クレーンのサイバーコンプライアンス：PLC制御クレーンにEUの2つの規制が求めるもの、2026年から2028年

執筆：Chen Wei、SIEC Cranes シニアデザインエンジニア。2026年10月28日。

2026年9月11日以降、EU市場向けにネットワーク接続された制御装置を備えたクレーンを製造する者は、そのクレーン内で活発に悪用されている脆弱性を知った時点から24時間以内に報告する法的義務を負っています。その時計は6週間前に動き始めました。多くの工場がいまも準備を進めている機械安全の規則は2027年1月20日まで始まりません。全体をCEマーキングのファイルに変える水平的なサイバー規則が完全に適用されるのは2027年12月11日からです。3つの日付、2つの規制、1台の機械。

欧州で見積もりを出す買い手のほとんどは、このうちちょうど1つだけを聞いたことがあります。たいていは機械規則です。認定機関（ノーティファイドボディ）が尋ねるのがそれだからです。CRAの報告義務について当社に質問してきた相手はまだほとんどおらず、そしてすでに動いているのはそちらなのです。

2つの規制とは何か、なぜクレーンは両方に該当するのか

規則(EU) 2023/1230、すなわち機械規則は、旧機械指令2006/42/ECを置き換え、2027年1月20日以降に市場に供給される機械に適用されます。これは安全に関する法律ですが、今ではサイバーセキュリティの要件を含んでいます。附属書IIIの1.1.9は「破損に対する保護」と題され、他の機器への接続が危険な状況を生じてはならないこと、安全上重要なハードウェア・ソフトウェア・データは偶発的または意図的な破損から保護され、識別可能でなければならないこと、正当または不正な介入が記録されなければならないことを定めています。1.2.1は制御システムの安全性と信頼性を扱っています。

規則(EU) 2024/2847、すなわちサイバーレジリエンス法（CRA）は、製品のサイバーセキュリティに関する法律です。2024年12月10日に発効しました。認定機関に関する第IV章は2026年6月11日から適用されています。報告義務は2026年9月11日に始まりました。主要な義務は2027年12月11日から適用されます。

PLC制御の天井クレーンは、前者では「機械」であり、後者では「デジタル要素を持つ製品」です。欧州委員会自身のCRAに関するFAQは、その意味を率直に述べています。質問2.4.1は、両方に該当する製品の製造者は「本規則に定める必須サイバーセキュリティ要件と、規則(EU) 2023/1230に定める必須の健康および安全要件の双方を遵守すべき」であり、いかなる相乗効果も「製造者によって証明されなければならない」としています。質問2.4.3はさらに踏み込み、一方の法令に基づく適合性評価は「他方の法令に従って求められる手続きも満たすのに十分であると自動的にみなすことはできない」としています。

2つのファイル、2つの宣言、1台のクレーン。これが問題の形です。

項目	機械規則 2023/1230	サイバーレジリエンス法 2024/2847
何に関するものか	機械の物理的な安全性、および安全機能の破損に対する保護	デジタル製品のライフサイクル全体（更新を含む）にわたるサイバーセキュリティ
クレーンへの適用開始	2027年1月20日	主要義務は2027年12月11日、インシデント報告は2026年9月11日
誰が評価するか	ほとんどのクレーンは自己評価、附属書Iに列挙された機械は認定機関	原則として自己評価、附属書IIIの「重要製品」は第三者機関
成果物	技術ファイル、EU適合宣言、CEマーク、残存リスクを記載した取扱説明書	技術文書、EU適合宣言、CEマーク、SBOM、サポート期間、脆弱性対応プロセス
継続的な義務	ファイルを10年間保管し、不適合が判明したインシデントに対処する	サポート期間全体にわたり脆弱性に対応し、悪用されたものを24時間以内に報告する

