サイバーレジリエンス法（CRA）：FA業界向け戦略的分析レポート

エグゼクティブサマリー

欧州連合（EU）のサイバーレジリエンス法（Cyber Resilience Act: CRA）は、ファクトリーオートメーション（FA）業界にとって、単なる新たなコンプライアンスの課題ではなく、市場の競争原理を根本から覆す地殻変動である。本法は、これまで任意であったサイバーセキュリティ対策を、EU市場へのアクセスにおける法的必須要件へと昇華させ、製品のライフサイクル全体にわたる製造者の責任を明確に定義した。これにより、セキュリティは製品の付加価値から、市場参入の「パスポート」へとその性質を変えた。

本レポートは、FA業界の経営層、製品開発責任者、および技術戦略担当者が、この新たな規制環境下で的確な意思決定を行うための戦略的知見を提供することを目的とする。分析の結果、以下の重要な動向が明らかとなった。

第一に、コンプライアンスへの対応は急務である。特に、2026年9月には脆弱性およびインシデントの報告義務が先行して適用され、2027年12月には全ての要求事項が完全適用される 。この期限までに対応できない製品は、事実上EU市場から排除される。  

第二に、主要FAベンダーの対応状況には明確な差が見られる。SiemensやRockwell Automationなどの欧米大手は、国際標準規格IEC 62443への準拠を基盤とした包括的なセキュリティ戦略を既に展開し、CRAを新たな事業機会と捉えたコンサルティングサービスまで提供している 。一方で、三菱電機やオムロンなどの日系企業もIEC 62443認証取得やPSIRT（Product Security Incident Response Team）構築支援サービスの提供など、積極的な対応を進めているが、その取り組みの深さと市場への訴求力において、さらなる加速が求められる 。  

第三に、CRAは製品開発のあり方を恒久的に変える。セキュリティを後付けの機能としてではなく、設計の初期段階から組み込む「セキュア・バイ・デザイン」が必須となり、SBOM（ソフトウェア部品表）の管理やサプライチェーン全体のセキュリティ確保が不可欠となる 。これは、FA製品のポートフォリオ見直し、開発プロセスの抜本的改革、そして継続的なセキュリティアップデート提供体制の構築を全メーカーに強いるものである。  

結論として、CRAはFA業界にとって避けては通れない構造変化である。本規制を単なるコスト要因として捉えるか、あるいは製品の信頼性と品質を世界に示す好機と捉えるかで、企業の未来は大きく左右される。日本のFA企業が持つ品質へのこだわりと長期的な視点は、この新たな規制環境において強力な競争優位性となり得る。本レポートが、その戦略的転換の一助となることを期待する。

---

Part 1: 新たな規制環境：サイバーレジリエンス法の理解

本章では、CRAを単独の規制としてではなく、デジタル主権とセキュリティの確立を目指すEUの広範な戦略の中核をなすものとして位置づけ、その基本的な枠組みを解説する。

1.1. パラダイムシフト：任意の実践からライフサイクル全体の強制的責任へ

CRAがもたらす最も根源的な変化は、FA業界におけるサイバーセキュリティの位置づけを「任意に採用されるベストプラクティス」から「法的拘束力を持つ必須要件」へと転換させた点にある。従来、FA分野のセキュリティは、国際標準規格であるIEC 62443などを参考に、各企業が自主的に取り組む領域であった。しかし、CRAはこの状況を一変させ、EU市場に上市される「デジタル要素を有する製品（products with digital elements: PDE）」に対して、水平的かつ強制的な要件を課すものである 。  

この変革の核心は、責任の所在の明確な移行である。CRAは、サイバーセキュリティに関する責任を、製品の利用者（例：工場所有者）から、製品のライフサイクル全体にわたる製造者へと明確に移転させる 。これは、ハードウェアを販売すれば責任が完了するという従来の「売り切り」モデルの終焉を意味する。製造者は、製品の設計・開発段階から、市場投入後の脆弱性管理、そしてサポート終了まで、一貫してセキュリティを保証する義務を負う。  

この規制が目指すのは、主に二つの根深い問題の解決である。一つは、多くの製品に存在する広範な脆弱性に起因するサイバーセキュリティレベルの低さ。もう一つは、それらの脆弱性に対処するためのセキュリティアップデートが不十分かつ一貫性のない形でしか提供されてこなかったという問題である 。FAシステムが外部ネットワークとの接続を深め、クラウド活用などの恩恵を受ける一方で、サイバー攻撃のリスクに直接晒されるようになった現状が、この法制化を後押しした 。  

1.2. 中核的な目的と適用範囲：FAにおける「デジタル要素を有する製品」の定義

CRAの適用対象は、「直接的または間接的に、デバイスまたはネットワークへの論理的または物理的なデータ接続を含むことを意図した目的または合理的に予見可能な使用」を持つ、あらゆるソフトウェアまたはハードウェア製品である 。この広範な定義は、FA業界で用いられるコンポーネントを明確に包含している。具体的には、  

産業用制御システム（ICS）、プログラマブルロジックコントローラ（PLC）、ルータ、スイッチ、産業用センサーなどが対象となる 。  

この規制は、有償で販売される製品だけでなく、商業活動の一環として無償で提供される製品にも適用される 。これにより、例えば特定のハードウェアを制御するために無償で配布される設定ツールやライブラリなども、その提供元である製造者の責任範囲に含まれることになる。  

一方で、医療機器、自動車、航空分野など、既に同等のサイバーセキュリティ要件を定めるEUの sectoral legislation（分野別法規）が存在する製品は、CRAの適用対象から除外される 。しかし、FA製品の多くはこれらの除外規定には該当せず、CRAの直接的な対象となる。なお、機械規則（Machinery Regulation）のような関連法規も、CRAの原則と整合性を取る形で改定が進んでおり、サイバーセキュリティがCEマーキングの新たな要件として組み込まれつつある 。  

1.3. コンプライアンス・タイムライン：FA業界にとっての重要日程と移行措置

CRA（規則 (EU) 2024/2847）は、2024年11月20日にEU官報に掲載され、その20日後の2024年12月10日に発効した 。ただし、製造者やその他の経済事業者が全ての要求事項に準拠する必要があるまでには、段階的な移行期間が設けられている。  

