当機構は、欧州サイバーレジリエンス法（Cyber Resilience Act: CRA, Regulation (EU) 2024/2847）への対応を支援するため、製品サイバーセキュリティ・リスクアセスメントおよび脅威分析の実務的な理解促進を目的とした支援サービスを開始します。

CRAでは、EU市場で利用可能とされる「デジタル要素を有する製品」に対し、設計・開発・製造から上市後の脆弱性対応まで、製品ライフサイクル全体を通じたサイバーセキュリティ対応が求められます。CRAは2024年12月10日に発効し、主要な要求事項は2027年12月11日から適用されます。

CRAへの対応においては、規格要求事項を確認するだけでなく、製品の運用環境、保護すべき資産、データフロー、信頼境界、想定される脅威、攻撃経路、リスクレベルおよびリスク対応を一連の流れとして整理し、製品開発プロセスの中で継続的に管理できる体制を構築することが重要です。

本支援サービスでは、お客さまの製品を題材としたワークショップを交えながら、運用環境の整理、資産の特定、脅威の抽出、攻撃経路の分析、リスク評価およびリスク対応まで、製品サイバーセキュリティ・リスクアセスメントの基本的な考え方と実務上の分析プロセスの習得を支援します。

対象規格案

prEN 40000-1-2
Cybersecurity requirements for products with digital elements – Part 1-2
（デジタル要素を有する製品のサイバーセキュリティ要求事項－第1-2部）

本支援サービスは、欧州規格案prEN 40000-1-2で示されている一般的なサイバーセキュリティ原則およびリスクマネジメント活動を踏まえ、脅威分析および製品サイバーセキュリティ・リスクアセスメントに関する共通理解の形成を支援するものです。
なお、prEN 40000-1-2は現時点では規格案であり、正式なEN規格として発行されたものではありません。

支援サービスの主な内容

対象製品およびお客さまのご要望に応じて、主に以下の内容を取り扱います。

※対象製品、お客さまのご要望および実施条件に応じて内容を変更する場合があります。

本サービスをご活用いただくメリット

対象となるお客さま

本サービスは、以下のような製造者の皆さまにご活用いただけます。

• EU市場にハードウェア、ソフトウェア、組込み機器、IoT機器、産業機器、ネットワーク機器等を上市している、または上市を予定している製造者
• CRA対応に向け、製品の脅威分析やサイバーセキュリティ・リスクアセスメントに着手したい製造者
• 脅威分析およびリスク評価に関する社内教育を実施したい製造者
• 開発、設計、品質保証、法規制対応、コンプライアンス、セキュリティ等の関係部門間で共通認識を形成したい製造者
• セキュア開発ライフサイクルに脅威分析やリスクアセスメントを組み込みたい製造者
• CRA対応に必要となる技術文書や製品セキュリティ関連文書の整備を進めたい製造者

留意事項

• 本支援サービスは、脅威分析および製品サイバーセキュリティ・リスクアセスメントの手法の理解ならびに実践演習を目的とするものであり、お客さまの製品に対する正式な脅威分析、リスクアセスメント、認証または適合性評価を実施するものではありません。
• prEN 40000-1-2は現時点では規格案であり、正式なEN規格として発行されたものではありません。正式発行までに、規格番号、名称、要求事項その他の内容が変更される可能性があります。
• CRA上の法的な「適合性の推定」は、該当する整合規格またはその一部の参照がEU官報に公表された場合に、その対象範囲について認められます。本支援サービスは、法的助言またはCRAへの適合性を保証するものではありません。
• 支援サービス内容、実施時期、費用およびその他の条件は、対象製品やお客さまのご要望等を確認したうえで、個別にご案内します。
• 内容によっては、提携機関であるTÜV NORD CERT GmbHとの協業により対応します。
• 本支援サービスは、海外提携機関との協業により実施する場合があります。海外提携機関の状況その他の事情により、実施条件を変更する、または本支援サービスの提供を終了する場合があります。