「EU CRA はいつから対応が必要なのか？」——よく受けるご質問です。CRA（Cyber Resilience Act＝サイバーレジリエンス法、規則 (EU) 2024/2847）は段階的に適用されます。日付を押さえ、逆算して動くのが安全です。

適用スケジュール（3つの節目）

時期何が起きるか
2024年12月10日CRA 発効
2026年9月11日脆弱性・重大インシデントの報告義務が先行して適用
2027年12月11日主要義務が全面適用（SBOM・適合性評価・CEマーキング・技術文書 等）

上記はEUの一次情報（EUR-Lex 規則 (EU) 2024/2847・欧州委員会のCRAページ）に基づく日付です。正確な適用範囲・例外は一次情報と専門家でご確認ください。

「2027年だからまだ先」と考えがちですが、準備（自社製品のOSS棚卸し＝SBOM整備）には数か月〜年単位かかります。報告義務は2026年9月に始まるため、実務上は「今から」が現実的です。

なぜ日本企業に関係するのか（域外適用）

CRAは「EU市場に製品を上市する者」に適用される域外適用の規制です。EUに製品を出荷する日本の組込み機器・IoT・ソフトウェア製品メーカーも、デジタル要素を持つ製品であれば原則として対象になり得ます。

さらに、EU向けに出荷する大手から、サプライヤーである中小に「SBOM提出」「準拠の証明」を求める流れ（サプライヤ・カスケード）が想定されます。直接EUに出していなくても、取引先経由で要求が降りてくるわけです。

やることカレンダー（逆算）

いま〜2026年前半：棚卸しの土台づくり

  1. 対象製品ごとのOSS棚卸し（依存関係の把握）
  2. SBOM生成の仕組み（SPDX / CycloneDX）を試す
  3. 含まれるOSSのライセンスと既知脆弱性を点検

2026年9月まで：報告体制 4. 脆弱性が出たときの対応・報告フローを決める（誰が・どこへ）

2027年12月まで：適合の作り込み 5. セキュア・バイ・デザイン、技術文書、適合性評価、CEマーキングの準備

最初の一歩は必ず**「自社製品に何のOSSが、どのライセンス・どの版で入っているか」の可視化（SBOM）**です。ここが無いと、脆弱性対応も報告も適合も組み立てられません。

詳しくは EU CRAのSBOM要件とは（何を・どの形式で用意するか） もあわせてご覧ください。

まとめ

  • CRAは**2026年9月（報告義務）→ 2027年12月（全面適用）**の段階適用。
  • 域外適用でEUに出す日本メーカー、そのサプライヤの中小も対象になり得る。
  • 準備は時間がかかる。今からSBOM＝OSS棚卸しを始めるのが安全。

→ 対象チェック・進め方は EU CRA対応ページ にまとめています。自社製品での無料サンプル（OSS棚卸しの入口）もこちらからご依頼いただけます。