• 2026年9月11日：報告義務の適用開始 製造者は、自社製品に含まれる「積極的に悪用されている脆弱性」および「製品のセキュリティに影響を与える重大なインシデント」を認識してから、所定の期間内に当局へ報告する義務を負う。この義務は、他の要求事項に先駆けて適用が開始される 。  
• 2027年12月11日：CRA要求事項の完全適用 この日以降、EU市場に新たに上市される全ての対象製品は、CRAの必須要求事項を完全に満たし、適切な適合性評価を経てCEマークを表示することが義務付けられる。この日以降、非準拠製品はEU市場での販売が禁止される 。  

なお、2027年12月11日より前に市場に投入された個々の製品については、その後に「大幅な変更」が加えられない限り、原則としてCRAの適用対象外となる 。しかし、これは製品モデル単位ではなく、個々の物理的な製品単位での判断となるため、継続的に生産・出荷される製品は、2027年12月11日以降に出荷されるものからCRAへの準拠が必須となる。  

FAメーカーが戦略計画を策定する上で、これらの期限は極めて重要な意味を持つ。以下の表は、主要なマイルストーンをまとめたものである。

表1：FAメーカー向けCRAコンプライアンス・タイムライン

日付	義務内容	主な対象者	関連条文（参考）
2024年12月10日	CRA発効	全ての経済事業者	Art. 71
2026年6月11日	ノーティファイドボディ（適合性評価機関）に関する規則の適用	EU加盟国、認証機関	Art. 71(3)
2026年9月11日	脆弱性・インシデントの報告義務の適用開始	製造者	Art. 14, Art. 71(2)
2027年12月11日	CRA要求事項の完全適用（CEマーキングの前提条件）	製造者、輸入業者、販売業者	Art. 71(2)

このタイムラインが示す戦略的含意は大きい。製品自体の完全な準拠期限は2027年であるが、インシデント報告体制の構築と運用は、それより1年以上も早く、2026年9月には法的に義務化される。これは、多くの企業にとって最優先で取り組むべき課題が、PSIRT（Product Security Incident Response Team）の設立と、インシデントを24時間以内に検知・報告できるプロセスの確立であることを意味している。

1.4. EUサイバーセキュリティのエコシステム：CRAとNIS2、AI法、GDPRとの相互作用

CRAは単独で存在する法律ではなく、EUが構築を進める包括的なサイバーセキュリティ戦略の重要な構成要素である 。その影響を正しく理解するためには、他の主要な規制、特にNIS2指令、AI法、GDPRとの関連性を把握することが不可欠である。  

• CRAとNIS2指令の関係 CRAとNIS2指令は、相互に補完し合う関係にある。CRAが製品そのもののセキュリティ（すなわち製造者が何をすべきか）に焦点を当てるのに対し、NIS2指令はエネルギー、運輸、製造業などを含む重要・基幹事業者の運用体制のセキュリティ（すなわち製品の利用者が何をすべきか）に焦点を当てる 。   この関係性から、極めて重要な力学が生まれる。NIS2指令の対象となる多くの製造業の工場は、自らのサイバーセキュリティリスクを管理する義務の一環として、サプライチェーンリスクの管理を求められる 。これは、彼らが導入するFA機器がセキュアであることを供給元に要求することを意味する。一方でCRAは、そのFA機器の供給元であるメーカーに対し、製品にセキュリティを組み込むことを法的に義務付ける 。   結果として、工場所有者（エンドユーザー）のNIS2指令遵守は、FAベンダーのCRA遵守に直接的に依存することになる。FAベンダーがCRAに準拠していない製品を納入した場合、それは顧客である工場所有者のNIS2指令違反リスクに直結する。この構造は、今後のFA機器の調達において、CRA準拠を単なる技術仕様の一つではなく、取引の前提条件となる非交渉事項へと変貌させるだろう。
• CRAとAI法の関係 予知保全やAIによる生産最適化など、AI機能を搭載したFA製品は、CRAとAI法の両方の規制対象となる可能性がある 。この場合、CRAが要求するセキュリティ要件と、AI法が定めるデータの品質、透明性、リスク管理、人間による監視などの要件が重なり合い、極めて複雑なコンプライアンス・マトリックスが形成される。特に、高リスクAIシステムに分類される場合、第三者による適合性評価が求められる可能性があり、製品開発の初期段階から両方の法律を念頭に置いた設計が不可欠となる 。  
• CRAとGDPRの関係 CRAは、一般データ保護規則（GDPR）を技術的な側面から補強する役割を果たす。CRAが製品に義務付ける暗号化、データ最小化、不正アクセス防止といった技術的・組織的措置は、デジタル製品が処理する個人データを保護するための具体的な手段を提供する 。CRAに準拠した製品は、GDPRが求める「設計段階からおよびデフォルトでのデータ保護（Data Protection by Design and by Default）」の原則を実践する上で、強力な基盤となる。  

これらの規制が織りなすエコシステムは、EUのデジタル経済全体を対象とした、トップダウンかつ包括的なセキュリティフレームワークを構築する。FAベンダーはもはや、自社製品を単体で販売しているとは考えられなくなる。自社の製品は、法的に規制された顧客のセキュリティ・エコシステムにおける、一個の構成要素として位置づけられるのである。この認識の転換こそが、CRA時代を生き抜くための第一歩となる。

---

Part 2: 要求事項の詳細：FA製品に課される技術的・手続き的要件

本章では、CRAが定める法的な要求事項を、FA製品のエンジニアやマネージャーが取り組むべき具体的な技術的・プロセス的タスクへと分解し、詳述する。

2.1. 附属書I パート1 – セキュア・バイ・デザインの原則

CRAの中核をなすのが、附属書I（Annex I）に定められた必須要求事項である。そのパート1は、製品自体が備えるべき本質的なセキュリティ特性を規定しており、「セキュア・バイ・デザイン（Security by Design）」および「セキュア・バイ・デフォルト（Security by Default）」の原則を法的に義務付けるものである 。FA製品メーカーは、以下の要求事項を製品設計・開発の段階で組み込まなければならない。  