すでに発効しているもの、これから来るものは何か

要約の中で失われがちなのがこの部分です。CRAは1つの期限ではありません。階段であり、工場にとって最も痛いのはすでに効力を持っている段です。

日付	適用される内容	クレーンメーカーにとっての意味
2024年12月10日	CRAが発効	運用面では何もないが、設計の時計が動き始める
2025年8月1日	無線機器指令のサイバー要件（委任規則2022/30）	すでにEU向けに出荷されるすべての無線リモコンに適用される
2026年6月11日	CRA第IV章、認定機関	第三者評価の予約が可能になる
2026年9月11日	CRAの報告義務とENISAの単一報告プラットフォーム	すでに施行済み。新製品だけでなく、EU市場にすでにある製品にも適用される
2027年1月20日	機械規則 2023/1230	附属書IIIの1.1.9および1.2.1がCEファイルの一部になる
2027年12月11日	CRAの主要義務	CRAに基づく完全なCEマーキング、SBOM、取扱説明書でのサポート期間の明示
2027年12月11日	オープンソースソフトウェアのスチュワードの報告	商業的にも販売しているプロジェクトを維持している場合にのみ関係する

2026年9月11日の欧州委員会の発表は、人々が引っかかる細部を明示していました。報告義務はEUで提供されるすべてのデジタル要素を持つ製品に適用され、「すでに市場にあるものを含む」という点です。オランダの工場に7年間置かれている4G診断ゲートウェイ付きの2019年製クレーンも、この一文の範囲内です。義務は販売年ではなく製造者に付随します。

何を、どれくらいの速さで報告しなければならないのか

2つの区分、4つの時計。製品における活発に悪用されている脆弱性と、そのセキュリティに影響する重大なインシデントは別のトリガーであり、異なる期限で終わります。

段階	期限	記載する内容
早期警告	認識してから24時間	悪用可能な脆弱性または重大なインシデントの疑いがあること、および基本的事実
完全な通知	72時間	製品の一般情報、悪用またはインシデントの性質、初期の緩和策
最終報告書（悪用された脆弱性）	是正措置が利用可能になってから14日後	根本原因、適用した修正、影響を受けたバージョン、ユーザーが行うべき対応
最終報告書（重大なインシデント）	72時間通知から1か月	同じ構成に加え、再発を防ぐために行った措置

届出の経路は1つのポータルです。ENISAがCRA単一報告プラットフォームを構築・運営しており、2026年9月11日から運用されています。製造者は1回報告します。プラットフォームは通知を、製造者が主たる事業所を置く加盟国のCSIRTに転送し、例外的な状況がない限り、同時にENISAにも情報を提供します。受け取ったCSIRTは、製品が販売されている他の国のCSIRTとそれを共有します。

遅延のための狭い扉はあります。2025年12月11日、欧州委員会は、CSIRTが正当なサイバーセキュリティ上の理由により他のCSIRTへの配布を差し控えることができる条件を定める委任法令を採択しました。該当しないと考えてください。顧客の国の当局が、あなたが届け出た同じ日に知るものとして計画してください。

EUに拠点を持たない浙江省の工場にとって、現実的な問題は誰が届け出るかです。規則は義務を製造者に付随させており、代理店や輸入者がそれを吸収することはできません。欧州の販売パートナーを早い段階で会話に引き込まなければならない唯一の点がここです。プラットフォームは、営業所ではなく、実際に機能するインシデントプロセスを背後に持つ、名前の明示された組織を必要とするからです。

クレーンのどの部分が「デジタル要素を持つ製品」に当たるのか

ほとんどの見積書が認めているよりも多くの部品表が該当します。判定基準は「チップが載っているか」ではなく、その品目が、他の機器やネットワークに直接または間接に接続するソフトウェアまたはハードウェア製品かどうかです。

標準的な天井クレーンの構成部品	デジタル要素を持つ製品か	なぜファイルに入るのか
Ethernetまたはフィールドバス付きのPLC／クレーン制御装置	はい	安全ロジックを実行し、プラントネットワークに接続する
設定ソフトウェア付きの可変周波数ドライブ（VFD）	はい	ファームウェア、ブレーキや速度制限を変更するパラメータ
HMIパネルまたはタッチスクリーン	はい	オペレーティングシステムを実行し、多くの場合ウェブサーバーを備える
遠隔診断ゲートウェイ、4Gルーター、VPNボックス	はい、しかも通常は「重要製品」	VPNゲートウェイとルーターは附属書IIIのクラスIに明記されている
無線リモコンの送信機と受信機	はい、しかも無線機器でもある	同時に2つの規制：REDのサイバー要件とCRA
防振（アンチスウェイ）または位置決め制御装置	はい	動作を直接指令するファームウェア
ロードセル、過荷重表示器、過負荷保護	データを処理・送信する場合は該当	荷重信号を偽装されると機械自身の保護が無効になる
橋桁、エンドキャリッジ、ドラム、フックブロック、ワイヤロープ	いいえ	ソフトウェアも接続もない。鋼は鋼のまま。

