JC-STARとEUのCRA、比較が本格化 欧州へ輸出する企業に関係

何が公表されたのか

経済産業省と情報処理推進機構（IPA）は2026年11月4日、JC-STAR と EU サイバーレジリエンス法（CRA）の比較を本格化すると発表しました。JC-STAR はルーターやネットワークカメラなどの IoT 製品のセキュリティ要件への適合を評価し、ラベルで示す日本の制度です。経産省が2024年8月に制度の構築方針を公表し、IPA が2025年3月に運用を始めました。CRA はデジタルの要素を持つ製品に対する EU の法律です。

10月26日に在欧日系ビジネス協議会（JBCE）と、EU の資金を受ける StandICT.eu の事務局が協力覚書に署名しました。両者が運営に関わる技術作業部会に経産省と IPA も参加し、両制度の仕組みと具体的な要件を比べて、共通点と相違点を整理します。作業部会はこれまでに、2025年11月10日、2026年1月27日、6月9日、9月14日の計4回開かれています。

EU では報告義務が始まっている

CRA は2024年12月に発効し、2026年9月11日からは製造者に報告の義務がかかっています。対象は、実際に悪用されている脆弱性と、製品のセキュリティに影響する重大なインシデントです。

期限は段階に分かれています。製造者が知ってから24時間以内に早期警告を、72時間以内に通知を出します。最終報告は、悪用された脆弱性なら修正などの対策が使えるようになってから14日以内、重大なインシデントなら72時間の通知から1か月以内です。

報告は、EU のサイバーセキュリティ機関である ENISA が設けた単一の窓口（報告プラットフォーム）に1回出せば足ります。製造者が主な拠点を置く国の CSIRT（コンピューターの事故に対応する機関）に届き、ENISA にも原則として同時に共有されます。最初に受け取った CSIRT は、その製品が提供されている EU 内の他の国の CSIRT にも、遅れなく知らせます。欧州委員会のページに、重大なインシデントの定義や免除の規定は載っていません。ガイダンスと FAQ の参照が案内されています。

製品に対する主な要件は2027年12月から適用される予定です。同じ2027年12月11日には、オープンソースソフトウェアの管理者にも報告義務が適用されます。

日本企業への意味

経産省と IPA は、比較によって日本企業が国内外の制度に対応しやすくなることを期待しています。今回の発表は比較の作業についてのもので、EU との相互承認を決めたものではありません。各地域が法律を決める立場は尊重するとしていて、制度の統一や法的な同等性を決める作業ではありません。JC-STAR は2026年1月に英国の PSTI 法と、6月にシンガポールの CLS と相互承認を始めています。

EU に製品を売る会社にとっては、比較の結果を待たずに、報告の義務がすでに動いている点が実務に響きます。製品に通信機能があるか、EU 向けの出荷や代理店経由の販売があるかを確かめ、悪用された脆弱性を知った時点から24時間のうちに誰が判断し、どこへ報告するのかを、夜間や休日も含めて決めておく必要があります。