件が漏洩した恐れがあると発表しました。ネットワーク接続機器（VPN）の既知の脆弱性が悪用され、システムに侵入されていたことが判明したとしています。同庁は2026年6月25日、保守運用担当者のアカウントを通じて5月下旬ごろから大量のファイルへのアクセスがあったことを検知し、7月9日に第三者によるVPN脆弱性の悪用を確認したと説明しています。GSSは現在23機関の約15万4000人が利用する共通業務環境です。悪用された脆弱性のCVSSスコアは「Medium（中）」に分類されていたといい、松本尚デジタル相は「順番にパッチを当てるような作業があるが、その間にハッキングをされた」と述べています。
Shopify、モバイルアプリ開発をReact Nativeからネイティブへ回帰
Shopifyは、モバイルアプリの開発体制をReact Nativeから、Swift（iOS）とKotlin（Android）による別々のネイティブコードベースへ戻すと発表しました。2020年にReact Nativeへ切り替えた理由は、同じ機能を二度作らずに済ませること、開発者がスタック全体で働けるようにすること、機能差分を追いかける時間を減らして価値提供に時間を使うことの三点だったとしています。今回の記事では、ネイティブでも二つのプラットフォームでソフトウェアを構築・保守するコストはなくならないとしつつ、実装や翻訳、テスト、レビューといった作業の一部をエージェントが担えるようになったことで、2020年当時ほど決定的な要因ではなくなったと説明しています。Shopifyは自社が保守してきたReact Native向けライブラリのうち、react-native-skiaとflash-listは他の管理先へ移行し、restyleは2026年末までにアーカイブされる予定です。
GitLab、CVSS10の深刻な脆弱性を修正し脆弱性の公開後に悪用の試みを確認
GitLabは、CVSSスコア10.0の深刻な脆弱性を含む複数の不具合に対処するパッチを公開しました。該当するCVE-2026-85706は、リポジトリのコミットAPIに存在するパストラバーサルの問題で、認証されていない利用者がGitLabサーバー上の任意のファイルを読み取れる可能性があるというものです。この脆弱性については、公開からわずか数時間のうちに、実際の環境での悪用を試みる動きが確認されています。
編集後記：24時間ルールの重さは罰則の数字が語っている
CRAの報告義務で目を引くのは、24時間という期限そのものよりも、それを裏づける罰則の水準です。最も重い違反で1,500万ユーロ（約26億8,000万円）または年間売上高の2.5%という設定は、単なる努力目標ではなく、実務として守られることを前提にした制度だと読めます。一方で、DLA Piperの二人の専門家が指摘した「対象範囲の広さに気づいていない企業がある」という論点は、期限の厳しさとは別軸の課題です。24時間以内に報告できるかどうかは体制の問題ですが、そもそも自社製品が対象かどうかを正しく判断できているかは、また別の確認作業になります。この二つを混同せずに整理しておく必要がありそうです。