この一覧が重要なのは、CRAがネジ1本ずつの認証を求めているわけではないからです。求めているのは、どの品目がデジタルで、誰が作り、どのバージョンで、サポート期間中にそのいずれかの脆弱性がどう修正されるのかを知ることです。これはエンジニアリングの問題である前に、棚卸しの問題です。

チェーンホイストとペンダント式操作を備えた標準的な単桁クレーンは、通常これらの品目を3つか4つ搭載しています。遠隔診断ゲートウェイを追加すると数は倍になります。別売りのホイスト・アクセサリーパッケージは独自の宣言を伴います。インバータと制御基板を備えて出荷されるホイストは、それ自体がデジタル要素を持つ製品だからです。

天井クレーンは附属書IIIの「重要製品」に該当するのか

いいえ。欧州委員会はデジタル要素を持つ重要製品の技術的記述を実施規則(EU) 2025/2392で定めており、クレーンはそこに含まれていません。これは良い知らせです。クラスIおよびクラスIIの製品はより重い適合性評価ルートを伴うからです。

しかし構成部品は話が別です。クラスIの一覧には、毎週クレーンのBOMに現れるものが含まれています。

附属書IIIのクラスI区分	クレーンのどこに現れるか
仮想プライベートネットワークの機能を持つ製品	浙江省からエンジニアがログインできるように設置する遠隔サービス用トンネル
ルーター、インターネット接続用モデム、スイッチ	制御盤の中でクレーンにSIMカードを与える4Gルーター
物理的および仮想的なネットワークインターフェース	Ethernet、Wi-Fi、フィールドバスのインターフェースカードとアダプタ
オペレーティングシステム	HMIパネル内のリアルタイムOSまたはWindowsビルド
アイデンティティ管理および特権アクセス管理	サービスチームが使用するリモートアクセスのアカウントシステム
セキュリティ情報およびイベント管理システム	クレーンと一緒にプラントレベルの監視を再販する場合に限る

CRA第7条(1)は連鎖からあなたを守ります。クラスIまたはクラスII区分の中核機能を持つ製品を統合しても、それ自体でホスト製品がそうした手続きに引き込まれることはありません。しかし、サプライヤーがその責務を果たしたことを確認する必要は残ります。その部品に適合宣言もCEマークもなければ、責任はあなたにあります。それは電話ではなく発注書に書いてください。

クレーンはどのくらいの期間サポートしなければならないのか

5年が下限であり、産業用機器については前文がさらに先へ行くよう示しています。CRAの前文60は、製品の寿命がそれより短い場合を除き、サポート期間は5年を下回るべきではないとし、さらに「産業制御システムなど産業環境での使用を意図した製品は、多くの場合かなり長期間使用される」と付け加えています。

これをクレーンの実際の耐用年数である20年から30年と並べて読むと、差は明白です。2027年のPLCが2052年にパッチを受けることを誰も期待していません。規則が求めているのは、パッチが止まる時を書面で明示することです。

附属書IIは、サポート期間の終了日を製品とともにユーザーに提供することを求めています。取扱説明書のその1行が、保守マネージャーがレトロフィットを計画するために使い、市場監視当局が最初に読む行です。

クレーンのクラスと使用条件	一般的な耐用年数	妥当な宣言サポート期間
軽作業場用クレーン、A3-A4、1-10 t	15-20年	デジタル部品について5年、その旨を明記
生産用クレーン、A5-A6、10-50 t	20-25年	8-10年、制御装置の更新計画を文書化
重作業用またはプロセス用クレーン、A7-A8、50-100 t	25-30年	10年、加えて契約上の移行期間
無線リモコンのみ、ネットワークなしのクレーン	15-20年	サポート期間は無線機器により決まり、多くの場合5-7年

