【iThome 報道】CRA 施行迫る！Secure Vectors Surveillance が Applus+ と提携、EN 18031・CRA のワンストップ試験体制を台湾に構築

iThome 報道

コネクテッド機器が世界的に急増するなか、セキュリティは運用上の課題から製品の市場投入要件へと格上げされました。EU「サイバーレジリエンス法（CRA）」は 2024 年 12 月に発効し、無線機器指令（RED）改正とともに、デジタル要素を持つ製品（Products with Digital Elements, PDEs）の輸出ルールを書き換えつつあります。これは単なる規格の更新ではなく、産業のコンプライアンス対応力が問われる変革です。セキュリティは信頼の基盤となり、グローバルなセキュリティコンプライアンスを継続的に管理できるメーカーだけが厳しい環境で生き残れます。

こうした背景のもと、Secure Vectors Surveillance Inc.（安律国際グループ、以下 SV Surveillance）は、世界有数の試験・検査・認証（TIC）機関である Applus+ Laboratories と提携契約を締結し、アライアンスパートナー兼公認セキュリティラボとなりました。目指すのは「ローカル試験×グローバル認証」のコンプライアンスチェーンです。

SV Surveillance は安律国際（Secure Vectors Information Technologies Inc.）の子会社です。安律国際は 2010 年より決済セキュリティ認証と PCI DSS コンプライアンスに特化し、数少ない ISO 17025 認定セキュリティラボを運営。EU EN 18031 全シリーズ（ネットワークレジリエンス、プライバシー、不正防止）の試験を台湾で完結でき、IoT・医療機器の試験にも対応します。Applus+ Laboratories は 1907 年設立の LAGI 研究所を前身とし、バルセロナに本社を置き、従業員 30,000 名超、サービス提供国は 65 カ国以上。MDR のダブルノーティファイボディ（NB 2764 & NB 3121）を保有し、20 年以上の Common Criteria 試験実績を持ち、CRA ノーティファイボディ資格も申請中です。両社の提携は、2025 年 8 月から義務化された EN 18031 試験、FDA・MDR 認証、そして 2027 年 12 月に全面適用される CRA への対応を主眼とし、台湾メーカーの近場試験と欧米規格への接続を支援します。

CRA が輸出ルールを書き換え、サプライチェーンのコンプライアンス課題が拡大

Applus+ Laboratories 中国地区ゼネラルマネージャーの Josep Prat 氏は、CRA が「デジタル要素を持つ製品（PDE）」を対象とする世界初の強制法であると指摘します。製品の意図された用途または合理的に予見可能な用途に、他の機器やネットワークとの直接・間接の論理的・物理的データ接続が含まれれば規制対象となり、ファームウェアやマイクロプロセッサ、ソフトウェアロジックを持つほぼすべてのコネクテッド製品（Wi-Fi、Bluetooth など）が該当します。製品はリスクに応じて一般・重要・重大の三区分に分類され、一般クラスは自己適合宣言が可能、重要クラスはサブカテゴリと整合規格の状況に応じてノーティファイボディ（NB）審査の要否が決まり、重大クラスは最も厳格な検証を受けます。スマートメーターから消費者向け電子機器まで、すべての製品でコンプライアンスの見直しが必要です。2026 年 9 月には脆弱性報告義務が始まり、2027 年 12 月の全面適用時には、EU 向けに販売されるすべてのデジタル製品がセキュリティ要件を満たさなければ通関できなくなるリスクに直面します。

SV Surveillance の Vincent Huang CEO は、違反の代償の大きさを強調します。CRA の必須サイバーセキュリティ要件に違反した場合、最大 1,500 万ユーロまたは全世界年間売上高の 2.5％のいずれか高い方の制裁金が科されます。しかし ODM/OEM メーカーにとって最大のリスクは罰金ではなく、ブランド企業のサプライチェーンから外されることです。法的責任を負うブランド企業は、サプライヤーにソフトウェア部品表（SBOM）と試験エビデンスの提出を求め始めており、これらの文書が欧州市場への入場券となっています。

セキュリティガバナンスは本質的に動的であり、従来の「一回限りの認証」という発想はもはや通用しません。メーカーは売り切り型からライフサイクル全体のガバナンスへ転換する必要があり、市場投入後の監視、脆弱性管理、EU 単一報告プラットフォーム（Single Reporting Platform）を通じた指定国 CSIRT と ENISA への同時報告、そして最低 5 年間または製品寿命期間の無償セキュリティアップデート提供が求められます。サプライチェーンには数百社が関与することもありますが、法的責任はブランド企業が全面的に負います。脆弱性の原因が一社のサプライヤーにあっても責任は免れません。両社が透明性の高いガバナンスの枠組みを構築し、サプライチェーンのコンプライアンス効率向上を支援する理由はここにあります。

