いつも「LINX Express」をご愛読いただき、誠にありがとうございます。
近年、デジタル機器やソフトウェアを狙ったサイバー攻撃が急増しており、製造業界においてもセキュリティ対策の重要性がかつてなく高まっています。こうした背景を受け、欧州連合（EU）では新たに「サイバーレジリエンス法（CRA：Cyber Resilience Act）」が制定されました。
本号では、CRA法の概要と、自社ブランドで装置やシステムをEU市場へ提供する際に必要となる対応、あわせて弊社が取り扱う画像処理ソフトウェア「HALCON」の開発元であるMVTec社のセキュリティに対する取り組みをご紹介します。
EUサイバーレジリエンス法（CRA）とは？
CRA法は、EU市場で提供されるハードウェアおよびソフトウェア製品（デジタル要素を備えた製品）に対して、設計から開発、保守に至るまでのライフサイクル全体にわたるサイバーセキュリティ要件を義務付ける法律です。
■ 適用スケジュール
・発効日： 2024年12月10日
・脆弱性の報告義務の適用開始： 2026年9月11日
・主要な義務（設計要件など）の適用開始： 2027年12月11日
装置メーカー・インテグレーターに求められる対応
自社ブランドでデジタル要素を備えた装置やシステムをEU市場に提供する場合は、CRA法におけるメーカーとして、対応が求められます。
①脆弱性・インシデントの「報告義務」への対応（2026年9月11日より適用）
過去に販売した既存装置を含め、製品において「実際に悪用された脆弱性」や「重大なセキュリティインシデント」を発見・認識した場合には、次の対応が必要です。
・迅速な当局への報告： 報告プラットフォームを通じ、24時間以内に早期警告、72時間以内に詳細な通知を行い、その後最終レポートを提出します。
・サプライチェーンとの連携： 組み込みコンポーネント（HALCONなど）に起因する脆弱性であった場合は、その開発元（MVTec社等）へ脆弱性を報告し、修正に向けたコードやドキュメントの共有など、連携して対応を進めます。
・ユーザーへの情報提供： 影響を受けるエンドユーザーに対し、インシデント情報やユーザー自身で実施できるリスク軽減・是正策を速やかに通知します。
②「主要な義務（設計要件など）」への対応に向けた準備（2027年12月11日より適用）
主要義務の適用に向け、製品を市場へ提供する企業は、製品の企画・設計段階からセキュリティを考慮した体制やプロセスを整備し、実行しなければなりません。
・セキュア・バイ・デザインの徹底： 製品のサイバーセキュリティリスク評価を実施し、その結果を設計・開発・生産フェーズへ反映します。
・透明性の確保と文書化： ソフトウェア部品表（SBOM）の作成や、要件を満たしていることを証明するための技術文書を整備します。
・継続的なサポート体制の構築： 製品の予想使用期間を反映した「サポート期間（原則として最低5年間）」を定め、その期間中における脆弱性管理や無償でのセキュリティアップデート提供体制を整える必要があります。
MVTec社のセキュリティ・エコシステム
MVTec社では、CRA法などの規制要件やコンプライアンス対応を支援するため、プロセス・技術・人材・ポリシーの各方面からサイバーセキュリティ強化に取り組んでいます。
・透明性の確保とインシデント報告体制の運用：「責任ある情報開示ポリシー」に基づき、潜在的な脆弱性やインシデントを報告するための専用フォームをWeb上に設置し、セキュリティ専用の連絡先も設置しています。また、セキュリティに関する重要なお知らせを配信するニュース配信も運用し、外部への情報の可視化と透明性を確保しています。
・サードパーティ要素の完全な透明性確保（SBOMの提供）：HALCONでは、CRA法対応を支援するため、「HALCON 24.11」以降のバージョンより、インストーラーの一部として国際標準規格（SPDX 2.3形式）のSBOM（ソフトウェア部品表）が標準提供されています。
・最大15年にわたる長期的な製品ライフサイクルとパッチ提供：装置メーカー様の長い製品寿命をサポートするため、HALCONの各バージョンに対して手厚いサポート期間を設けています。リリースから「3年間の通常メンテナンス」に加え、「4年間の無償セキュリティパッチ」を提供し、合計7年間の無償対応を行います。さらに長期の稼働が必要な場合には、有償の延長サポート（3年間）とレガシーサポート（5年間）を組み合わせることで、最大15年間のライフサイクルをカバーします。
HALCONを採用することによるメリット
CRA対応を進めるにあたっては、セキュリティ対策だけでなく、SBOMの管理や継続的なアップデート対応など、長期的な運用も重要です。
HALCONでは、こうした運用を支えるための機能やサポートを提供しています。
・コンプライアンス対応と販売プロセスの加速： MVTec製品を使用することで、CRAで求められるセキュリティ対応を進めやすくなります。提供されるSBOMやセキュリティ文書を自社装置の技術文書作成にそのまま活用できるため、法令対応にかかるコンプライアンス審査や販売に向けた準備をスムーズに進めることができます。
・開発・維持管理コストの大幅な削減（最適化）： CRA法で義務化される「ライフサイクル全体での脆弱性管理」や「継続的なパッチの提供」を、自社開発プログラムやオープンソースソフトウェア（OSS）のみで長期間維持するには、膨大な開発コストと人的リソースがかかります。MVTec社が先行してセキュリティ対応に投資しているため、既製品であるHALCONを採用することでお客様の維持管理コストと法的・技術的負担を抑えることが可能です。
HALCONを組み込むシステムでの「セキュアな構成」について
本件に関する詳細なガイドラインにつきましては、公式ドキュメント「Installation Guide」の第2章「2.1 Secure Configuration」に記載されておりますので、装置設計の際は必ずご一読ください。
さらに、最新の脆弱性対応やサードパーティコンポーネントのSBOM提供状況などに関する最新の記載は、各バージョンの公式ドキュメント「Release notes for HALCON」内の「Security-Related Topics」に随時追加されておりますので、併せてご確認ください。
また、コンプライアンスを担保し最新のセキュリティ対策を享受するためにも、最新バージョンのHALCONへの移行を強く推奨いたします。
| 最新版HALCONの ソフトウェア・ダウンロードはこちら | HALCON 製品情報はこちら |
HALCONを初めてご検討されるお客様へ
オープンソースソフトウェア（OSS）等からの切り替えをご検討中の方に向けて、無料のトライアル版をご用意しております。 商用パッケージである「HALCON」を導入することで、コンプライアンス対応や将来的な維持管理の負担を大きく軽減できます。まずは実際の開発環境で、ぜひHALCONの強力な機能をご体感ください。
CRA対応をご検討されている方へ
CRA法への対応は、MVTec社の取り組みだけでなく、ソフトウェアを組み込むお客様のシステム全体での「共有責任」となります。現在お使いのバージョンにおける対応方針や、最新バージョンへの移行に関するご相談がございましたら、ぜひお気軽にリンクスの担当営業までお問い合わせください。
今後とも、株式会社リンクスとHALCONをよろしくお願い申し上げます。
▼ MVTec社のサイバーセキュリティへの取り組み（公式ページ）
https://www.mvtec.com/cybersecurity
本号に関する製品情報はこちら
