本日より、製造業者はEUサイバー・レジリエンス法に基づき、特定のサイバーセキュリティの脆弱性およびインシデントを報告する準備ができていなければなりません。
この新しい報告義務は、サイバーセキュリティ対策がもはや無視できないものとなり、製品のライフサイクル全体を通じて実施していかなければならないという、サイバーセキュリティの潮流を表すものです。
お客様にとっては、脆弱性ハンドリング、サプライヤとのコミュニケーション、インシデント対応への準備に関する重大な疑問が生まれるきっかけとなります。
お客様にとっての本当の疑問とは
長年にわたり、製品のセキュリティについては、セキュア・ブート、ハードウェアの信頼の基点、暗号化エンジン、セキュア・エンクレーブ、改ざん防止など、セキュリティ機能に焦点を当てて議論されてきました。
こうした機能は今後も重要であり続けます。しかし、もはやそれだけでは足りません。
お客様は、製品が導入された後のサプライヤによるセキュリティ管理について、より深く知りたいと考えるようになっています。たとえば、以下のような疑問を抱き始めています。
- 脆弱性が見つかった場合、サプライヤはどのように対処するのか。
- 影響を受ける可能性のある顧客への通知は、いつ、どのように行われるのか。
- その影響を評価するのに役立つ、どのような情報を提供してもらえるのか。
- 導入して使用中の製品に脆弱性の影響が及ぶ場合はどうなるのか。
こうした疑問に、半導体製品だけで応えることはできません。プロセスの定義、ガバナンス、明確な責任、協調的なコミュニケーション、効果的な脆弱性管理が必要になります。
企業がCRA準拠に向けて対応を進めている中で、このような運用能力は、サプライヤ評価やセキュリティ・アセスメントの際にますます重視されるようになっています。こうした議論では、脆弱性ハンドリング、セキュリティに関する連絡先、インシデントにおける協調的な調整、ソフトウェア・コンポーネント、求められるサポートなどがよく取り上げられています。
業界の法規制に準拠するためには、明確なガイダンスが不可欠です。製造業者がCRAへの準拠を合理的に達成し、長期的なレジリエンスを確保するために、NXPがどのように貢献できるのか、詳細をご確認ください。
CRAの報告義務が本日から適用開始
本日、2026年9月11日は、EUサイバー・レジリエンス法 (CRA) の施行における重要な節目であり、サプライチェーン全体のサイバー・セキュリティの説明責任が新たな段階に達する日となります。
この日付をもって、CRAの脆弱性およびインシデント報告義務が適用されます。デジタル要素を含む製品の製造業者は、積極的に悪用された脆弱性と製品のセキュリティに影響を及ぼす重大インシデントについて、厳格なタイムラインに従って当局に報告できる体制を整える必要があります。
これは一見、新しい規制が増えただけのように感じられるかもしれません。しかし実際には、企業がサイバーセキュリティ上の問題を評価、報告、伝達する方法のための新たな運用要件が導入されています。
本日適用開始された義務により、脆弱性の報告が運用上の要件となっています。製造業者は、脆弱性（潜在的なものを含む）の評価方法を調整する必要があります。さらに報告基準が満たされるようであれば、技術的な調査を実施している途中でも脆弱性を通知し伝達する方法を調整する必要があります。
多くの場合、最初の報告内容と評価の決定は、技術的な分析、影響評価、根本的原因の調査がまだ進行中である間に行う必要があります。
CRAの報告義務の概要
- 2026年9月11日：積極的に悪用された脆弱性および重大なセキュリティ・インシデントについての当局および顧客への報告義務の適用開始
- 24時間以内：製造業者が、報告義務のある事象の認識後に早期通知を提出しなければいけない期限
- 72時間以内：製造業者が、詳細で具体的な脆弱性通知またはインシデント通知を提出しなければならない期限
- 最終報告：i) 積極的に悪用された脆弱性については、是正措置または緩和措置が適用可能になってから14日以内、ii) 重大事象については、早期報告から1か月以内
