EUサイバーレジリエンス法の認定代理人およびコンプライアンスサービス

EUサイバーセキュリティコンプライアンスおよび認定代理業務

EaseCertは、EUサイバーレジリエンス法（CRA）に基づく法令遵守に関して製造業者を支援し、合意されたサービス範囲に含まれるデジタル要素を持つ製品に関して、製造業者のEU認定代理人として活動します。

サイバーレジリエンス法は、欧州連合市場に出荷されるデジタル要素を含む製品に対し、義務的なサイバーセキュリティ要件を導入するものです。製造業者は、製品ライフサイクル全体を通してサイバーセキュリティ対策を講じ、技術文書を維持し、脆弱性への対応手順を確立し、セキュリティアップデートを提供し、該当する報告義務および市販後義務を遵守しなければなりません。

このサービスは、欧州連合域外に拠点を置く製造業者で、CRA（消費者規制庁）のコンプライアンス支援とEU域内に拠点を置く認定代理人の両方を必要とする方を対象としています。

文書審査の完了および委任状の署名後、EaseCert GmbHはサイバーレジリエンス法に基づき、製造業者のEUにおける公認代理人に任命されます。

委任の範囲内で、EaseCertは以下のことを行う。

• 対象製品に関するEUを拠点とする規制当局との連絡窓口として機能する。
• EU適合宣言書および技術文書を市場監視当局が閲覧できるように保管する。
• コンプライアンス情報および文書に関する合理的な要求に対応する
• 委任対象製品に関して、EUの市場監視当局と協力する。
• 規制当局とのコミュニケーション、文書提出要求、トレーサビリティチェックをサポートします。

製造業者は、製品の設計、開発、製造、サイバーセキュリティ、適合性評価、脆弱性への対応、セキュリティアップデート、インシデント報告、および継続的なコンプライアンスについて責任を負います。

適切な製品カテゴリ

• スマートホームデバイス
• モノのインターネット（IoT）製品
• 家電
• スマート家電
• ウェアラブルデバイス
• スマート照明製品
• ネットワーク機器
• 防犯カメラ
• コネクテッドトイ
• 産業用IoT機器
• スマートセンサー
• ワイヤレスデバイス
• バッテリー駆動のコネクテッド製品
• 接続されたハードウェアに付属のソフトウェア
• スタンドアロンソフトウェア製品
• デジタル要素を含むその他の製品

EUサイバーレジリエンス法遵守とEARプロセスを5つのステップで解説

1. 製品、ソフトウェア、デジタル環境をマッピングする

   製品またはソフトウェアの供給、インストール、アクセス、接続、更新、および保守の方法を文書化します。レビューでは、ソフトウェアおよびファームウェアのバージョン、動作環境、クラウド依存関係、API、ネットワークインターフェース、ユーザーロール、認証方法、データフロー、展開モデル、サポート対象プラットフォーム、外部サービス、および他のデバイスまたはシステムへの接続について検証します。

2. サイバーセキュリティライフサイクルとCRAの範囲を確認する

   当社は、製品の意図された用途、デジタル機能、サイバーセキュリティアーキテクチャ、適合性評価ルート、および適用されるCRA義務を評価します。また、ソースコード管理、依存関係管理、変更承認、セキュリティテスト、リリース手順、問題追跡、パッチ開発、アクセス制御、および社内サイバーセキュリティ責任を含む、製造業者のセキュアな開発ライフサイクルについてもレビューします。

3. リスク、依存関係、脆弱性、およびSBOMを評価する

   サイバーセキュリティリスク評価、ソフトウェアコンポーネント、オープンソースライブラリ、サードパーティパッケージ、クラウドサービス、および外部依存関係をレビューします。入手可能な場合は、ソフトウェア部品表（SBOM）、脆弱性記録、依存関係インベントリ、深刻度評価プロセス、修復ワークフロー、調整された脆弱性開示手順、セキュリティ更新プロセス、およびサポート期間のコミットメントを評価します。