これらの期間の範囲は、中国と欧州のサービス記録に基づく当社独自の計画前提であり、公表された統計ではありません。5年の下限は法律です。それを超える部分は商業的な判断であり、受注前に買い手と決めるべきです。制御装置のロードマップを添えて10年を約束するほうが、6年目に議論するよりはるかに安くつきます。

技術文書には何を入れるのか、SBOMとは何か

技術文書の要件は、工場の既存のCEファイルを作動する文書に変える部分です。旧機械指令向けに書かれたクレーンのファイルには、通常、図面、計算、リスクアセスメント、試験報告書、宣言が含まれます。バージョン付きの部品一覧が含まれることはほとんどありません。

項目	クレーンではどのような形になるか	現在よくある不足
一般的な説明と意図する用途	定格荷重、スパン、使用区分、環境、インターフェース	通常は存在するが、ネットワークインターフェースに触れることは稀
サイバーリスクを含むリスクアセスメント	信号を偽装または再生された場合に動作がどうなるか	欠落。安全リスクアセスメントは機械的危険で止まっている
ソフトウェア部品表（SBOM）	制御装置、HMI、ゲートウェイ内のすべてのサードパーティライブラリとファームウェアのバージョン	存在しない。前文77は作成を想定しているが、公開は求めていない
脆弱性対応プロセス	誰が報告を受け、誰がトリアージし、修正がスペインのクレーンにどう届くか	欠落。そしてこれは買い手のIT部門が試す条項である
安全な更新メカニズム	署名済みファームウェア、ロールバック、インターネット接続なしでも機能する経路	通常はUSBメモリとメール、しかも文書化されていない
協調的開示ポリシーと連絡先	営業用の受信箱ではなく、公開されたセキュリティ連絡先	欠落。しかも一覧の中で最も安く直せる項目

SBOMについて率直に言うべきことが2つあります。第一に、規則はその公開を強制していません。前文77は、製造者は「SBOMを公開する義務を負うべきではない」としています。第二に、一度だけ作成したSBOMは役に立ちません。価値があるのは、先週開示されたライブラリが制御装置のファームウェア内にあるかどうかを1日以内に答えられることです。それはPDFではなくデータベースです。

法的責任は誰にあるのか：工場、輸出者、それともEUの輸入者か

三者すべてが、それぞれ異なる形で責任を負い、輸入者は多くの中国サプライヤーが想定する以上に重い責任を負います。CRAの下で輸入者とは、非EUの製造者の名称を付した製品を市場に供給するEUの事業者です。製造者が必須サイバーセキュリティ要件を満たし、脆弱性対応プロセスを有していること、適合性評価が実施されたこと、技術文書が存在すること、CEマークが貼付されていることを検証しなければなりません。これを行わない輸入者は受動的な経路ではなく、責任を負う当事者です。

製造者は書面による委任により、域内の授権代理人を任命して特定の業務を遂行させることができます。これは任意であり、製造者自身の義務の代替にはなりませんが、欧州が起きているときにエンジニアが眠っている会社にとって、24時間の報告義務を実行可能にする仕組みです。

役割	CRA上の中核的义务	通常どこで破綻するか
製造者	設計、適合性評価、CE、文書、サポート期間、脆弱性対応、24時間報告	週末を越えて機能するプロセスがない
授権代理人	書面の委任に列挙された業務、通常は当局との連絡および文書の保管	委任状には署名があるが、背後に技術的能力がない
輸入者	市場に供給する前に、適合性、CE、文書、製造者の脆弱性プロセスを検証する	クレーンを他の機械と同様に扱い、CE証明書だけを求める
販売業者	製品を提供する前にCEと宣言を確認し、不適合であれば対応する	PDFを保管するだけで、バージョンを確認しない

制裁は、輸入者が質問を始めている理由を説明します。第64条は、必須サイバーセキュリティ要件および製造者の義務違反に対し、最高15,000,000 EURまたは全世界年間売上高の2.5％のいずれか高い方を行政罰金として定めています。文書および手続き上の不備は10,000,000 EURまたは2％です。認定機関や市場監視当局に不正確、不完全、または誤解を招く情報を提供した場合は5,000,000 EURまたは1％です。