- 顧客への情報：製造業者は、積極的に悪用された脆弱性または製品のセキュリティに影響を与える重大インシデントを認識した後、影響を受ける顧客および適切な場合にはすべてのユーザーに対して通知を行い、必要な場合には緩和措置または是正措置を提供する必要があります
製造業者は、CRAの単一報告プラットフォーム (SRP) を通じて報告を行います。通知は、コーディネーターとして指定されているコンピュータ・セキュリティ・インシデント対応チーム (CSIRT) に送信され、さらに例外的な状況でない限りENISAにも共有されます。
この報告義務に加えて、さらに広範なCRAフレームワークが今後段階的に導入されます。適合性評価やCEマークの要件など、CRAの主要な規制は2027年12月11日から適用されます。
24時間以内の対応が必要な理由
本日適用開始された報告義務は、報告が義務付けられている脆弱性とインシデントに関して、厳格なタイムラインを設けています。たとえ調査が進行中であったとしても、報告が義務付けられている事象が認識された時点から法定タイムラインの時間が起算されます。
困難なことは、報告期限の厳守だけではありません。企業には、情報に基づいた意思決定を迅速に行い、セキュリティ、エンジニアリング、法務、コミュニケーションの各チーム間での対応を調整するための人材、プロセス、情報が必要になります。
これには、脆弱性は製品のライフサイクルのどの時点でも見つかる可能性があるという、現代の製品セキュリティの根本的な現実が表れています。重要なのは、報告書を受け、その妥当性と重要性を評価し、その影響度を把握して、ステークホルダーと効果的にコミュニケーションを取れるようにすることです。
そこで重要な役割を果たすのが、製品セキュリティ・インシデント対応チーム (PSIRT) です。CRAの報告要件は、NXPの既存の製品セキュリティ・インシデント対応プロセス (PSIRP) を基に策定されています。
CRAは新たに脆弱性ハンドリング・プロセスを策定するのではなく、脆弱性の報告窓口、トリアージ、アセスメント、緩和措置、開示、顧客とのコミュニケーションなどの実績あるPSIRT活動を拡張し、規制上の報告義務を追加しました。
お客様がNXPのPSIRTに寄せる期待とは
NXPのセキュリティ・インシデント対応チーム (PSIRT) は、NXP製品に影響を与える潜在的な脆弱性を報告するための公開窓口としての役割を担います。
PSIRTは、関連するテクニカル、製品、およびセキュリティ・チームと連携して、報告のあった問題を評価し、適切な対応をサポートします。
お客様に向けては、以下の5つの重要な領域がプロセスに含まれます。
1. 公開される報告チャネル
NXP製品に関わる潜在的な脆弱性については、NXPの公開PSIRT報告チャネルを通じて報告できます。
このチャネルは、お客様、パートナー、セキュリティ・リサーチャーが製品のセキュリティに関する懸念をNXPに知らせるための正式な窓口となります。
2. アセスメントとトリアージ
報告された問題は、NXPの確立された脆弱性ハンドリング・プロセスを通じて評価されます。
このアセスメントでは、報告のあった問題の検証、重大度の決定、影響を受ける可能性のある製品とバージョンの特定が行われる場合があります。
状況に応じて、関連する技術チームおよび製品チームがこの分析に協力します。
NXPは、責任ある開示の慣行に従いながら、調査結果の検証、影響のアセスメント、効果的な緩和措置の必要性とタイムリーなコミュニケーションとのバランスを図っています。
3. 対応計画
問題が確認されると、NXPは利用可能な是正措置の選択肢を検討します。
これには、問題や製品に関連する状況に応じて、関連するリスクを低減するための緩和措置のガイダンス、回避策、ソフトウェアのアップデート、またはその他の是正措置が含まれます。
4. お客様とのコミュニケーション
問題および適用される開示条件に応じて、影響を受ける可能性のあるお客様が潜在的な影響と利用可能な措置について把握できるよう、適切なコミュニケーション手段を通じて情報を提供する場合があります。
