EUサイバーレジリエンス法、ウォレットに24時間初報・72時間本報告

欧州委員会は、サイバーレジリエンス法（CRA）の施行に伴い、暗号資産ウォレットを含むデジタル製品の事業者に脆弱性対応を求めています。悪用中の脆弱性を認知した場合、24時間以内の初報と72時間以内の本報告が実務上の期限になります。

• CRA施行でハードウェア・ソフトウェアのウォレットも対象
• 悪用中の脆弱性は認知から24時間以内に初報
• 72時間以内の本報告で内容と対応状況を補います
• 制裁金上限1730万ドル相当と運用体制が焦点

施行されたCRAと対象事業者

欧州委員会は、サイバーレジリエンス法（CRA）が金曜日に施行されたと公表しました。CRAは、デジタル製品やソフトウェアの安全性を対象にするEUの制度で、暗号資産を管理するハードウェア・ソフトウェアのウォレット提供者も対象に含まれます。

ウォレットは、暗号資産を保管したり送受信したりするためのソフトウェアや機器です。製品に悪用中の脆弱性（製品やソフトウェアにある弱点）が見つかった場合、事業者には発見後の対応だけでなく、当局への早期報告も求められます。

24時間初報と72時間本報告

CRAの報告義務は、事業者が脆弱性を認知した時点から起算されます。悪用中の脆弱性については、認知から24時間以内に初報を提出し、その後72時間以内に本報告を行う流れです。

初報では問題の存在を早く伝え、本報告で内容や対応状況を補う形になります。ウォレット事業者には、脆弱性の検知、影響範囲の切り分け、当局への連絡を短時間で進める体制が必要になります。

制裁金と運用体制

違反時の制裁金上限は、ユーロ建ての上限を換算すると最大1730万ドル相当です。金額の大きさだけでなく、報告期限が脆弱性を認知した時点から始まる点が、事業者の運用に直接影響します。

今後は、どの製品が制度の対象になるか、脆弱性の認知をいつ成立させるか、24時間以内の初報に何を含めるかが実務上の焦点になります。ハードウェアとソフトウェアの両方を扱う事業者では、開発部門と法令対応部門の連携も欠かせません。