• セキュア・バイ・デフォルト構成 (Secure by Default Configuration): 製品は、安全な設定が初期状態で有効化されたまま出荷されなければならない。これには、初回使用時のパスワード変更要求、不要な通信ポートやサービスの無効化などが含まれる。推測容易なデフォルトパスワード（例：「admin」「password」）の使用は、もはや許容されない 。ユーザーは製品を初期状態にリセットする機能も提供されるべきである。  
• 不正アクセスからの保護 (Protection from Unauthorised Access): 認証、ID管理、アクセス制御システムなど、適切な制御メカニズムを実装し、不正なアクセスから製品を保護しなければならない。また、不正アクセスの可能性を報告する機能も求められる 。FA製品においては、操作者、保全担当者、管理者といった役割に応じた多段階のアクセス権限設定がこれに該当する。  
• 機密性と完全性の保護 (Confidentiality and Integrity): 保存データ（at rest）および通信中のデータ（in transit）の機密性を、最新技術（state-of-the-art）を用いた暗号化などによって保護する必要がある。同様に、データ、コマンド、プログラム、設定などがユーザーの許可なく改ざんされることから保護し、破損を報告する完全性保護の仕組みも必須である 。  
• 攻撃対象領域の削減 (Attack Surface Reduction): 製品は、外部インターフェースを含め、攻撃者が侵入の足がかりとしうる「攻撃対象領域」を限定するように設計・開発されなければならない 。これは、物理ポートやネットワークサービスを必要最小限に絞ることを意味する。  
• 可用性と回復力 (Availability and Resilience): サービス妨害（DoS）攻撃に対する耐性や緩和策を含め、インシデント発生後も製品の必須機能の可用性を保護しなければならない 。工場の稼働を支えるFA機器にとって、これは極めて重要な要件である。  
• セキュリティ関連情報の記録 (Logging): データ、サービス、機能へのアクセスや変更など、セキュリティに関連する内部活動を記録・監視する機能を提供しなければならない。これには、ユーザーが監視を無効にできるオプトアウトの仕組みも含まれる 。  

2.2. 附属書I パート2 – ライフサイクル全体の脆弱性管理

附属書Iのパート2は、製品が市場に投入された後の、製造者の継続的な責任を規定している。これは製品ライフサイクル全体にわたる脆弱性管理プロセスの確立を義務付けるものであり、FAメーカーのビジネスモデルに大きな影響を与える 。  

• 脆弱性の特定と文書化 (Vulnerability Identification and Documentation): 製造者は、自社製品およびそれに含まれるサードパーティ製コンポーネント（オープンソースソフトウェアを含む）の脆弱性を体系的に特定し、文書化する義務を負う 。  
• SBOM（ソフトウェア部品表）の義務化 (The SBOM Mandate): この文書化義務の中核をなすのが、**ソフトウェア部品表（Software Bill of Materials: SBOM）**の作成と維持である。SBOMは、製品を構成するソフトウェアコンポーネントとその依存関係をリスト化したものであり、一般的に使用され、かつ機械可読な形式（例：SPDX, CycloneDX）で、少なくともトップレベルの依存関係を網羅する必要がある 。  
• 脆弱性の修正 (Vulnerability Remediation): 発見された脆弱性は、「遅滞なく（without delay）」対処・修正されなければならない。その手段としてセキュリティアップデートを提供することが求められ、アップデートは無償で、かつ技術的に可能な場合は機能アップデートとは分離して提供されるべきである 。このサポート期間は、製品の想定使用期間を反映するものでなければならず、   最低でも5年間と規定されている 。  
• 協調的な脆弱性開示 (Coordinated Vulnerability Disclosure – CVD): 製造者は、セキュリティ研究者などの第三者から脆弱性の報告を受け付けるための、明確な連絡窓口とポリシーを確立・公開しなければならない 。  
• 24時間報告ルール (The 24-Hour Reporting Rule): CRAが課す最も厳しい義務の一つが、インシデント報告の迅速性である。製造者は、自社製品において「積極的に悪用されている脆弱性」または「重大なセキュリティインシデント」を認識した場合、24時間以内に指定された各国のCSIRT（Computer Security Incident Response Team）およびENISA（欧州サイバーセキュリティ機関）へ、単一の報告プラットフォームを通じて早期警告（early warning）を提出しなければならない。その後、72時間以内により詳細な通知（notification）、さらに後日、最終報告書を提出することが求められる 。  

2.3. 適合性評価とノーティファイドボディの役割

CRAは、製品が附属書Iの要求事項を満たしていることを証明するための「適合性評価（Conformity Assessment）」手続きを定めている。この手続きは、製品がもたらすサイバーセキュリティリスクのレベルに応じて異なり、FA製品の多くはより厳格な評価が求められるカテゴリーに分類される可能性がある 。  

• 製品リスククラス分類:
  • デフォルト（通常）カテゴリー: 全製品の約90%が該当するとされ、製造者による**自己適合宣言（self-assessment）**が認められる（モジュールA） 。  
  • 重要製品クラスI（低リスク）: パスワードマネージャー、VPN、ルーター、スイッチなどが含まれる。整合規格への準拠、または第三者機関による評価（モジュールB+CまたはH）が求められる 。FA分野では、産業用でないネットワーク機器がこれに該当する可能性がある 。  
  • 重要製品クラスII（高リスク）: オペレーティングシステム（OS）、ファイアウォール、侵入検知・防止システム（IDS/IPS）、耐タンパー性マイクロプロセッサ、そして産業用IoT製品などが含まれる。これらの製品は、第三者機関による強制的な適合性評価が義務付けられる 。PLCや産業用PCなど、多くのFA基幹製品がこのクラスに分類されると予想される。  
  • 重要製品（Critical Products）: Annex IVで指定される、ハードウェアセキュリティモジュール（HSM）やスマートカードなど、さらに重要度の高い製品群。これも第三者評価が必須となる 。  
• ノーティファイドボディ（Notified Body）の役割: ノーティファイドボディとは、EU加盟国によって指名され、高リスク製品の適合性評価を実施する権限を与えられた第三者認証機関である。これらの機関は、製造者の製品、技術文書、開発・脆弱性管理プロセスがCRAの要求事項に適合しているかを監査し、証明書を発行する 。FAベンダーにとって、自社製品のクラスに適したノーティファイドボディを早期に選定し、連携することは、コンプライアンス達成のための重要なステップとなる。  

