EUに製品を出すなら、
SBOMとOSS管理は「無いと出せない」へ。
CRAは域外適用。EUに輸出する日本の組込み・IoT・ソフトウェア製品メーカーも、デジタル要素を持つ製品なら原則として対象になり得ます。対応の起点は「自社製品に何のOSSが入っているか」の棚卸し＝SBOMです。
※段階適用日は最新の一次情報をご確認ください。本ページは技術的・事実的な情報整理であり、法的助言・適法性保証ではありません。
30秒でわかるCRA
EU市場に上市する全製造者が対象。輸出する日本企業も対象になり得る。
2026年9月に報告義務が先行 → 2027年12月に全面適用（目安）。
部品表・脆弱性対応・CEマーキングが要件に。OSSの棚卸しが前提。
あなたの会社は対象かも
1つでも当てはまれば、今からの備えが安全です。
- ✓EU（欧州）に製品を出荷している・する予定がある
- ✓CEマーキング対象の製品を扱っている
- ✓組込み機器・IoT・ソフトウェア製品など「デジタル要素を持つ製品」を提供している
- ✓ネットワークに接続する製品・ファームウェアを開発している
- ✓自社製品に何のOSSが入っているか、棚卸し（SBOM）ができていない
CRAが求めること（OSS観点）
いずれも「自社製品に何のOSSが、どんな状態で入っているか」の把握が前提です。
製品に含まれるソフト部品（その多くはOSS）を把握・管理して提示できること。準備の起点です。
既知脆弱性への対処と、報告義務への対応体制。どのOSSがどの版で入っているかが前提。
設計段階からのセキュリティ配慮。使うOSSの素性・ライセンス・保守状況の把握を含みます。
要件を満たした証跡が、EU市場へ製品を出す条件に組み込まれていきます。
適用スケジュール
CRAが発効（規則 (EU) 2024/2847）。
脆弱性・重大インシデントの報告義務が先行して始まる見込み。
SBOM・適合性評価・CEマーキング等の主要義務が全面適用へ。
※日付は2026年初頭時点の整理に基づく目安です。正確な期日はEUの一次情報（eur-lex.europa.eu）でご確認ください。
OSSClear の進め方
いきなり完璧でなくてOK。棚卸しの「入口」を無料サンプルからお見せします。
依存マニフェスト/SBOMから、製品に含まれるOSSを検出・一覧化。CRA報告義務の前提となる「何が入っているか」を可視化します。
検出OSSのライセンス義務・既知脆弱性・対応の指針を1枚に。社内説明と顧問弁護士相談に使える形で。48時間・3〜8万円/件。
依存の変化・新しい脆弱性(CVE)を通知。CRAの「継続的な対応」を無理なく回す体制づくり。
よくある質問
日本企業も対象ですか？
CRAは域外適用です。EU市場に製品を「上市」する製造者は、EU域外（日本など）の企業でも、デジタル要素を持つ製品であれば原則として対象になり得ます。最終的な該当性は製品・取引形態により異なるため、一次情報と顧問弁護士でご確認ください。
OSSを使っているだけでも対象ですか？
純粋な非商用OSSの提供自体は対象外とされ、別途「OSSスチュワード」という軽量な枠組みが設けられています。一方、OSSを組み込んだ製品を商用で市場に出す企業は、通常の製造者として義務を負います。
まず何から始めれば？
「自社製品に何のOSSが、どの版で入っているか」の棚卸し（SBOM）が出発点です。OSSClearの無料サンプルレビューで、公開情報をもとに棚卸しの入口を1枚お見せします。
これは法的アドバイスですか？
いいえ。本サービスは技術的・事実的な情報整理と意思決定支援です。適法性の保証や法的助言ではなく、最終的な法的判断は貴社の顧問弁護士にご相談いただく前提です。
CRA向け 無料サンプルを依頼
公開情報をもとに、OSS棚卸しの入口を1枚お作りします。やり取りはメールで完結します。
お預かりする情報の扱いは 守秘・データ取扱い方針 をご覧ください（NDA対応可）。
フォームが使えない場合は support@ossclear.jp まで直接メールください。
本サービスはOSSのライセンス・リスクに関する技術的・事実的な情報整理および意思決定の支援を提供するものであり、法律事務所による法的助言ではありません。特定の利用形態における適法性・無リスクを保証するものではなく、ライセンス解釈・法的責任に関する最終的な判断は貴社の顧問弁護士等の有資格者にご確認いただく前提です。