その内容は、影響を受ける製品、その段階で入手可能な情報、是正措置または緩和措置、機密性に関する考慮事項、責任ある開示要件などの要因によって決まります。
積極的に悪用された脆弱性が関わる状況では、影響を受ける可能性のあるお客様は、潜在的な影響と利用可能な緩和措置を把握するために、タイムリーな情報を必要としている場合があります。
NXPは、状況、利用可能な緩和策、責任ある情報開示に関する考慮事項、適用される情報開示の要件に応じて、それが適切でありかつ責任ある情報開示の慣行と矛盾しない限り、適切なお客様向け通知チャネルを使用し、このコミュニケーションを支援する場合があります。
5. CRAに基づいた報告
問題がCRA第14条の報告基準を満たしている場合、NXPは適用される法定タイムラインに従って、CRAのSRPを通じて報告を行います。
この報告活動はNXPの既存のPSIRPフレームワークに沿って進められ、必要に応じて、技術的な調査の進行中であっても、CRAの報告要件に応じて報告が実施される場合があります。
お客様にとっては、連絡先の窓口が明確になり、NXP製品に影響を与える可能性のあるセキュリティ上の問題を評価して対応するための確固たるプロセスを利用できるというメリットがあります。
NXPは、製品に影響を及ぼすセキュリティ上の問題を評価し、対処します。完成品の製造業者は、引き続き自社のシステムに対する影響を評価し、当該製品に適用される義務を果たす責任を負います。
製造業者にとっては、セキュリティに関する正式な連絡先が得られ、サプライヤとの間で脆弱性に関する報告チャネルが得られるというメリットがあります。
セキュリティ上の問題が特定されたときに、こうした通信経路を利用して評価、調整、対応を迅速に進めることができます。
製品製造業者が今すぐ取れる3つの対応策
1. 責任の所在とエスカレーション体制の確認
組織内において、脆弱性評価、技術的調査、リーガル・チェック、規制報告、顧客とのコミュニケーションを担う責任者を特定しておきます。
調査の進行中でもプロセスを運用できることを確認します。
2. 脆弱性に関するサプライヤとのチャネルの準備
コンポーネントおよびソフトウェア・サプライヤにセキュリティ上の潜在的な問題を報告するための文書化されたプロセスを策定します。
各サプライヤについて最新のセキュリティ連絡先を確認し、サプライヤから受けた脆弱性情報を社内の評価およびエスカレーション・ワークフローにどのように取り込むのかを規定します。
NXP製品に関連する潜在的な脆弱性については、NXPの公開PSIRT連絡先チャネルを通じて問題を報告してください。
3. 迅速な評価に欠かせない情報の準備
報告のあった脆弱性が導入後の製品に影響を及ぼすかどうかをチームが判断できるように、製品、ソフトウェア、コンポーネントに関する正確な情報を管理しておきます。
SBOM、製品ID、ソフトウェアのバージョン、実装記録、サプライヤの連絡先の情報があれば、脆弱性の評価や対応業務を迅速に進めることができます。
報告の準備から協調的な対応まで
本日から適用開始されたCRAの報告義務で重視されている点は、セキュリティ上の問題が発生したときに組織が責任の所在を明確化し、効果的な調整を進め、信頼性の高い情報を集める必要があることです。
また、コンポーネントのサプライヤや製品製造業者を含むサプライチェーン全体でしっかりと連携することも欠かせません。これは、導入済みの製品にもセキュリティ上の問題が及ぶ場合にとりわけ重要となります。
NXP製品が潜在的な脆弱性の影響を受ける場合に、脆弱性報告、技術的評価、お客様とのコミュニケーションで中心的な役割を果たすのがNXP PSIRTです。
その目標は明快で、脆弱性報告を、潜在的な製品セキュリティ上の問題の管理と対応に必要な行動につなげることです。
9月11日をもって、脆弱性報告の義務付けが開始されました。CRAでは、脆弱性報告に備えて事前に準備しておくことも推奨されています。
さらに詳しく掘り下げてみましょう
CRAの詳細を見る
脆弱性報告に備える