4. CRAコンプライアンス文書の準備と確認

   EaseCertは、合意された規制関連文書の作成、レビュー、または整理を行います。これには、サイバーセキュリティリスク評価、製品およびソフトウェアアーキテクチャの説明、技術文書、SBOM記録、脆弱性処理手順、脆弱性開示に関する調整ポリシー、ソフトウェア更新手順、サポート期間に関する記述、ユーザー向けセキュリティ情報、インシデント報告ワークフロー、トレーサビリティ情報、およびEU適合宣言が含まれる場合があります。

5. EaseCertをEU認定代理人に任命する

   コンプライアンス審査が完了し、委任契約書に署名された後、EaseCert GmbHは対象製品の製造業者のEU正規代理店に任命されます。EaseCertはEU適合宣言書および技術文書を保管し、市場監視当局からの合理的な要請に対応し、コンプライアンスリスクおよび是正措置に関して当局と協力します。この任命は、合意された委任契約、サービス条件、および対象製品の継続的なコンプライアンスを条件とします。

EU公認代理人サービス

EU認定代理人サービスは、欧州連合域外に拠点を置く製造業者向けに提供されています。

この任命は、製造業者、対象製品、およびEaseCertに割り当てられた規制業務を明記した書面による委任状によって正式に行われる。

EaseCertのEARに関する責任

• サイバーレジリエンス法に基づき任命されたEU公認代理人として活動する
• 署名済みの委任状のコピーを保管する
• EU適合宣言書は市場監視当局がいつでも閲覧できるように保管してください。
• 市場監視当局が必要とする技術文書を保管しておくこと
• 正当な権限に基づく要請に従って、コンプライアンス情報および文書を提供する。
• 対象製品がもたらすリスクに関して当局と協力する
• 規制関連のコミュニケーションおよび文書作成に関する要請に対応する
• 製造業者および対象製品に関するトレーサビリティチェックをサポートします。
• EaseCertが受け取った関連規制に関する問い合わせを製造元に通知する

製造業者の責任

EaseCertの任命は、サイバーレジリエンス法に基づく製造業者の主要な義務を移転するものではありません。

製造業者は以下の事項について責任を負います。

• 法令遵守製品およびソフトウェアの設計・開発
• サイバーセキュリティリスク評価の実施と維持
• 必須のサイバーセキュリティ要件を満たす
• 該当する適合性評価を実施する
• 正確な技術文書の作成と維持
• EU適合宣言書への署名
• 必要な箇所にCEマークを貼付する
• 脆弱性の監視と対処
• サポート期間中にセキュリティアップデートを提供する
• 悪用された脆弱性や重大なセキュリティインシデントを報告する
• 製品が規格に準拠していない場合、またはサイバーセキュリティ上のリスクがある場合に、是正措置を講じる。
• EaseCertに対し、関連する製品、ソフトウェア、所有権、またはコンプライアンスの変更を通知する

含まれるもの

• サイバーレジリエンス法の適用可能性評価
• 製品およびソフトウェアの範囲レビュー
• 適合性評価ルートの見直し
• 既存の技術文書のレビュー
• サイバーセキュリティ関連文書のレビュー
• サイバーセキュリティコンプライアンスギャップ分析
• セキュアなソフトウェア開発ライフサイクルのレビュー
• 製品の識別とトレーサビリティに関するレビュー
• 製品ラベルおよびCEマーキング情報の確認
• ユーザー向けドキュメントとセキュリティ手順の確認
• 脆弱性処理手順の見直し
• ソフトウェアの更新および保守手順の見直し
• ソフトウェア部品表（入手可能な場合）のレビュー
• サポート期間に関する文書のレビュー
• EU適合宣言の見直し
• 書面によるコンプライアンス報告書および勧告
• EU公認代理人委任状（文書による）
• EaseCert GmbHのEU認定代理人への任命
• EU適合宣言書および技術文書の保管
• EUに拠点を置く規制担当窓口
• 市場監視当局からの要請への対応
• プロジェクト全体を通しての規制に関するガイダンス