この製品分類システムは、FA業界に製品ポートフォリオの戦略的な再評価を迫る。多くのFA中核製品、例えばOSを搭載した産業用PC、PLC、ネットワークファイアウォールなどは、クラスIIに分類され、コストと時間のかかる第三者認証が必須となる可能性が高い 。  

この状況は、メーカーに以下のような戦略的選択を強いることになる。

1. 高リスク・高収益製品への集中投資: 認証取得に必要なリソースを戦略的に投入し、主力製品のコンプライアンスを確保する。
2. 製品の再設計または機能削減: 認証コストを避けるため、製品の機能を削減してリスククラスを下げようと試みる可能性がある（ただし、製品の性質上、常に可能とは限らない）。
3. レガシー製品の市場撤退: 旧製品や利益率の低い製品については、CRA対応の投資対効果が見合わず、EU市場からの撤退を決定する可能性がある。

結論として、CRAはFA業界における製品ポートフォリオの合理化を促す引き金となるだろう。各社は最も戦略的な製品にリソースを集中させ、コンプライアンス投資に見合わないレガシーシステムを整理する必要に迫られる。この動きは、市場の淘汰と再編を加速させると同時に、「ボーン・コンプライアント（生まれながらにして準拠している）」な新製品や、それを実現する新興企業に新たな市場機会をもたらす可能性がある。

---

Part 3: FAメーカー向けCRAコンプライアンス実践ガイド

本章では、既存の国際標準規格を効果的に活用し、サプライチェーン全体を視野に入れた、実践的なコンプライアンス達成のためのフレームワークを提示する。

3.1. コンプライアンスへの戦略的ロードマップ：ギャップ分析からCEマーキングまで

CRAへの準拠は、場当たり的な対応ではなく、体系的なプロセスに従って進めるべきである。以下に、FAメーカーが取るべき戦略的ロードマップの概要を示す。

1. 適用範囲の特定と製品分類 (Scope & Classify): まず、自社がEU市場で販売している全ての製品をリストアップし、CRAの適用対象となるかを判断する。対象製品については、Part 2で詳述したリスクカテゴリー（デフォルト、重要クラスI、重要クラスII、重要製品）に従って分類する。この分類が、その後の適合性評価の道筋を決定する 。  
2. ギャップ分析 (Gap Analysis): 現行の製品セキュリティ機能、開発プロセス、脆弱性管理体制を、CRA附属書Iの要求事項と照らし合わせ、その差異（ギャップ）を特定する。この分析により、取り組むべき課題の優先順位付けが可能となる 。  
3. ガバナンス体制の確立 (Establish Governance): 脆弱性のハンドリングとインシデント報告を専門に担う**PSIRT (Product Security Incident Response Team)**を組織内に設置するか、既存のチームにその権限を付与する。PSIRTは、CRAが要求する迅速な脆弱性対応と24時間以内の報告義務を遂行する上で中核となる組織である 。  
4. セキュア開発ライフサイクル (SDL) の導入 (Implement SDL): 計画、設計、コーディング、テスト、保守といった製品開発の全てのフェーズに、セキュリティを組み込む。これは「シフトレフト」のアプローチであり、開発の後工程でセキュリティ問題が発覚する手戻りを防ぎ、コストを抑制する上でも効果的である 。  
5. 文書化の準備 (Develop Documentation): CRAが要求する各種文書を作成する。これには、サイバーセキュリティリスクアセスメントの結果、SBOMを含む技術文書、EU適合宣言書、そして安全な使用法を記したユーザー向け取扱説明書が含まれる 。  
6. 適合性評価の実施 (Conformity Assessment): 製品の分類に基づき、適切な適合性評価手続きを実施する。デフォルトカテゴリーの製品は自己評価、高リスク製品はノーティファイドボディによる第三者評価が必要となる 。  
7. CEマーキングの貼付 (Affix CE Marking): 適合性評価を完了し、EU適合宣言書を作成した後、製品にCEマークを貼付する。CRAの施行後は、このCEマークがサイバーセキュリティ要件への適合を示す証となり、EU市場へのアクセスのための必須条件となる 。  

3.2. IEC 62443をコンプライアンスのフレームワークとして活用する

CRAは、製造者が「整合規格（harmonised standards）」に従うことで、要求事項への適合を推定できる仕組みを設けている 。これらの整合規格は現在、CEN-CENELECなどの欧州標準化機関によって策定中であるが、産業オートメーション分野においては、国際標準規格である  

IEC 62443シリーズがその基盤となることが広く期待されている 。  

FAメーカーは、整合規格の完成を待つのではなく、今からIEC 62443に準拠した体制を構築することで、CRAへの対応を効率的かつ効果的に進めることができる。

• 主要規格とのマッピング:
  • IEC 62443-4-1 (セキュアな製品開発ライフサイクル要求事項): この規格は、CRAが求めるプロセス面の要求事項と直接的に対応する。セキュリティ管理、セキュアな設計、セキュアな実装、検証・妥当性確認テスト、セキュリティ問題管理、セキュリティアップデート管理といったプラクティスを網羅しており、この規格に準拠することは、CRAに適合した開発プロセスを実践していることの強力な証拠となる 。  
  • IEC 62443-4-2 (IACSコンポーネントの技術的セキュリティ要求事項): この規格は、CRA附属書Iパート1に定められた製品固有の技術的要件の多くと対応する。例えば、アクセス制御、データの完全性、通信のセキュリティといった要求事項は、この規格で具体化されている 。  

ENISA（欧州サイバーセキュリティ機関）は既に、CRAの要求事項とIEC 62443を含む既存の標準規格との対応関係を示すマッピング文書を公開しており、FAメーカーが参照すべき重要な指針となっている 。  

FAの技術者にとって、法規制の条文を直接の設計目標とすることは困難である。以下の表は、CRAの抽象的な法的要求を、現場で実践可能なIEC 62443の具体的な技術的・プロセス的要求へと橋渡しするものである。