違反	行政罰金の上限
必須サイバーセキュリティ要件、製造者の義務	15,000,000 EURまたは全世界年間売上高の2.5％のいずれか高い方
輸入者、販売業者その他の手続き上の義務	10,000,000 EURまたは全世界年間売上高の2％のいずれか高い方
当局への不正確、不完全、または誤解を招く情報	5,000,000 EURまたは全世界年間売上高の1％のいずれか高い方

中規模のクレーンメーカーにとって、パーセントの枝が効くことはめったにありません。15百万EURの枝は従業員数を見ませんし、モデルをEU市場から撤退するよう命じられることは、どんな罰金よりも高くつきます。

脅威は現実なのか、それとも書類仕事なのか

産業制御システムは理論上の標的ではありません。開示のパイプラインだけでも物語を語ります。公表される産業制御システムの勧告の数は増え続け、深刻度もそれに伴って上昇しています。

指標	値	出典
2025年に公表されたICS勧告	508件、2,155件のCVEをカバー（500件を超えた初の年）	Forescout Research、2026年2月、CISAデータに基づく
これらの勧告の平均CVSS	8.07、2010年の6.44から25％上昇、82％が高または重大	Forescout Research、2026年2月
2010年以降の累計勧告	3,637件の勧告、12,174件の脆弱性、2,783製品、689ベンダー	Forescout Research、2026年2月
既知の悪用済み脆弱性を含むOT機器	270組織の940,000台以上の機器のうち12％	Claroty Team82、State of CPS Security 2025
そうした機器がインターネットに露出している組織	40％、脆弱性がランサムウェアに関連する部分集合では31％	Claroty Team82、State of CPS Security 2025
製造業におけるランサムウェアの増加、2024年から2025年	61％、重要セクターの中で最大の増加	Claroty、2025年10月31日

4行目と5行目を合わせて読んでください。調査対象の工場のほぼ10社に4社が、すでに既知の悪用済み脆弱性を抱える資産に、安全でないリモートアクセスを置いていました。それはまさに、エンジニアを派遣せずに顧客を支援できるよう、クレーンに診断ゲートウェイを取り付けることで生まれる構成です。ゲートウェイ自体が問題ではありません。共有パスワードと更新経路のないゲートウェイが問題です。

無線リモコンは今、何を証明しなければならないのか

無線リモコンは最初にこの場に到達しました。欧州委員会委任規則(EU) 2022/30は、無線機器指令第3条(3)(d)、(e)、(f)のサイバーセキュリティ必須要件を、対象となる区分の無線機器に2025年8月1日から義務づけました。クレーンの送信機と受信機の組は無線機器であるため、それ以降にEU向けに出荷されたすべてのハンドヘルドユニットがその範囲に入ります。

整合規格は、インターネット接続無線機器向けのEN 18031-1:2024と、個人データを処理する機器向けのEN 18031-2:2024です。これらは制限付きで官報に引用されており、そのうち1つの制限は異例なほど具体的です。実施決定(EU) 2025/138における引用には、EN 18031-1の6.2.5.1および6.2.5.2を適用する際に「ユーザーがパスワードを設定・使用しないことを許されている」場合、EN 18031-1は適合性推定を与えない旨の告知が付されています。

その一文が多くのハードウェアを失格させます。固定のペアリングコードで出荷され、パスワード設定を要求しない送信機は、整合規格に頼ることができません。それだけで製品が違法になるわけではありませんが、適合性を証明する最も簡単な経路が失われ、買い手のコンプライアンス部門はそれを見つけます。

