要約:
欧州連合は 9 月 11 日にサイバー レジリエンス法の主要条項を正式に導入し、デジタル製品メーカーやソフトウェア開発者に対してより厳格なサイバーセキュリティ報告義務を課しました。新しい規制によると、企業は自社の製品にハッカーが悪用するセキュリティ上の脆弱性があることを発見したら、極めて短期間にEUサイバーセキュリティ機関に報告しなければならず、報告しなければ将来的に厳しい罰則を受ける可能性がある。
法案の要件によると、企業は自社製品の脆弱性が実際に悪用されたことを発見した場合、まず 24 時間以内に欧州サイバーセキュリティ庁 (ENISA) に早期警告通知を発行する必要があります。その後、脆弱性の性質、影響範囲、講じられた軽減策など、状況のより詳細な説明を 72 時間以内に提出します。脆弱性が修復された後は、14 日以内に最終レポートを提出する必要があります。単純な脆弱性悪用ではなく、重大なサイバーセキュリティインシデントが含まれる場合、最終報告書の提出期限は 1 か月に延長されます。
EU は、このシステムの主な目的はデジタル製品エコシステム全体の透明性と応答性を向上させることであると述べました。 EUは、ベンダーにセキュリティリスクの迅速な開示と報告を義務付けることで、脆弱性の長期隠蔽による被害を軽減し、IoTデバイス、ソフトウェアプラットフォーム、コネクテッド製品の全体的なセキュリティレベルを向上させたいと考えている。
多くのサイバーセキュリティ規制とは異なり、新しいシステムは将来発売される新製品に適用されるだけでなく、すでに市場に出ているデジタル製品も対象となります。これは、企業が新製品に対するセキュリティ対応メカニズムを確立するだけではなく、継続的なメンテナンスが行われている既存のソフトウェア、ハードウェア、および製品に対する迅速な脆弱性報告システムを確立する必要があることを意味します。関連する製品が攻撃を受けているか、脆弱性を悪用していることが判明すると、法定報告プロセスが開始されます。
新しい規制の範囲は非常に広範囲です。 EU の国内企業に加えて、デジタル製品やサービスを EU 市場に販売するすべての外国企業も関連要件に準拠する必要があります。ソフトウェア開発者、ハードウェア製造業者、家庭用電化製品会社、モノのインターネット機器サプライヤーのいずれであっても、その製品が EU 市場に参入する限り、制限の対象となる可能性があります。
企業が新しいシステムに適応できるよう支援するために、欧州委員会は一連の実践的なガイダンス文書を発行し、欧州サイバーセキュリティ庁は企業から提出された脆弱性およびセキュリティインシデントの報告を受け取り、管理するための統合報告プラットフォームを確立しました。関連機関は、規制当局がネットワークセキュリティのリスクダイナミクスをタイムリーに把握できるようにしながら、標準化されたプロセスを通じて企業のコンプライアンスコストを削減したいと考えています。
脆弱性報告システムは本日から実施されますが、サイバーレジリエンス法の完全なコンプライアンス要件は段階的に実施されます。確立されたスケジュールによると、製品認証、技術文書、CE マーキングなどの包括的な義務を含む完全な要件が、2027 年 12 月に正式に義務化されます。
法案提出の背景には、近年世界規模でサイバー攻撃が多発し、多くのスマートデバイスやインターネット接続製品に長期間にわたって修復されていない脆弱性が見つかっていることがある。 EUは、過去に一部の製造業者が安全問題を適時に開示して対処する意欲に欠けていたと考えており、法律を通じて統一基準を定め、法的責任を活用して企業の安全管理レベルの向上を促す必要があるとしている。
アナリストは、この新しい規制により、テクノロジー業界は社内のセキュリティ対応プロセスの再設計を余儀なくされる可能性があると考えています。将来的には、企業は脆弱性をより迅速に発見するだけでなく、評価、通知、修復が指定された時間内に確実に完了するようにする必要があります。これは、大手テクノロジー企業にとって、24 時間体制のネットワーク セキュリティ チームの構築により多くのリソースを投資する必要があることを意味します。一方、中小規模の開発者にとっては、かなりのコンプライアンス圧力に直面する可能性があります。
サイバー レジリエンス法の段階的な施行により、EU は世界で最も厳しいサイバーセキュリティ規制を持つ地域の 1 つになりつつあります。今後数年間で、このシステムが本当に抜け穴の悪用を減らし、消費者と企業のデジタルセキュリティレベルを向上させることができるかどうかは、世界のテクノロジー業界にとって重要な懸念事項となるでしょう。
コメント