表2：CRA附属書Iの要求事項とIEC 62443-4-1/-4-2との対応関係（抜粋）

CRA附属書Iの要求事項	対応するIEC 62443-4-2の技術要件（例）	対応するIEC 62443-4-1のプロセス（例）
(d) 不正アクセスからの保護	FR1 – Identification and Authentication Control (IAC)	Practice 3: Secure by design
(e) データの機密性保護	FR3 – System Integrity (SI) – (暗号化機能)	Practice 4: Secure implementation
(f) データの完全性保護	FR3 – System Integrity (SI)	Practice 4: Secure implementation
(j) 攻撃対象領域の限定	FR7 – Resource Availability (RA) – (不要な機能の無効化)	Practice 3: Secure by design
(1) 脆弱性・コンポーネントの特定と文書化(SBOM)	– (直接的な技術要件はないが、資産管理が前提)	Practice 1: Security management (SM-6)
(2) 脆弱性の遅滞なき対処（セキュリティ更新）	FR2 – Use Control (UC) – (ソフトウェア/ファームウェア更新機能)	Practice 7: Security update management

Google スプレッドシートにエクスポート

この対応表を活用することで、FAメーカーの技術チームは、法的な準拠という漠然とした目標を、使い慣れた技術標準に基づいた具体的な設計・開発タスクに落とし込むことができる。これにより、ギャップ分析が加速され、既存の知見や認証資産を最大限に活用し、開発の時間とコストを大幅に削減することが可能となる。

3.3. サプライチェーンのセキュリティ確保：サードパーティ製およびオープンソースコンポーネントのデューデリジェンス

CRAは、製造者に対し、サードパーティから調達したコンポーネントを自社製品に統合する際に、デューデリジェンス（相当な注意）を払うことを明確に要求している。これは、統合されたコンポーネントが製品全体のサイバーセキュリティを損なわないことを保証するためである 。  

• 装置メーカー（Machine Builders）への影響: 複数のベンダーからPLC、ドライブ、ソフトウェアなどを調達し、それらを一つの生産設備や機械として組み上げて販売する装置メーカーは、その最終製品の「製造者」と見なされる。したがって、彼らは、統合された全てのコンポーネントを含むシステム全体のセキュリティに責任を負う。これには、システム全体のリスクアセスメントの実施や、各コンポーネントがセキュアに連携して動作することの保証が含まれる 。  
• オープンソースソフトウェア（OSS）の取り扱い: FA製品においてもOSSの利用は拡大しているが、CRAはこの点についても明確な責任分担を定めている。OSSを商用製品に組み込んだ場合、そのセキュリティに対する法的責任は、OSSコミュニティではなく、製品を販売する製造者が負う 。   非営利のOSSプロジェクトや個人のコントリビューターは原則としてCRAの義務から免除されるが、「OSSスチュワード」と呼ばれるOSSプロジェクトを組織的に支援する財団などには、一定の協力義務が課される。FAベンダーは、自社が利用するOSSに内在する脆弱性を能動的に管理し、発見した脆弱性を上流のOSSプロジェクトに報告することが求められる 。これは、単にOSSを利用するだけでなく、OSSコミュニティへの貢献も視野に入れた体制構築が必要であることを示唆している。  

3.4. 文書化とユーザーコミュニケーション：準拠した技術ファイルと取扱説明書の作成

CRA準拠を証明するためには、広範な文書の作成と維持が不可欠である。

• 技術文書 (Technical Documentation): 製造者は、コンプライアンスを証明するための詳細な技術文書を作成・保管しなければならない。この文書には、サイバーセキュリティリスクアセスメントの結果、システムアーキテクチャ図、SBOM、各種テストレポートなどが含まれる 。  
• EU適合宣言書 (EU Declaration of Conformity): 製造者は、自らの責任において製品がCRAの要求事項に適合していることを宣言するEU適合宣言書を作成する必要がある 。  
• ユーザー向け取扱説明書 (User Instructions): CRA附属書IIでは、ユーザーに提供すべき情報が規定されている。これには、製品の安全な設置、操作、使用方法、サポート期間、そして脆弱性報告のための連絡先などが含まれる。この説明書は、ユーザーが容易に理解できる言語で、明確かつ平易に記述されなければならない 。また、これらの情報は製品の上市後、   最低10年間またはサポート期間のいずれか長い方、利用可能な状態に保つ必要がある 。  

---

Part 4: 競合分析：主要FAベンダーの戦略と製品能力

本章では、FA業界の主要プレイヤーの公表情報や製品仕様を分析し、CRAという新たな競争環境下における各社の立ち位置と戦略を明らかにする。

4.1. グローバルリーダーの対応：Siemens、Rockwell Automation、Schneider Electricの比較分析

• Siemens: CRAへの準備が非常に進んでいると見受けられる。同社は、コンサルティング部門であるSiemens Advantaを通じて、CRAやNIS2指令に特化したコンサルティングサービスを積極的に提供している 。また、成熟したPSIRT（Product Security Incident Response Team）を運用し、セキュリティアドバイザリを定期的に公開している 。製品開発の哲学として、IEC 62443をベースとした「Defense-in-Depth（多層防御）」を長年掲げており、CRAの理念と高く整合している 。  
• Rockwell Automation: CRAへの準拠を公式に表明しており、その戦略の中核として既存のIEC 62443認証を強くアピールしている 。具体的には、製品開発プロセス（IEC 62443-4-1）、製品提供プロセス（IEC 62443-2-4）、そして特定の製品（PLCなど）における技術要件（IEC 62443-4-2）で認証を取得済みであることを強調している 。同社もまた、一般公開されたセキュリティアドバイザリポータルを運営し、成熟したPSIRT体制を持つ 。さらに、新たなOT環境向けセキュリティ監視・対応サービスを発表するなど、CRAを事業機会と捉えている 。  
• Schneider Electric: CRAへの対応に積極的に取り組んでおり、Sonatype社と共同でCRAに関するウェビナーを開催するなど、市場への情報発信を行っている 。OTセキュリティ専門企業のNozomi Networks社とのパートナーシップを通じて、顧客向けのマネージド・セキュリティ・サービス（MSS）を強化しており、顧客のCRA対応を支援する体制を構築している 。過去に発生したセキュリティインシデントへの対応を公表しており、インシデントレスポンス体制が既に機能していることを示している 。  