産業用無線リモコンに対する攻撃クラス	攻撃者が行うこと	サプライヤーに投げかける質問
捕捉と再生（キャプチャ・リプレイ）	有効なテレグラムを記録し、後で再送してクレーンを動かす	リンクは暗号化されているか、テレグラムはカウンタやタイムスタンプで再生から保護されているか
コマンドインジェクション	テレグラムの構造を解読し、別のコマンドに置き換える	アドレスだけでなく、コマンドペイロードに対するメッセージ認証があるか
悪意ある再プログラミング	操作要素と機械出力の対応関係を書き換える	署名済みイメージと物理的なサービス手順なしにファームウェアを書き込めるか
悪意ある再ペアリング	元の送信機をエミュレートし、受信機に新しい送信機を受け入れさせる	ペアリングには受信機への物理的アクセスと認可された鍵が必要か

上記の4つの攻撃クラスは、HBC-radiomaticが産業用無線リモコンのセキュリティに関する公開ホワイトペーパーで用いている分類であり、同社は10年以上にわたり完全に暗号化された無線伝送を提供し、可能な場合は外部ペネトレーションテストにシステムを提出しているとも述べています。それが現在、真剣なサプライヤーが従う基準です。欧州製リモコンと安価なリモコンを比較する買い手にとっての妥当なベンチマークでもあります。問うべきは、データシートに「暗号化」と書かれているかではなく、4つのクラスのうちどれが塞がれ、それをどう証明するかです。

IEC 62443のコストはいくらか、CE対応の代わりになるのか

IEC 62443は「これを適切に行ったとどう示すか」に対する産業界の答えであり、CEマーキングの代わりにはなりません。それは開発プロセスと製品の技術的セキュリティ要件の認証です。CEファイルは依然として存在しなければなりません。

クレーンメーカーにとって重要なのは3つの部品です。安全な開発ライフサイクルの4-1、コンポーネントの技術的セキュリティ要件の4-2、システムの3-3です。公表されている2026年のスキーム料金と評価範囲は、使える桁感を与えてくれます。

認証の対象	規格	スキーム料金	評価、一般的な範囲
安全な開発ライフサイクル	62443-4-1	年間 1,500 USD	成熟度レベル2で 15,000-35,000 EUR
コンポーネント	62443-4-2	コンポーネント1件あたり年間 1,200 USD、またはファミリー1件あたり年間 1,500 USD	認証済みの4-1プロセスに加えて 25,000-50,000 EUR
システム	62443-3-3	年間 1,200 USD	30,000-50,000 EUR
初回のデバイス認証、総額	ISASecureスキーム	上記に含まれる	スキーム自身のFAQによれば 50,000-75,000 USD

規格そのものは最も安い項目であり、最もよく飛ばされる項目でもあります。IECは各部を別々に販売しており、62443-4-1が335 CHF、62443-4-2が405 CHFなので、製品サプライヤーの最小セットは740 CHFです。プラントがサービスプロバイダーに何を求めるかを理解するために必要なフルセットでも3,000 CHF未満です。規格を買うほうが、コンサルタントに要約を頼むより安くつきます。

特に機械規則にとって重要な第2のルートがあります。規則(EU) 2019/881に基づいて採択されたサイバーセキュリティスキームによる認証は、MRの附属書IIIの1.1.9および1.2.1に対する適合性推定を与えます。現在のスキームはEUCCで、実施規則(EU) 2024/482により設立され、2025年2月27日から適用されており、「実質的（substantial）」と「高（high）」の2つの保証レベルがあります。EUCCでは自己評価は認められていません。1つの証明書で両方の法律を満たしたいクレーンメーカーにとって、それがその仕組みであり、文書レビューではなく本格的なプロジェクトとして価格が設定されています。

コンプライアンスにはクレーン1台あたり実際いくらかかるのか

この業界で1台あたりの数字を公表している者はいないので、当社の数字を示します。以下の数値は、PLC制御クレーン3モデルのシリーズについてのSIECの計画試算であり、試験と文書作成に関する当社自身の見積もりに基づいています。公表された統計ではなく、制御システムの範囲に応じて変動します。

作業パッケージ	初年度	継続費用
安全ファイルに追加する脅威モデルとサイバーリスクアセスメント	エンジニア5-8人日	モデル変更ごとに1-2日
制御装置、HMI、ゲートウェイのSBOM作成と更新	4-6日	四半期ごとに1-2日
ゲートウェイと無線リンクの外部ペネトレーションテスト	8,000-15,000 EUR	2-3年ごとに8,000-15,000 EUR
文書、適合宣言、取扱説明書の更新	3-5日	年間1-2日
脆弱性対応と24時間報告義務	プロセス構築に3-4日	年間4-8日、加えてオンコール対応
任意：EUCCまたはIEC 62443-4-2認証	40,000-90,000 EUR	スキーム料金とサーベイランス監査
第三者認証なしの合計	25,000-55,000 EUR	年間 10,000-25,000 EUR

