2024年12月に発効されたEUサイバーレジリエンス法(CRA*1)。PCやスマートフォンにとどまらず、IoT機器や産業用制御システム、そこに組み込まれるソフトウェアなど、デジタル要素を含む幅広い製品に対し、ライフサイクル全体での厳格なセキュリティ要件を定める法律だ。
*1 Cyber Resilience Act

2027年12月の全面適用に先駆け、いよいよ2026年9月には脆弱性・インシデントの報告義務が適用開始となる。タイムリミットまで残りわずか数カ月となるなか、「自社での対応が行き詰まっている」「どこから手をつけるべきかわからない」と焦りを感じている企業は少なくない。

本稿では、製造業を中心に数多くの企業でCRA対応を支援してきた日立ソリューションズの専門家3名にインタビューを実施。現場のリアルな課題と、それを解決する「サイバーレジリエンス法対応支援コンサルティング」および「脆弱性調査支援サービス」のアプローチについて話を伺った。

  • （写真）日立ソリューションズのみなさま

    （左から）
    日立ソリューションズ セキュリティプロダクト本部 セキュリティプロダクト第１部 セキュリティスペシャリスト 藤本稔氏、日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 セキュリティコンサルタント 鈴木則夫氏、日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 担当部長 熊谷仁志氏

適用まで残りわずか。2026年9月からの報告義務で見落としがちな罠

CRA対応というと、2027年12月の全面適用やCEマーク*2取得に向けた要件に目が向きがちだが、直近で企業に重くのしかかるのが2026年9月に始まる脆弱性・インシデントの報告義務だ。この報告義務について、熊谷氏は「今すでにEU市場に存在している製品も対象になる点が見落とされがちです」と指摘する。
*2 Conformité Européenneマーク：EUの基準に適合していることを示すマーク

万が一、製品において悪用された脆弱性や重大なインシデントが発覚した場合、24時間以内の初期報告および72時間以内の詳細報告といった短いタイムラインで、ENISA *3や指定されたCSIRT *4への通報が求められる。
*3 European Union Agency for Cybersecurity：欧州サイバーセキュリティ機関
*4 Computer Security Incident Response Team：セキュリティインシデント対応チーム

適切な対応を怠った場合、違反の内容によっては最大で1500万ユーロ、または全世界年間売上高の2.5%のいずれか高いほうを上限とする、非常に重い制裁金が科される可能性がある。しかし、鈴木氏は制裁金以上にビジネスへの影響を懸念する。

「条文にはEUでの販売禁止やリコールの可能性も明記されています。ブランドの毀損だけでなく、ビジネスそのものが停止してしまう恐れがあるのです。また、『セキュリティを担保していない企業の製品は買えない』と見なされ、市場から排除されるリスクも考えられます」(鈴木氏)

現在の日本企業の対応状況について尋ねると、熊谷氏は「企業によって対応状況に大きな差がある状態です」と答える。

「すでに一度自社で対応を試みたものの、『うまくいかない』『何かが足りない』と壁にぶつかって試行錯誤している企業もあれば、これからようやく手をつけるという企業もあり、進捗にはかなりの幅があります」(熊谷氏)

  • （写真）日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 セキュリティコンサルタント担当部長 熊谷仁志氏 の写真

    日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 担当部長 熊谷仁志氏

企業の規模にかかわらず感度の高い企業はすでに動き始めている。なかでも鈴木氏が言及したのが、産業用機器や製造用機械などの機械メーカーだ。2027年1月に適用される欧州機械規則(MR*5)でもセキュリティ要件への対応が迫られており、CRAとあわせて高い危機感を持っているという。
*5 Machinery Regulation

ガバナンス、SBOM、人財——自社対応に立ちはだかる3つの壁

いざ対応を進めようとしても、多くの企業が自社での対応（内製化）の壁に直面している。

その1つ目が、社内のガバナンス整備や部門間調整の難しさだ。「PSIRT*6を立ち上げようとしても、セキュリティをコストと捉える経営層と、品質や機能安全の確保で手一杯な開発現場との板挟みになってしまうケースが非常に多いです」と熊谷氏は話す。
*6 Product Security Incident Response Team：製品セキュリティインシデント対応チーム

2つ目は、SBOM*7運用の壁だ。SBOMツールを導入したものの、「リスト化はできたが、そこから脆弱性をどう管理・対応すればよいかわからない」と、運用フェーズで手が止まってしまう企業も少なくないという。
*7 Software Bill of Materials：ソフトウェア部品表

「やってみて初めてわかることも多く、先進的に取り組んでいるお客さまほど、理想どおりにはいかないことに気づかれています」(熊谷氏)