4.2. 日系およびその他主要プレイヤーのアプローチ：三菱電機、オムロン、キーエンス、ABBのレビュー

• 三菱電機: CRAへの準備を積極的に進めている。顧客向けにSCA/SBOMツールの導入、PSIRT構築、セキュア開発ガイド策定などを支援するコンサルティングサービスを提供開始している 。中国のサイバーセキュリティ法など、類似の規制への対応経験も有しており、CRAに関するセミナーを開催するなど、顧客への啓発活動も行っている 。  
• オムロン: CRA施行を見据え、他社に先駆けて開発プロセスにおけるIEC 62443-4-1認証を取得したことを発表しており、これはCRA準拠に向けた大きな一歩である 。同社は、この動きをCRAのような規制強化の流れと明確に関連付けており、主力コントローラであるNJ/NXシリーズのセキュリティ機能強化を体系的に進めている 。  
• キーエンス: CRA全体に対する包括的な戦略の公表は限定的であるが、新製品の仕様からはセキュリティへの意識の高さがうかがえる。例えば、主力PLCであるKV-8000シリーズは、OPC UAサーバー機能において複数のセキュリティポリシーを選択可能としており、セキュアなデータ通信の基盤を提供している 。同社のCRA対応は、製品ごとの個別対応が中心になると推測される。  
• ABB: 「サイバーレジリエンスのパートナー」としてのアプローチを推進し、「Cyber Security Monitoring Service」や「Cyber Security Fingerprint」といったサービスを提供している 。長年にわたりセキュリティ標準化活動に関与してきた実績があり、ライフサイクル全体でのセキュリティを重視している 。脆弱性に対しては詳細な緩和策ガイダンスを提供するなど、実践的なサポート体制を構築している 。  

4.3. 製品レベルの深掘り：実践におけるセキュリティ機能（製品マニュアルに基づく分析）

各社のCRA対応状況をより具体的に理解するため、主力PLC製品のマニュアルや技術資料から、CRAの原則に直結するセキュリティ機能を分析する。

• Siemens (TIA Portal / S7-1200/1500): マニュアル群は、CRAの原則を直接サポートする包括的なセキュリティ機能スイートの存在を示している。
  • アクセス制御: 高度なユーザー管理・アクセス制御機能（UMAC）により、PLC本体、OPC UAサーバー、Webサーバーへのアクセス権を役割ベースで詳細に設定可能 。パスワードポリシーやアクセスレベルも柔軟に設定できる 。  
  • セキュア通信: エンジニアリングツール（TIA Portal）やHMIとの通信、OPC UA通信において、TLS 1.3による暗号化をサポート。堅牢な証明書管理システムがこれを支える 。  
  • 完全性と堅牢化: プログラムのノウハウ保護、書き込み保護、セキュアブート、署名付きファームウェアアップデートといった機能に加え、Webサーバーの無効化やHTTPS通信への限定機能も提供されている 。  
• Rockwell Automation (Studio 5000 / ControlLogix): 技術資料やホワイトペーパーは、強力なセキュリティ体制を示している。
  • アクセス制御: FactoryTalk Securityプラットフォームを通じて、役割ベースのアクセス制御（RBAC）を実現 。  
  • セキュア通信: EtherNet/IPの拡張プロトコルであるCIP Securityに対応。証明書を利用したデバイス認証と通信の暗号化を提供する 。  
  • 完全性と堅牢化: コントローラベースでの変更検知・ログ記録機能、デジタル署名付きファームウェア、コントローラのロック機能を搭載 。また、制御機器を直接インターネットに接続しないよう、明確なガイダンスを顧客に提供している 。  
• 三菱電機 (MELSEC iQ-R): マニュアルでは、セキュリティキー認証機能が強調されている。これにより、特定のPCからしかプログラムにアクセスできないようにロックしたり、許可されていないCPUでのプログラム実行を禁止したりすることが可能で、知的財産の保護に重点を置いている 。また、ファイアウォールやVPNといったネットワークレベルでの防御策も推奨している 。  
• オムロン (Sysmac NJ/NX): 過去に発見された脆弱性への対応（ハードコードされた認証情報など）を公表し、対策版ファームウェアを提供するなど、脆弱性管理プロセスが機能している 。その対策として、ユーザー認証や通信の暗号化といったセキュリティ機能を強化している 。セキュリティガイドラインでは、ネットワークセグメンテーションやファイアウォールの利用を推奨している 。  
• キーエンス (KV-8000): KV-8000シリーズに内蔵されたOPC UAサーバー機能では、複数のセキュリティポリシー（暗号化や署名のレベル）を選択できる設定があり、セキュアな上位システム連携の基盤を提供している 。  

以下の表は、本節の分析をまとめたものである。

表3：主要FAベンダーのCRA対応状況比較分析

ベンダー	公式CRA対応方針	PSIRT/CVDプロセス	IEC 62443認証状況	主要製品のセキュリティ機能（例）	SBOM/サプライチェーン戦略
Siemens	非常に積極的。コンサルサービスも提供	成熟。アドバイザリを定期公開	規格開発を主導。製品・プロセスで多数取得	UMACによる詳細なアクセス制御、TLS 1.3暗号化、セキュアブート	Defense-in-Depthの一環として管理
Rockwell Automation	積極的。準拠を公式に約束	成熟。公開ポータルで情報提供	4-1, 4-2, 2-4などで認証取得済み	FactoryTalk/CIP SecurityによるRBACと暗号化通信	顧客向けにセキュリティベストプラクティスを公開
Schneider Electric	積極的。パートナーシップを強化	存在。インシデント対応事例を公開	MSSPパートナーシップを通じて対応力強化	–	パートナーシップによるソリューション提供
三菱電機	積極的。顧客向け支援サービスを開始	PSIRT構築支援サービスを提供	中国CS法など類似規制への対応実績あり	セキュリティキー認証によるプログラム保護	SBOMツール導入支援サービスを提供
オムロン	積極的。規制強化を背景に認証取得	脆弱性情報を公開し、対策版を提供	開発プロセスで4-1認証を取得済み	ユーザー認証、通信暗号化	–
キーエンス	限定的な公表	–	–	OPC UAのセキュリティポリシー選択機能	–
ABB	積極的。レジリエンスパートナーを標榜	脆弱性への詳細な緩和策を提示	標準化活動に長年関与	監視サービス、アクセス制御、セキュア通信	サプライヤーとの連携を重視