生産量で償却すると、状況はまったく変わります。年間40台なら初年度コストは1台あたり625から1,375 EURです。年間8台なら1台あたり3,100から6,900 EURで、これは20トン機1台の海上運賃と同じ桁です。小規模メーカーがこのセグメントに留まれるかを決めるのは継続費用のほうです。年間10,000から25,000 EURは数量に応じて縮小しないため、受注残が減るほど1台あたりの固定費は上がります。

過小評価されがちな項目が報告義務です。24時間の時計は、浙江省から欧州時間の午前3時に連絡が取れる誰かが必要だということを意味します。実際には、インシデントプロセスを持つ欧州のサービスパートナーか、当番制のいずれかです。どちらもコストがかかり、どちらも見積書には載りません。

RFQ（見積依頼書）には何を書くべきか

2つの規制を理解している買い手は、理解していない買い手とは違う発注書を書きます。以下は、欧州からの引き合いで現在見られる条項であり、当社が買う側なら入れる条項です。

条項	機能する文言
1. 棚卸し	クレーン内のすべてのデジタル要素を持つ製品を、メーカー、型番、ファームウェアバージョンとともに列挙する
2. 宣言	サードパーティ品目ごとにCE適合宣言を提出するか、存在しない旨を書面で明示する
3. サポート期間	サポート終了日を取扱説明書に明記し、その責任者を指名する
4. リモートアクセス	アウトバウンドのみの接続、インバウンドポートなし、サイトごとの認証情報、共有サービスアカウントなし
5. 無線リンク	暗号化された伝送、リプレイカウンタ、初回使用時のパスワード必須、物理的なペアリング手順
6. 更新	署名済みファームウェア、文書化されたオフライン更新経路、ロールバック手順
7. SBOM	NDAの下、要請から5営業日以内に提出し、ファームウェアのリリースごとに更新する
8. 報告	クレーンに影響する活発に悪用されている脆弱性を知った時点から24時間以内に買い手へ通知する
9. エスカレーション	一般的な営業宛先ではなく、応答時間を定めたセキュリティ担当者を指名する
10. 変更管理	制御装置、HMI、ゲートウェイのいかなる差し替えも書面の承認とファイルの更新を要する

買い手を最もよくある現実の失敗から守るのが第10条です。供給遅延のため工場で制御装置が交換され、誰も文書を更新せず、18か月後に現場のクレーンが宣言されたファイルと一致しなくなります。機械規則の下ではそれは適合性の問題です。CRAの下では、10百万EURの区分に入る文書不備です。

2027年納入の現実的なタイムラインは

今発注される案件は2つの規制が重なる窓に入り、書類よりも順序が重要になります。

段階	時期	準備しておくべきもの
受注と設計凍結	2026年第4四半期から2027年第1四半期	部品一覧とサプライヤー宣言を受注と同時に確定する（後回しにしない）
機械規則の適用開始	2027年1月20日	附属書III 1.1.9の証拠：接続アーキテクチャ、記録された介入、保護された安全ソフトウェア
既存稼働機へのCRA報告義務	2026年9月11日からすでに施行	EUにすでにある接続型クレーンすべてに対する、指名された連絡先と書面のトリアージプロセス
CRAの主要義務	2027年12月11日	CRA適合性評価、宣言、CE、SBOM、宣言されたサポート期間
最初のCRA監査サイクル	2028年	脆弱性プロセスが文書化されただけでなく、実際に運用された証拠

実務的な結論は、2027年後半に納入されるクレーンは納入時に機械規則を満たす必要があり、数か月以内にCRAの枠組みに入るということです。両方のために一度だけファイルを設計するほうが、一方をもう一方に後付けするより安くつきます。2つが重なるのは制御システムです。1.1.9は介入が安全機能を破損し得るかを問い、CRAはそれに気づいて修正できるかを問います。

