このモデルについて
EUサイバーレジリエンス法(CRA)は、EU市場に投入される「デジタル要素を持つ製品」に新たなサイバーセキュリティ要求事項を課す規則です。2027年12月に本格適用が始まると、製造者・輸入者・流通事業者には、製品ライフサイクル全体を通じたサイバーセキュリティ要求事項への対応が求められます。ソフトウェアとハードウェアを最初からセキュアに設計し、脆弱性をきちんと管理し、必要なセキュリティアップデートを継続的に提供できるようにすることを要求されています。
本モデルは、自社のサイバーレジリエンスを体系的に評価し、強化していけるようENISAが開発したものです。多くの企業には専任のセキュリティチームがなく、担当者が複数の役割を兼ねている — そうした実情を踏まえ、理論書ではなく実務でそのまま使える、シンプルで実践的なつくりになっています。主な対象はデジタル要素を持つ製品の製造者・輸入者・流通事業者ですが、インテグレーターやサービスプロバイダーなど製品ライフサイクルに関わる組織はもちろん、規模を問わず、製品セキュリティを見直す枠組みとして幅広くお使いいただけます。
モデルの構成 — 5つのドメイン
本モデルは、CRAのサイバーセキュリティ要求事項がカバーする主要領域を5つのドメインに整理しています。各ドメインには5つの評価基準があり、それぞれをレベル1〜5で採点します。個別の技術的対策だけに注目するのではなく、製品ライフサイクル全体を通じた包括的なアプローチを支える構成です。
成熟度レベル(1〜5)と3つの段階
各設問はレベル1(未実施・場当たり的)からレベル5(統制され継続的に改善)までの5段階で採点します。文書化されているかどうかだけでなく、実際にどう運用されているかに基づく、証跡ベースの判断が原則です。
25問すべての回答から、ドメイン別スコアと全体スコア(1.0〜5.0)を算出し、組織の成熟度レベルを次の3つに分類します。
- 低(1.0–2.5): 取り組みは非公式・場当たり的で、多くが事後対応。早急な対応が必要な段階。CRAとの関係では、要求事項を認識し、対応の第一歩を踏み出した状態です。
- 中(2.6–3.9): 一部のプロセスは文書化されているものの、運用に一貫性がない段階。CRAへの整合は進みつつあるが、まだ一貫して適用されていない状態です。
- 高(4.0–5.0): プロセスが公式化・定着し、能動的に管理され、継続的に改善されている段階。体系的で一貫性のある、測定可能なプロセスに支えられています。
「セルフチェック」タブで回答を進めると、ここに結果が表示されます。
CRA条文とのマッピング
以下は、本モデルの5つの評価ドメインが、CRA(規則(EU) 2024/2847)のどの条文・義務に対応するかを整理した参考マッピングです。
| ドメイン | 主なCRA条文 | 関連する義務の内容 |
|---|---|---|
| ガバナンスと文書化 | 第13条(製造者の義務) 第31条・附属書VII(技術文書) 第32条(適合性評価手続) |
必須要求事項への適合を示す技術文書の作成・維持、適合性評価の実施、市場投入後10年間(またはサポート期間)の文書保存。ガバナンス自体は独立した要求事項ではなく、これらの義務の履行を支える組織能力。 |
| リスク管理とセキュリティ・バイ・デザイン/デフォルト | 第13条(2)〜(4)(リスク評価) 附属書I 第I部(必須要求事項) |
サイバーセキュリティリスク評価の実施・文書化・更新と、その結果の設計・開発・生産への反映。リスクに応じたセキュアな設計、セキュアな初期設定、アクセス制御・データ保護などの実装。 |
| 脆弱性・パッチ管理 | 第13条 第14条(報告義務) 附属書I 第II部(脆弱性処理) |
SBOMの作成を含む脆弱性の特定・文書化、遅滞ない修正・セキュリティアップデートの無償提供、協調的脆弱性開示ポリシーの整備。悪用された脆弱性・重大インシデントのENISA・CSIRTへの報告(24時間以内の早期警告など)。 |
| 製品ライフサイクル | 第13条(8)(サポート期間) 附属書I 第II部 附属書II(ユーザー向け情報) |
サポート期間の設定(原則、想定使用期間を反映し最低5年)とその間のセキュリティアップデート提供。サポート期間・アップデート入手方法・サポート終了時期などのユーザーへの明確な情報提供。 |
| 意識・力量・スキル | (直接対応する条文なし) | CRAに独立した要求事項としては規定されていないが、第13条の義務履行と附属書I要求事項の実装・維持を支える組織能力に当たる。 |
改善チェックリスト — セルフチェックの後にやること
セルフチェックでスコアと成熟度プロファイルを確認したら、自分のプロファイルに対応するチェックリストを使って、次に取り組むアクションのロードマップを作りましょう。すべてを一度にやり切る必要はありません。重要な項目から始めて、一歩ずつ積み上げていけば十分です。各アクションは、組織の規模・リソース・製品の複雑さに応じて、無理のない範囲で取り入れてください。
進め方
規模に応じた適用(プロポーショナリティ)
本チェックリストのアクションは、組織の規模、製品の種類、関連するリスクに見合った形で適用してください。マイクロ企業(小規模企業)の場合、製品セキュリティを一貫性・追跡可能性・適時性をもって管理できるのであれば、より簡易なアプローチで十分なことがあります。例えば — セキュリティ課題の追跡・優先順位付け・フォローアップができる軽量なツールやプロセスを使う、最も重要なリスクとコンポーネントに集中する、社内リソースが限られる場合は外部の専門知識を活用する、といった方法です。目的はリスクレベルに見合わない複雑な仕組みを作ることではなく、適切なレベルのセキュリティと管理を実現することです。
すべての成熟度レベルに共通する継続的改善
現在の成熟度レベルにかかわらず、次の4点を習慣にしてください。