EU Cyber Resilience Act（ソフトウェアのセキュリティ義務）
背景与問題
出海方向（C）。EU の CRA（Regulation 2024/2847）はデジタル要素を持つ製品（ソフトウェア含む）にセキュリティ要件と脆弱性報告義務を課す。2026-09-11 から報告義務が始まる——EU 法域メモ第 9 本で、時系列が最も切迫した柱。（出典はいずれも 2026-09-17 アクセス、公式ページを直接確認）
发现
（一次源ベース）
- タイムライン（欧州委員会公式）：2024-12-10 発効。2026-09-11 から報告義務（活用中の脆弱性・重大セキュリティ事故を ENISA/CSIRT へ）。2027-12-11 に本適用（必須セキュリティ要件・適合性評価・CE マーキング・セキュリティ更新義務・制裁金 最大 1,500 万ユーロまたは世界売上 2.5%）。
- 報告の時計：24 時間早期警告→72 時間通知→14 日最終報告の 24/72/14（White & Case の分析）。
- OSS steward の報告義務（Art.24(3)）は 2027-12-11 から（EC の CRA reporting ページ）。
- 推测：自社アプリは「デジタル要素を持つ製品」に含まれる可能性が高い（utility でも対象になり得る）——2026-09 が最初の実務日として動く。
结论
- 時系列を EU メモに：2026-09-11（報告義務）→2027-12-11（本適用）。2026-09 が最初の実務日——四半期点検の最優先柱にする。
- 脆弱性報告フローを incident 手順に統合：24/72/14 の時計を opc-security-incident-response の社内 SLA に組み込む（発見→24h 警告→72h 通知→14 日最終の型）。
- 本適用（2027）への準備は「セキュアバイデザインの記録」：推奨プラクティスの採用記録・更新方針・技術文書を段階的に整える（2027 までの準備期間の使い方、推测）。
- 適合性評価・CE マーキングの範囲確認：自社のリスク階層（デフォルト設定）でどの評価ルートになるかを 2026 年中に判定する（未確認——次回）。
待办 / 下次继续
关联
c-eu-launch-compliance c-eu-product-liability opc-security-incident-response opc-renewal-date-ledger