正直なまとめ

クレーンのサイバーコンプライアンスは、中国製クレーンを締め出すための欧州の仕掛けではありません。文書とプロセスの法律であり、適切なCEファイルをすでに作っている工場は、期限が示すよりも適合に近いところにいます。それが実際に罰するのは、ほとんどの輸出者が現在依存している構成です。サードパーティのPLCとゲートウェイ、共有パスワード、文書化されていない更新経路、そしてその問いを所有する者が誰もいないこと。

最初に直すべきは報告義務です。すでに施行されており、適切に設定するのにほとんどコストがかかりません。指名された連絡先、短い書面のトリアージプロセス、そしてクレーンの異常な挙動に関する顧客からの報告は1時間以内にその連絡先に届くというルール。それで1週間の作業です。代替案は、インシデントの最中に義務に気づくことであり、そのとき24時間の時計はすでに動いており、輸入者はなぜ知らされなかったのかと尋ねています。

よくある質問

インターネット接続のないクレーンにもサイバーレジリエンス法（CRA）は適用されますか？

はい、その一部でも、他の機器に直接または間接に接続するデジタル要素を持つ製品であれば適用されます。PLCとHMIをローカルネットワーク上に置き、インターネットへの経路を持たないクレーンも対象です。同法は間接的な接続も対象としており、制御盤に技術者のノートPCを接続することも「接続」に当たります。インターネット接続がない場合に変わるのは実際のリスクであり、法的な適用範囲ではありません。

欧州の代理店を通してのみ輸出しています。その場合、代理店が製造者になるのですか？

いいえ。クレーンに御社の名称や商標が付されている場合、CRA上の製造者は御社であり、報告義務も御社にあります。代理店は製品を市場に供給する場合には輸入者となり、検証義務を負いますが、御社の義務が移転するわけではありません。機械に自社ブランドを、書類に代理店名を記載しても、責任の所在は変わりません。

無線リモコンはREDとCRAの両方で二重に規制されるのですか？

無線リモコンは無線機器であると同時に、デジタル要素を持つ製品でもあります。無線機器指令のサイバー要件は、委任規則2022/30を通じて2025年8月1日から適用されており、整合規格はEN 18031-1およびEN 18031-2です。CRAはさらに、製品全体とそのライフサイクルを対象とする別個の水平層を追加します。一方の証明書で他方が満たされると考えてはいけません。欧州委員会のガイダンスでは、法令の組み合わせにおける相乗効果は製造者が証明しなければならないとされています。

脆弱性を発見したが72時間以内に修正できない場合はどうなりますか？

それでも通報します。72時間という期限は完全な通知に対するものであり、修正に対するものではありません。活発に悪用されている脆弱性に関する最終報告書は、是正措置が利用可能になってから14日以内に提出する必要があり、これは別のタイムクロックであり、修正には通知より長い時間がかかることを前提としています。やってはいけないのは、誰かに伝える前に修正を待つことです。

EUに販売するにはIEC 62443の認証が必要ですか？

いいえ。IEC 62443は、CRAの下で自動的な適合性推定を与える整合規格として参照されていません。機械規則が定めているのは、規則(EU) 2019/881に基づいて採択されたスキームによる認証が、附属書IIIの1.1.9および1.2.1に対する適合性推定を与えるという点です。IEC 62443はプロセスを構築するための実務的な手段であり、買い手から要求されることはありますが、法的な関門ではありません。独立した製品として販売されるホイストについても、同じ論理がそれ自身の制御装置と宣言に当てはまります。

2018年に販売したクレーンが欧州にあります。2026年の報告義務の対象になるのですか？

はい。欧州委員会は2026年9月11日、報告義務はEUで提供されるすべてのデジタル要素を持つ製品に適用され、すでに市場にある製品も含まれると述べました。義務は販売日ではなく製造者に付随します。実際には、2018年製のクレーンの多くは遠隔接続がなく、悪用された脆弱性を知る手段もありませんが、それは「問われないだろう」と想定するのではなく、その事実を文書化する理由になります。