EU サイバーレジリエンス法（CRA）の報告義務：日本の小さなソフト会社の最小の手順
EU でソフトを売っていると、2026年9月11日から、「実際に悪用された脆弱性」か「製品の安全に関わる重大な事故」に気づいたら 24時間以内に EU の窓口へ第一報を出す義務があります。前から売っている製品も対象です。Lesstep は JetBrains Marketplace で IDE のプラグインを売る日本の小さな作り手で、自分のためにこの手順を作りました。その手順と雛形を、そのまま載せます。
法律の助言ではありません。Lesstep が条文と欧州委員会の手引きを読んで、自分の製品に当てはめた記録です。条文の番号と期限は2026年10月28日に確かめました。誤りのご指摘は support@lesstep.com へ。
当たるかどうか（3つの問い）
- 自分の名前で売っているか：ソフトを作り（作らせ）、自分の名前か商標で出す人は「製造者」です。有料でも無料でも同じです（第3条(13)）。
- ソフトか、その部品か：ソフトも、別に売られるソフトの部品も「デジタル要素を持つ製品」です（第3条(1)）。IDE のプラグインもここに入ると Lesstep は読みました。
- EU で商業活動として出しているか：有料で EU の利用者に届いていれば当たります（第3条(22)）。マーケットプレイスが代わりに売っていても、作り手は製造者のままです。
報告の義務（第14条）は2026年9月11日から（第71条2項）で、2027年12月より前に出した製品にも掛かります（第69条3項）。ほかの義務の多くは2027年12月11日からです。
報告が要るのは2つだけ
- 実際に悪用された脆弱性：悪意のある者が、持ち主の許可なく使った確かな証拠がある物（第3条(42)）。外部の人から報告が届いただけ、自分で見つけただけの脆弱性は当たりません。直した版を出せば足ります。
- 製品の安全に関わる重大な事故：大事なデータや機能の可用性・真正性・完全性・機密性を損なう（損ないうる）事故か、悪いコードが製品に入る・動く事故（第14条5項）。小さな作り手で起きやすいのは、配布のアカウントやビルドの PC を乗っ取られて、悪い版が出回る形です。
期限（気づいた時から数える）
| 悪用された脆弱性 | 重大な事故 | |
|---|---|---|
| 24時間 | 早期警告（製品を出している EU の国） | 早期警告（不正・悪意の疑いがあるか） |
| 72時間 | 通知（中身・悪用のされ方・手当て・利用者がすること） | 通知（中身・最初の見立て・手当て） |
| 最終報告 | 直し（か手当て）が出てから14日以内 | 72時間の通知から1か月以内 |
あわせて、影響を受ける利用者に、脆弱性か事故と、取れる手当てを知らせます。できれば機械で読める形で（第14条8項）。
届け先
- ENISA の単一報告窓口（CRA Single Reporting Platform）から、画面で出します。入るには多要素認証つきの EU Login が要ります。
- ENISA は、アカウントの登録は報告が要る時にするよう案内しています。登録の後に CSIRT が確かめますが、確かめ終わる前でも報告は出せます（ENISA の登録の案内）。EU Login のアカウント（多要素認証つき）は前もって作っておけます。前もって決めておくのは「誰が登録して出すか」です。
- 宛先の CSIRT は、EU に拠点が無い作り手では第14条7項の順で決まります：EU の代理人がいる国 → 輸入者の国 → 販売者の国 → 利用者が一番多い国。各国の CSIRT は ENISA の一覧にあります。ENISA の FAQ は、違う CSIRT を選ぶと報告が無効になり、出し直しになることがあると書いています。
- Lesstep の場合：代理人は置いていません。プラグインは JetBrains s.r.o.（プラハ）が再販しているので、輸入者か販売者に当たるのはチェコと読み、チェコの CSIRT を選ぶことにしました。JetBrains は自分がどちらに当たるかを書いていないので、報告にはこの理由も書きます。
罰金と小さい会社
- 第14条の違反は、最大1,500万ユーロか、世界の年間売上の2.5%の高い方です（第64条2項）。
- 零細・小企業は、24時間の早期警告に遅れた分だけ罰金の対象外です（第64条10項(a)）。72時間の通知と最終報告は対象のままです。
- 額を決める時は、会社の大きさも考えます（第64条5項）。
雛形1：起きた時の手順
- 気づいた時刻を記録する。24時間はここから数える。報告が届いたら、まず悪用の証拠があるかを聞き返す。
- 1時間以内に、上の2つのどちらかに当たるかを決める。どちらでもなければ、ふつうに直した版を出して終わり。
- 当たる時は、早期警告の下書きを作り、出す人（EU Login を持つ人）に渡す。深い調べを待たずに出す。
- 直した版を最優先で出す。悪い版が出回った時は、配布のアカウントの合言葉と鍵を替え、マーケットプレイスに止めてもらう。
- 72時間以内に通知を出す。
- 利用者に知らせる：自分のサイトのセキュリティのページにお知らせを1件、直した版の変更点に1行。
- 最終報告を出す（脆弱性は直しから14日以内、事故は通知から1か月以内）。
雛形2：早期警告の下書きに用意しておく物
ENISA の FAQ によると、24時間の早期警告では要らず、72時間の通知で必須になる欄があります（欄ごとの必須は窓口の用語集にあります）。早期警告の下書きには、次の物を先に用意しておきます。
- 通知の種類（脆弱性か事故か）と段階（早期警告）
- 題と要約
- 製造者の名前
- 製品の名前と版
- 気づいた日時
- 事故なら、不正・悪意の疑いがあるか
雛形3：連絡の受け口（security.txt）
悪用に早く気づけるよう、脆弱性の連絡先をサイトに置きます。/.well-known/security.txt は、RFC 9116 で決まっている形です。Lesstep のもの：
Contact: mailto:support@lesstep.com
Expires: 2027-04-25T00:00:00Z
Preferred-Languages: en, ja
Canonical: https://lesstep.com/.well-known/security.txt
Policy: https://lesstep.com/security/Expires は必須で、1年より先にしないことが勧められています。Lesstep はサイトを出すたびに180日先へ書き直す仕組みにしました。日付を覚えておく人が要りません。Policy の先がセキュリティのページです（知らせ方・書いてほしいこと・お知らせの一覧）。
2027年12月11日に増える物（洗い出しだけ）
- 設計の要件（附属書 I 第1部）：既定で安全、既知の悪用できる脆弱性が無い状態で出す、安全な更新の仕組み、など。
- 脆弱性の扱い（附属書 I 第2部）：SBOM（使っている部品の一覧）、脆弱性の受け付けと公開の方針、安全の更新を無料で出す、お知らせ。
- サポート期間を決めて示す（第13条・原則5年以上）。
- 技術文書（附属書 VII）と、10年の保管。
- 適合性の評価（ほとんどのソフトは自己評価で足りる区分）、EU 適合宣言、CE マーク。
- 利用者向けの情報（附属書 II）。
マーケットプレイスは輸入者か販売者として CE マークなどを確かめる立場になるので、それまでに出品の決まりへ入れてくると見ています。
出典
- Regulation (EU) 2024/2847（EUR-Lex）：第3・13・14・64・69・71条
- 欧州委員会の手引き（2026年7月27日）と FAQ
- ENISA の単一報告窓口の案内と FAQ
- RFC 9116（security.txt）
Lesstep は JetBrains IDE のプラグイン（Azure DevOps Pull Requests、Pull Request Inbox for Bitbucket ほか）を作っています。このページは JetBrains・欧州委員会・ENISA のいずれとも関係がありません。