この比較分析から、ベンダー間の戦略的な違いが浮き彫りになる。SiemensやRockwellは、自社の包括的なセキュリティ体制と認証をマーケティングの武器として活用している。一方で、三菱電機やSchneider Electricは、顧客がCRAに対応するための支援サービスを新たな事業として展開しようとしている。オムロンは、開発プロセスの認証取得を先行させることで、製品の信頼性を根本から訴求する戦略をとっている。これらの動向は、FAメーカーが自社の競争優位性をどこに見出し、CRAという規制の波にどう立ち向かうかを決定する上で、極めて重要な示唆を与える。

---

Part 5: 波及効果：工場現場とシステムインテグレータへの影響

本章では、CRAがFA製品のエンドユーザーやインテグレータといった、川下のステークホルダーに与える実践的かつ具体的な影響について考察する。

5.1. エンドユーザー（工場所有者）への影響

CRAは製造者に多くの義務を課すが、その影響は製品を利用する工場側にも直接的に及ぶ。

• パッチ適用のジレンマ (The Patching Dilemma): CRAにより、FAメーカーは脆弱性を修正するセキュリティアップデートを提供する義務を負う。しかし、そのアップデートを実際に適用する責任は、依然として資産所有者である工場側にある 。これは、OT（Operational Technology）環境において深刻なジレンマを生む。ITシステムとは異なり、OTシステムは24時間365日の連続稼働が前提であり、パッチ適用のための生産停止は莫大な機会損失につながる。さらに、パッチ適用後には、システムの動作が意図通りであることを再検証（リバリデーション）する必要があり、これも大きな負担となる 。このため、迅速なパッチ適用という理想と、安定稼働の維持という現実との間で、工場は難しい判断を迫られることになる。  
• ベンダーサポートへの依存度向上: 脆弱性情報の管理、パッチ適用の計画、インシデント発生時の対応など、サイバーセキュリティに関する運用負荷が増大するため、エンドユーザーはこれまで以上に製品ベンダーのサポートを必要とするようになる。これにより、セキュリティアップデートや技術サポートを含むサービスレベル契約（SLA）の重要性が高まり、製品購入後のランニングコストが増加する可能性がある。
• 調達プロセスの変革: 特にNIS2指令の対象となるような重要インフラを運営する工場では、自らの規制遵守リスクを管理するために、CRAへの準拠とそれに伴うCEマークの表示を、FA機器の調達における必須条件とする動きが加速する 。もはや、価格や性能だけでなく、「CRA準拠」がベンダー選定の決定的な要因となる時代が到来する。  

5.2. システムインテグレータへの影響

複数のベンダーからFA機器を調達し、それらを組み合わせて一つの生産ラインや装置を構築するシステムインテグレータ（SIer）は、CRAによって新たな、そして重大な責任を負うことになる。

• 増大する法的責任と複雑性: CRAの定義上、複数の製品を統合して一つのシステムとして市場に提供するシステムインテグレータは、その統合システムの「製造者」とみなされる 。これは、システムインテグレータが、最終製品全体のセキュリティに法的責任を負うことを意味する。具体的には、システム全体としてのリスクアセスメントを実施し、異なるベンダーのコンポーネントが相互に安全に連携して動作することを保証し、必要な技術文書や適合宣言書を作成する義務が生じる。  
• 新たなスキルセットの要求: この新たな責任を果たすため、システムインテグレータには、高度なサイバーセキュリティ専門知識が不可欠となる。個々の機器の設定だけでなく、ネットワークセグメンテーション、ファイアウォールによる通信制御、複数プラットフォームにまたがるID管理など、システム全体を俯瞰したセキュアな設計・構築・文書化能力が求められる 。従来のFAの知識だけでは、もはや対応は困難である。  
• サプライヤー管理の重要性: システムインテグレータは、自らが調達する全てのコンポーネントについて、その供給元ベンダーがCRAに準拠しているかを入念に確認する必要がある。各ベンダーからSBOMや脆弱性アドバイザリといったセキュリティ関連情報を収集し、それらを統合してシステム全体のリスクを管理するという、高度なサプライヤー管理能力が求められる。

5.3. 進化するコスト・ベネフィット分析

CRAへの対応は、FA業界のあらゆるプレイヤーに新たなコスト負担を強いる一方で、長期的な便益ももたらす。

• 初期投資コスト: CRA準拠のためには、セキュア開発プロセスの構築、SBOM管理ツールの導入、高リスク製品の第三者認証費用、そして関連人材の育成など、多額の先行投資が必要となる 。これらのコストは、最終的には製品価格に転嫁され、エンドユーザーの負担となる可能性がある。  
• 長期的な運用コスト: 最低5年間のサポート義務は、脆弱性監視、パッチ開発、顧客への通知といった活動を継続的に行うための運用コストを発生させる。これは、製品のライフサイクル全体にわたるコスト構造の根本的な見直しをメーカーに迫るものである 。  
• 長期的な便益と競争優位性: 一方で、CRAに準拠した企業にとっては、これが強力な競争優位性となり得る。第一に、EUという巨大市場へのアクセスが保証される。第二に、セキュリティが認証された製品は、顧客からの信頼を獲得し、ブランド価値を高める 。第三に、セキュア・バイ・デザインを徹底することは、結果として製品の品質と信頼性を向上させ、インシデント発生による損害や評判低下のリスクを低減させることにも繋がる 。  

この規制がもたらす変化は、FAメーカー、特に専門知識やリソースが限られる中小企業（SME）にとって、独力で乗り越えることが困難な課題を突きつける。この知識とリソースのギャップを埋めるため、市場には新たなサービスエコシステムが形成されつつある。PSIRTの運用代行、SBOMの自動生成・管理プラットフォーム、脆弱性診断サービス、認証取得コンサルティングなど、「CRA-as-a-Service」とも呼べる専門サービスを提供する企業の役割が、今後急速に高まるだろう。FAベンダーにとって、これらの専門サービス事業者との戦略的パートナーシップは、コンプライアンスを加速し、コストを最適化するための重要な選択肢となる。