必要書類

メーカー情報

• 法人名
• 登録された事業所住所
• 会社登録番号
• 連絡担当者
• 電子メールアドレス
• 電話番号
• Webサイト
• EU輸入業者情報（該当する場合）

製品情報

• 製品名
• ブランド名
• 型番
• SKUまたは製品識別子
• 技術仕様
• 商品写真
• 目的および想定されるユーザー
• 通信技術
• ユーザーマニュアル
• パッケージデザイン
• 製品ラベル
• CEマーキング情報

ソフトウェアとサイバーセキュリティに関する情報

• ファームウェアとソフトウェアのバージョン
• ソフトウェアおよびハードウェアアーキテクチャ
• 通信プロトコル
• ネットワークインターフェース
• クラウドサービスと外部依存関係
• 認証およびアクセス制御方法
• 暗号化方式（該当する場合）
• ソフトウェア更新メカニズム
• セキュリティアップデートとパッチ適用プロセス
• 脆弱性対応手順
• 連携した脆弱性開示ポリシー
• サポート期間
• ソフトウェア部品表（入手可能な場合）
• 安全な開発ライフサイクルドキュメント
• インシデント報告手順

既存のコンプライアンス文書

• EU適合宣言
• 技術文書
• サイバーセキュリティリスク評価
• 該当するCE試験報告書
• ソフトウェアおよびファームウェアのドキュメント
• 既存のサイバーセキュリティテストレポート
• 侵入テストレポート（入手可能な場合）
• 脆弱性スキャンレポート（入手可能な場合）
• 認証レポート（入手可能な場合）
• 既存の正規代理店契約（該当する場合）

サービス制限

EaseCertは、署名済みの委任契約の範囲内で、規制コンサルティング、コンプライアンス評価、文書作成支援、およびEU認定代理人サービスを提供します。

別途書面で合意がない限り、本サービスには以下は含まれません。

• 侵入テスト
• ソースコードレビュー
• 脆弱性スキャン
• 倫理的ハッキング
• 臨床検査
• サイバーセキュリティ認証
• 認証機関による適合性評価
• ソフトウェアの開発または修正
• ソフトウェアの修復または脆弱性の修正
• 継続的な技術的脆弱性監視
• セキュリティオペレーションセンターサービス
• 技術的なインシデント対応
• 製品またはソフトウェアの再設計
• 書面による委任状に明示的に含まれており、かつ法的に許可されている場合を除き、製造業者報告書を提出すること。

技術的なサイバーセキュリティテストが必要な場合、EaseCertはテスト範囲の定義を支援し、資格のあるサイバーセキュリティ研究所または技術プロバイダーとの連携を調整することができます。

EaseCertがEU認定代理人に任命されたことは、製品の認証、承認、または製品にサイバーセキュリティ上の脆弱性がないことの確認を意味するものではありません。

製造業者は、製品のサイバーセキュリティ、適合性、文書の正確性、および継続的な法令遵守について、法的責任を負います。

処理時間

ほとんどの初期コンプライアンス審査は、必要な書類がすべて揃ってから約5～10営業日以内に完了します。

EU認定代理人の任命は、書類審査が完了し、対象製品がEaseCertによって承認され、かつ両当事者が委任状に署名した後に有効となります。

処理時間は、製品の複雑さ、製品グループの数、提出書類の完全性、適合性評価の経路、および追加の技術試験が必要かどうかによって異なる場合があります。

EUサイバーセキュリティコンプライアンスおよびEARプロジェクトを開始しましょう

ご注文後、EaseCertよりメールにて、必要な書類一覧、委任状、サイバーレジリエンス法遵守審査およびEU認定代理人任命に関する次のステップについてご連絡いたします。