世界的なサイバー攻撃の増加を受け、EU（欧州連合）は欧州サイバーレジリエンス法案を策定し、2024年施行が予定されています。あらゆるデジタル機器に対し、製品の安全を確保しなければならなくなるため、日本企業にも影響があると見られています。今から調べて対策を講じておきましょう。

デジタル機器とそのリスク

テクノロジーが進化し、さまざまな場面でデジタル機器を使うようになり、また、あらゆる物がインターネットにつながるようになりました。便利になった反面、デジタル機器を狙ったサイバー攻撃は加速度的に増加。EU内でのサイバー攻撃の対策費用は1年に5.5兆ユーロにも及ぶと推定されています。

そこで、各国はデジタル機器やネットワークにつながるスマート家電などのセキュリティを確保するための取り組みを強化しています。欧州サイバーレジリエンス法案もそのような流れの中で新たに制定されるものです。

欧州サイバーレジリエンス法の概要は？

サイバー攻撃が多大な影響を与えて巨額の損失が出ているため、いまは国ごとではなく、国境を越えた施策が必須です。欧州サイバーレジリエンス法は、すべての「デジタル要素を備えた製品」が対象となり、サイバーセキュリティの欠陥が無いようにメーカーや開発者に求めるものです。

デジタル要素を備えた製品は3つのクラスに分類され、それぞれのクラスに応じた対応を義務付けられます。

クラスⅠ
クラスⅠ（低リスク）の製品は、ID管理システム、スタンドアロン型デバイス、マルウェア検知・削除・隔離ソフト、VPN機能を持つ機器、ネットワーク管理システム、リモートアクセスツール、SIEM（セキュリティ情報イベント管理）など、セキュリティ対策に用いられる製品などが主なものになっています。

このクラスⅠの製品は、第三者認証（型式認証）または第三者認証（全数検査）を受ける必要があります。EUCC（European Union Cybersecurity Certification）またはEN規格（欧州整合化規格）を取得済みの場合は、上記の認証は不要となります。

クラスⅡ
クラスⅡ（高リスク）の製品は、サーバー、デスクトップ、モバイル機器用のOS、産業用ファイアウォール、汎用マイクロプロセッサー、スマートメーター、一部の産業用IoT機器、などとなっています。

サイバー攻撃を受けた場合、重大なインシデントにつながりかねないものと考えられます。このクラスⅡでは、第三者認証（型式認証）または第三者認証（全数検査）が必須です。

クラスⅠ、Ⅱに該当しないデジタル製品
クラスⅠ、Ⅱに該当しないものは「重要なデジタル製品」以外というくくりになっています。重要なデジタル製品以外に属するものは、第三者認証（型式認証）または第三者認証（全数検査）にくわえ、自己適合宣言の3種からの選択で構いません。

なお、デジタル機器すべてと言っても、以下のものに関しては除外になっています。

・医療機器規則、体外診断用医療機器規則、民間航空機規則、自動車の型式承認規則の対象製品。
・国家安全保障に関するデジタル製品や軍事目的・機密情報処理目的のもの。
・SaaSなどのソフトウェアサービス、研究開発目的のOSSなど。

製造業者は、上記の認証を受ける以外に、以下のようなことを遵守する必要があります。

・セキュリティ特性要件の遵守。
・サイバーセキュリティ上のリスクアセスメントを実施し、その結果を設計・開発・製造・配送・メンテナンスの際に考慮。
・市場に出したのち5年間または製品寿命のうち短い期間、脆弱性に効果的に対処。
・セキュリティリスクの文書化（ソフトウェアを「ソフトウェア部品構成表（SBOM：Software Bill of Materials）」で管理するため、企業に負担が増えると見られています）。

……など。

なおかつ、もし脆弱性を発見した場合は24時間以内にENISA（The European Union Agency for Cybersecurity）や、各国のCSIRT（Computer Security Incident Response Team）に通知しなければなりません。

違反した企業は、1,500万ユーロまたはグローバルの売り上げの2.5％のいずれか高い方を科される場合があります。

日本への影響

EU内での規制なので、直接的な影響は受けない企業も多いかもしれませんが、日本を含む他国でもこれに準じた規制ができる可能性もありますし、EUサイバーレジリエンス法はじめとする規制は抑えておいたほうがいいでしょう。

現在のところ、EUサイバーレジリエンス法は2024年に成立し、2025年から段階的に規制が始まると言われていますが、まだはっきりしたタイムラインは不明です。また、規制が厳しすぎるとの批判から、内容が一部修正される可能性もありますので、情報は常にアップデートしていきましょう。

まとめ

・欧州サイバーレジリエンス法案は2024年施行予定
・原則としてすべてのデジタル機器が対象になる
・法案内容は、施行までにアップデートされる可能性も