EUで「24時間以内の報告」義務化、仮想通貨ウォレットも対象か

欧州連合（EU）のサイバーレジリエンス法（CRA）に基づく報告義務が、2026年9月11日に発効しました。商用のハードウェアウォレットやウォレットソフトが製品要件に該当する場合、製造者は悪用が確認された脆弱性や重大なセキュリティ事案を把握してから24時間以内に、サイバー当局へ警告を出す必要があります。

CRAはデジタル要素を持つ製品を広く対象とする横断的な製品法です。EU市場で提供されるハードウェアとソフトウェアに適用され、意図された用途や合理的に予見される用途に機器やネットワークへの直接・間接の接続が含まれることが要件となります。ただしガイダンスはウォレットの銘柄を名指ししておらず、対象かどうかは製品ごとの提供形態や除外規定によります。

報告は3段階です。24時間以内の早期警告に続き、72時間以内により詳しい通知を提出します。脆弱性の場合は是正・緩和措置が利用可能になってから14日以内、重大事案の場合は72時間通知から1カ月以内に最終報告が求められます。提出はEUサイバーセキュリティ機関ENISAが設けた単一報告プラットフォームを通じて行います。

この義務は2027年12月11日より前に市場へ出た製品にも及びます。オープンソースであることは一律の免除にはならず、商用として提供される場合は製造者の義務が生じ得ます。

製品セキュリティの中核要件とオープンソース管理団体の報告義務は2027年12月11日開始で、今回は迅速報告の部分が先行する形になります。

記事ソース：資料