CRA自体も、製品が要求事項に適合しているかを評価する際の拠り所となる整合規格が策定途上にある。多くの企業がSBOMを含む最適な対応プロセスを手探りで見つけている段階だ。

そして、深刻な壁となるのが、リソースの不足だ。

「特に製造業の開発現場では、ITやサイバーセキュリティの専門知識を持つ人財が極めて限られていると思われます。既存の製品開発で手一杯であり、日々の脆弱性調査にまでリソースを割けないのが実情です」(鈴木氏)

自社で何とか対応しようとした結果、時間だけが過ぎてしまい、慌てて外部のコンサルティングを依頼するケースも後を絶たないという。専門知識を持たないまま内製化にこだわるのは、法令対応という失敗が許されない状況下ではリスクの高いアプローチといえる。

現場に寄り添い、確実なプロセスを構築するコンサルティング

こうした課題を解決する手段として日立ソリューションズが提供しているのが、「サイバーレジリエンス法対応支援コンサルティング」だ。

具体的な支援ステップとして、まずは企業の現状とCRA要件とのギャップ分析を実施し、不足している要素を洗い出して対応計画を策定する。その後、製品の企画・設計段階からセキュリティを組み込むセキュアな開発プロセスの構築と、インシデント発生時に迅速に対応するためのPSIRTの立ち上げという両輪で体制作りを進めていく。

  • （図版）「サイバーレジリエンス法対応支援コンサルティング」のプロセス策定から現場運用までのイメージ図

    「サイバーレジリエンス法対応支援コンサルティング」のプロセス策定から現場運用まで

鈴木氏によると、同社の最大の強みはツールベンダー・システムインテグレーター（SIer）としての知見と現場の実情に合わせたプロセス構築にあるという。

「マニュアルだけを納品するコンサルティングサービスもありますが、私たちはお客さまがすでに保有している開発プロセスや手順書に追加する形で、現場に合った現実的なルールを作ります。また、プロセス構築だけでなく、必要に応じてSBOMツールやテストツールなどの具体的な解決策もワンストップでご提案できるのが強みです」(鈴木氏)

熊谷氏も、「私たちのチームは開発経験やセキュリティ技術のバックボーンを持つメンバーで構成されています。現場のエンジニアが何に困っているかを深く理解しているため、理想論を押し付けるのではなく、現場で実際に回る運用を一緒に構築し、最後まで伴走できる点を高く評価していただいています」と語る。

通常、ゼロからPSIRTを立ち上げて体制を構築するには6カ月程度かかる。しかし、目前に迫る9月からの報告義務に向けて、今からでも間に合わせるアプローチがあると鈴木氏は説明する*8。
*8 2026年6月時点

「今からのスタートアップであれば、当社が用意している脆弱性ハンドリングプロセスのひな形を活用し、まずは最低限のルールと人員でスモールスタートを切るアプローチをご提案しています。この方法であれば、今からでも9月の報告義務開始に間に合わせることが可能です」(鈴木氏)

  • （写真）日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 セキュリティコンサルタント 鈴木則夫氏の写真

    日立ソリューションズ セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 セキュリティコンサルタント 鈴木則夫氏

製造業を中心に支援。CRA対応を成功に導く企業の共通点

こうした現場に寄り添うアプローチにより、同社のコンサルティングはすでに多くの支持を集めている。

「産業用機器や製造用機械などの機械メーカーをはじめ、情報通信機器、半導体・電子部品、総合電機など幅広くご支援しています。問い合わせの窓口としては、製品全体の品質を担う品質保証部門が最も多く、次いでセキュリティ推進部門や設計部門が旗振り役となるケースが見られます」(鈴木氏)

数あるコンサルティングサービスのなかで同社が選ばれる理由には、SIerとしての実践的なノウハウに加え、手頃なコスト感と確かな品質を両立できる点などがある。

では、実際に導入してスムーズに法対応が進む企業にはどのような特徴があるのだろうか。

「外部に丸投げするのではなく、自社の課題として捉え、自ら構築チームを立ち上げている企業は非常にスムーズです。しっかりと社内リソースを確保し、『自社に定着させるためにはどうすべきか』と主体的に動ける企業は、対応の完了も早いですね」(鈴木氏)

CRA対応は、品質保証だけでなく設計、製造、営業、調達など多岐にわたる部門を巻き込む必要がある。外部の知見をうまく活用しながらも、自らが主体となって社内調整を進めることが、成功の条件と言えそうだ。

「24時間以内の報告」を可能にする、脆弱性調査の強力な武器

体制構築とあわせて注目したいのが、日立ソリューションズが提供する「脆弱性調査支援サービス」だ。CRAにおける報告義務のなかでも、特に企業を悩ませるのがOSS*9の脆弱性対応である。
*9 Open Source Software

