注目★★★★★Lobsters
EU サイバーレジリエンス法 (CRA) が開発者に与える影響まとめ
30秒で把握
- 1EU CRA が 2027年12月11日に完全施行・デジタル製品の依存関係開示が義務化
- 2CE マーク未取得製品は EU 市場で販売不可・米国は対応義務を撤回済み
- 3OSS 開発者への影響懸念は誇張との見方・製造者・管理者・開発者で対応が異なる
要約
EU サイバーレジリエンス法 (CRA) は 2027年12月11日に完全施行され、デジタル要素を含む製品の供給者にはすべてのコンポーネントと依存関係の開示が義務付けられる。CE マークの取得要件となるため、対応しない製品は EU 市場での販売が事実上不可能になる。米国は 2021年の大統領令 14028 を Trump 政権下で撤回し、CRA が実質的な国際標準の役割を担う形になった。オープンソース開発者への影響を「終わりだ」とする見方もあるが、著者はその懸念が誇張だと論じた。
あなたへの影響
EU 向け製品を扱う日本の開発者・ベンダーは、2027年末の完全施行までに SBOM (ソフトウェア部品表) の整備と CE マーク対応プロセスの確認を開始しておくとよい。
推奨：オープンソースコンポーネントの依存関係管理が特に問われる可能性があるため、今から体制を整えておくことが無難。