ヒガキさんに相談だ!- 第６回 -

CRAは欧州内で販売される、デジタル要素を備えたすべての製品^*1を対象としています。製品そのものだけではなく、製品の機能実現に必要となるリモートデータ処理を伴うソフトウェアも対象です。
例えば、クラウド対応機能付きスマートホームデバイスを、ユーザーがリモートで操作するためのアプリケーションなどです。また、自社が欧州で製品を販売していなくても、サプライヤーとしてソフトウェアやモジュールを提供している場合、納入先から対応を求められる可能性が高いです。

*1:

医療機器、体外診断用医療機器、自動車の型式承認、民間航空機規則、国家安全保障/軍事目的、または機密情報処理のために特別に設計されたデジタル製品を除く。フリーおよびオープンソースソフトウェアは、商業活動の過程で提供されるものだけが適用範囲に含まれる。

一言で言うと、時間と空間の2つの面で広がりがあるところです。時間面では、設計・開発・製造から使用まで製品のライフサイクル全体にわたって、空間面では、サプライチェーン全体で要求事項に対応していく必要があります。
さらに違反したときの罰金が巨額になるリスクがあることも、これまでとは異なります。

脆弱性とインシデントの報告義務は2026年9月から開始されます。みなし適合のための整合規格などは策定中ですが、開始に向けて今から準備をしていくことが重要です。CRAに対応する上で重要なポイントは、
�@リスクアセスメントの実施、�Aトレーサビリティの確保、�B時間の制約がある中での対応
です。