「OSSの脆弱性は1日に100〜200件ほど報告されます。その膨大な情報のなかから、内容を正確に理解し、自社の製品に影響があるかを調べ、24時間以内にトリアージして報告する。これをセキュリティの専門家ではない現場の担当者が行うのは、現実的に難しいと思われます」と藤本氏は指摘する。

ここで、Webサービスで提供される脆弱性調査支援サービスの威力が発揮される。最大の特長は、同社がこれまでセキュリティ製品の開発経験や大手製造業へのプロダクトセキュリティコンサルティングで培ってきた専門知識とノウハウが生成AIに組み込まれている点にある。

「単に世の中の脆弱性情報を翻訳して提示するだけではありません。『脆弱性が製品に及ぼす影響』や 『製品がどういう条件を満たしていれば脆弱性が影響しないと言えるのか』をAIが専門家の視点で自動分析し、わかりやすい調査レポートとして出力します」と藤本氏はその機能について説明する。

  • （図版）「脆弱性調査支援サービス」の出力レポートイメージ図

    「脆弱性調査支援サービス」の出力レポート

「脆弱性の影響の有無がすぐにわかれば、『これは自社の製品では顕在化しないから、次回の定期パッチでまとめて対応しよう』といった計画的なリソース配分が可能になります。また、ツールの提供だけでなく、影響判定に関するQ&Aや一次判定、脆弱性対策業務の立ち上げなど専門エンジニアによる支援を行うことも可能です。自社で抱え込まずに調査の一部をアウトソースすることで、現場は本来の事業である製品開発に集中できるようになります」(藤本氏)

コンサルティングによるプロセス・体制作りと、脆弱性調査支援サービスによる実務の圧倒的な効率化。この両輪を組み合わせることで、企業はコンプライアンス要件を満たしつつ、対応にかかるトータルコストを大幅に抑えることができる。

セキュリティを「足かせ」ではなく、「製品の価値」に

EUサイバーレジリエンス法の一部適用が目前に迫るなか、企業はどうしても適用開始までに間に合わせることに気を取られがちだ。しかし、熊谷氏は「焦って表面的な対応をしても上手くいきません」と釘を刺す。

「まずは自社の現状を正しく把握し、優先度をつけることが大切です。9月からの報告義務はあくまで通過点です。そこを乗り越えたうえで、2027年の全面適用に向けた自社にとっての優先課題を整理し、落ち着いて対応を進めていただきたいです」(熊谷氏)

落ち着いた対応を実現するためには、すべてを自社で抱え込む自前主義からの脱却が鍵となる。藤本氏は、専門家や外部サービスを賢く活用するステップを推奨する。

「これまで、製品セキュリティの運用をアウトソースするという発想がなかった企業も多いと思います。しかし、自社だけで抱え込んでタイムオーバーになってしまう前に、専門家や便利なサービスを活用して壁を乗り越えてほしいと考えています。その選択肢のひとつとして、私たちと一緒に立ち上げ、徐々にノウハウを吸収して自社でできることを増やしていくアプローチをおすすめします」(藤本氏)

  • （写真）日立ソリューションズ セキュリティプロダクト本部 セキュリティプロダクト第１部 セキュリティスペシャリスト 藤本稔氏の写真

    日立ソリューションズ セキュリティプロダクト本部 セキュリティプロダクト第１部 セキュリティスペシャリスト 藤本稔氏

そして、CRA対応は決して単なる法規制への準拠にとどまらない。鈴木氏は、この大きな波をビジネスにおけるポジティブな転換点として捉えるべきだと強調する。

「CRA対応を『制裁があるからやらなければならない』という後ろ向きな義務としてではなく、セキュリティ品質を確保し、よりよい製品を世に出すための取り組みだと捉えてみてください。CRAの考え方は、今後間違いなくグローバルスタンダードになっていきます。これを機に、世界で通用するセキュアな開発体制を築いていただきたいですね」(鈴木氏)

最初から完璧をめざす必要はない。まずは専門家に頼りながら立ち上げ、徐々に理解を深めて自社にノウハウを蓄積していく。CRA対応は、そうした段階的なアプローチが確実だ。日立ソリューションズでは、コンサルティングだけでなく、手順書づくりやQ&A対応といった部分的な支援にも柔軟に対応しており、企業の課題やコスト感に応じた幅広い提案が可能だという。

CRAへの対応は、単なる法令遵守にとどまらない。製品のセキュリティ品質を高め、グローバル市場での競争力を強化する――その第一歩として、まずは専門家に相談してみてはいかがだろうか。

関連リンク

[PR]提供：日立ソリューションズ