スマートヘルスケアの二重のコンプライアンス課題、ライフサイクルガバナンスが不可欠

Josep Prat 氏によれば、CRA の整合規格はまだ草案段階ですが EN 18031 との重複が大きく、業界では相当の重複率があると見られています。今段階での投資は無駄にならず、CRA 対応の基盤づくりになります。EU は CRA のセキュリティ規定が RED-DA を包含・代替することを確認済みで、認証には通常 12〜18 カ月を要します。2027 年の強制適用直前に申請が集中すれば、NB の審査能力不足は避けられません。

Vincent Huang 氏は、台湾の ICT 企業がスマートヘルスケアに参入する際の複雑さを指摘します。製品が医療機器に分類されれば EU 医療機器規則（MDR）の適用を受け、MDR 付属書 I 第 17 項はセキュリティ要件を市場投入後の脆弱性監視にまで拡張しています。SBOM、脅威モデル、ペネトレーションテスト報告書の整備が必要です。無線機能を持つ一般消費者向け・産業用機器は RED 3.3、すなわち整合規格 EN 18031 の対象となります。スマート医療の機器・サービスの多様化により審査の対象はハードウェアにとどまらず、アプリ、クラウド、無線通信に及びます。台湾メーカー最大の壁は ISO 13485 品質マネジメントシステム、IEC 62304 ソフトウェアライフサイクル、IEC 81001-5-1 セキュリティ要件の統合です。SV Surveillance の審査・試験能力と Applus+ Laboratories のダブル NB の強みを組み合わせれば、一貫したワンストップのソリューションを提供できます。

米国市場でもハードルは上がっています。2023 年に Section 524B が発効して以降、FDA はセキュリティ文書の不備を理由に 510(k) 申請の受理を拒否（Refuse to Accept, RTA）する法的権限を持ちます。米国・EU・中国の三大市場でセキュリティ要件の同期化が進んでおり、SV Surveillance と Applus+ Laboratories が「一つのエビデンスで三地域に申請」を掲げる理由もここにあります。一式の SBOM、一通のペネテスト報告書、一組の脅威モデルで、EU MDR、米 FDA、中国 NMPA に同時対応できます。各国の個別要件は残るものの、技術文書の中核を共有することで国際コンプライアンスのプロセスは大幅に簡素化されます。

セキュリティ成熟度が新たな競争軸に、研修プログラムで先手を打つ

Josep Prat 氏は、EU 規格への適合が市場の優位に直結すると述べます。世界の主要市場の多くが EU の枠組みを参照しており、先行して適合した企業はコンプライアンスを競争優位に転換できます。デジタル製品のサプライヤーは、保守と責任を担う能力をブランド企業に証明する必要があります。

SV Surveillance と Applus+ Laboratories は、法規認識（Awareness）、実装能力（Capability）、産業エコシステム（Ecosystem）の三層戦略を提唱しています。ラボは標準化・自動化されたツールを備え、一社による複数製品の認証を支援できます。Vincent Huang 氏は、まずギャップ分析を実施し、協調的脆弱性開示（CVD）ポリシーを整備し、報告義務の開始前に 24 時間以内の早期警報と 72 時間以内の届出体制を整えることを勧めています。

両社は共同研修プログラムも開始しました。7 月以降、EU CRA 最新動向の解説や MDR セキュリティ実践ワークショップを順次提供し、ISO 13485 内部監査員研修も予定しています。最新の規制動向を提供するだけでなく、企業の社内チーム育成を支援し、外部依存を減らします。SV Surveillance との連携により、台湾メーカーは欧州ノーティファイボディに認められるセキュリティ試験報告書を現地で取得でき、認証の時間とコストを節約できます。

さらにこの提携には戦略的な射程があります。CRA と EN 18031 は EU にとどまらず、米 FDA、英 PSTI、シンガポール CLS などもその枠組みを参照しつつあります。早期の適合は複数国の規制への一括対応を意味し、市場横断的な優位性をもたらします。EN 18031 試験を完了したサプライヤーを選ぶことは、ブランド企業にとって法的リスクの低減と市場の信頼向上に直結します。

台湾の競争力はこれまで仕様・価格・納期にありましたが、今後十年は「セキュリティ成熟度」という中核軸が加わります。規格の確定を待ってから動くのはハイリスクな戦略です。メーカーは製品イノベーションに集中し、コンプライアンスは国際的に認定された専門家に委ねるべきです。セキュリティとガバナンスが共通認識となるとき、この変革が輸出の勝敗を分け、台湾のサプライチェーンはより透明性の高い仕組みでグローバルな信頼を再構築していくでしょう。

SV Surveillance 公式サイトでは、CRA コンプライアンスセルフチェック、EN 18031 ギャップ分析の予約フォームをご案内しています（www.securevectorlab.com）。研修の日程・お申し込みは「CRA・MDR・ISO 13485 研修」ページを、CRA 規制の詳細解説は「CRA カウントダウン：台湾 ICT メーカーのコンプライアンスガイド」をご覧ください。

元記事：iThome