5.4. エコシステムへの支援：中小企業向けのリソース

EUは、CRAが中小企業（SME）に与える負担を認識しており、その対応を支援するための様々なプログラムを立ち上げている 。  

• EUによる支援プログラム: SECURE、OSCRAT、CRA-AIといったプロジェクトが、EUのデジタルヨーロッパプログラムなどから資金提供を受けて実施されている。これらのプロジェクトは、CRA準拠を目指す中小企業に対し、最大3万ユーロの共同出資による資金援助、コンプライアンス作業を自動化・支援するためのオープンソースツールの提供、ガイドラインやトレーニングの提供などを目的としている 。  
• 各国の支援体制: 日本国内においては、経済産業省（METI）や独立行政法人情報処理推進機構（IPA）が、サイバーセキュリティに関する各種ガイドライン（例：「IoTセキュリティガイドライン」）を公開しており、これらはCRA対応の基礎として活用できる 。ただし、CRAに特化した直接的な支援プログラムはまだ緒に就いたばかりであり、今後の拡充が期待される。中小企業は、業界団体や公的機関が発信する情報を積極的に収集し、利用可能な支援策を最大限に活用することが重要である 。  

---

Part 6: 結論：規制負担から競争優位へ

CRAは、FA業界に広範かつ深刻な影響を及ぼす。しかし、この規制を単なる負担として捉えるか、新たな成長機会として捉えるかで、企業の未来は大きく分岐する。本章では、これまでの分析を総括し、FAメーカーがこの変革の時代を勝ち抜くための戦略的指針を提示する。

6.1. 主要な戦略的必須事項の要約

本レポートの分析から導き出される、FAメーカーが取るべき戦略的必須事項は以下の通りである。

1. CRAを経営課題として認識する: CRA対応は、技術部門だけの問題ではない。製品戦略、市場戦略、法務、サプライチェーン管理、そして経営トップを含む全社的な課題として捉え、全社横断的な推進体制を構築することが不可欠である。
2. IEC 62443を羅針盤としたセキュア開発ライフサイクル（SDL）を確立する: 整合規格の基盤となるIEC 62443、特に4-1（開発プロセス）と4-2（技術要件）への準拠は、CRA対応の最も確実かつ効率的な道筋である。これを自社の開発文化に深く根付かせる必要がある。
3. 堅牢なPSIRTと脆弱性管理プログラムを構築する: 2026年9月から義務化される24時間以内の報告義務に対応するため、脆弱性情報の収集、分析、トリアージ、修正、そして当局への報告を迅速に行えるPSIRTの機能確立は最優先課題である。
4. サプライチェーン全体のセキュリティを能動的に管理する: 自社製品だけでなく、調達するサードパーティ製コンポーネントや利用するOSSのセキュリティにも責任を負う。SBOMを活用してソフトウェアサプライチェーンを可視化し、供給元との連携を密にすることが求められる。
5. コンプライアンスを市場での差別化要因として活用する: CRA準拠、特に第三者認証の取得は、製品の信頼性と安全性を客観的に証明する強力な武器となる。これをマーケティングや営業活動で積極的に活用し、顧客の信頼を勝ち取ることで、規制を競争優位に転換する。

6.2. 長期的展望：CRAがFAの製品開発と市場力学をどう変えるか

CRAの影響は一過性のものではなく、FA業界の製品開発と市場構造を長期的に、そして不可逆的に変えていくだろう。

• ITとOTのセキュリティプラクティスの融合加速: CRAは、これまで別々に議論されがちだったITセキュリティとOTセキュリティのプラクティスを、製品レベルで強制的に融合させる。セキュアコーディング、脆弱性スキャン、パッチ管理といったITの世界では常識であった手法が、FA製品開発の標準プロセスとなる。
• 「品質への逃避」と市場の二極化: 顧客は、サイバーセキュリティのリスクを自ら抱え込むことを避け、実証され、認証されたセキュリティを持つベンダーの製品を選択するようになるだろう（”flight to quality”） 。これにより、CRAに迅速かつ的確に対応できた大手ベンダーや先進的な企業と、対応が遅れた企業との間で市場シェアの二極化が進む可能性がある。  
• ライフサイクル・ビジネスモデルへの移行: 製品開発は、販売をゴールとするモデルから、最低5年以上のサポート期間を含むライフサイクル全体を管理するモデルへと完全に移行する。これにより、継続的なセキュリティサービス（アップデート提供、脆弱性情報提供など）が新たな収益源となる可能性がある一方で、そのための継続的なコスト負担も発生する 。  
• グローバルスタンダード化: EUの規制は、GDPRがそうであったように、事実上のグローバルスタンダード（デファクトスタンダード）となる傾向が強い。CRAも例外ではなく、将来的には米国やアジア諸国でも同様の規制が導入される可能性が高く、CRAへの対応はグローバル市場で戦うための必須条件となるだろう 。  

6.3. 最終提言：義務化されたサイバーレジリエンスの時代で成功するためのポジショニング

CRAという巨大な波を乗りこなし、未来の成長へと繋げるために、特に日本のFAメーカーは以下の点を戦略的に実行することを提言する。

1. 「品質経営」の概念をサイバーセキュリティに拡張する: 日本の製造業が世界に誇る「品質」へのこだわりと、長期的な視点に立った製品開発思想は、CRAが求めるライフサイクル全体のセキュリティ保証という概念と本質的に親和性が高い。この文化的強みをサイバーセキュリティの領域にまで拡張し、「セキュアであることは高品質であることの証」として、製品開発の根幹に据えるべきである。
2. 人材への戦略的投資とパートナーシップの活用: 国内外で不足しているサイバーセキュリティ人材、特にOTセキュリティに精通した人材の育成と確保は、待ったなしの課題である。社内教育プログラムを強化すると同時に、不足する専門知識を補うため、PSIRT運用支援や認証取得コンサルティングなどを提供する外部の専門サービス事業者との戦略的パートナーシップを積極的に構築することが賢明である。
3. 透明性の高いコミュニケーションで信頼を構築する: CRAへの準拠状況、脆弱性への対応方針、製品のセキュリティ機能といった情報を、顧客やパートナーに対して積極的に、かつ透明性をもって開示していくべきである。これは、単に規制要件を満たすだけでなく、顧客が自らのリスクを管理する上で不可欠な情報を提供するという、信頼されるパートナーとしての姿勢を示すことになる。

CRAは、FA業界に厳しい要求を突きつける。しかし、それは同時に、真に安全で信頼性の高い製品を提供する企業が正当に評価される、より健全な市場への移行を促すものでもある。この変革を主導し、サイバーレジリエンスを自社のDNAに刻み込むことができた企業こそが、次世代のFA市場の覇者となるだろう。