EU市場の主要3国（ドイツ、イタリア、フランス）の自動車製造メーカーのサプライチェーンにおけるSBOM管理とVEXについて

現在、欧州自動車業界がサプライヤーに要求しているVEXのレベルは、「SBOMとセットで生成・更新され、機械可読（Machine-readable）な状態で常時開示されていること」です。単なるテキストやPDFのレポートでは通用しないフェーズに入っています。

具体的な要求基準は以下の3つの階層に分かれています。

• 要求される背景:
  SBOMを生成すると、製品（工作機械、ロボット、車載ECUなど）に数千件の既知の脆弱性（CVE）が検知されます。しかし、その大半は「コンポーネントがその機能を使っていない」「コンパイル時に除外されている」などの理由で、実際には攻撃不可能なノイズ（偽陽性）です。
• 要求水準:
  OEMやティア1は、ノイズだらけのSBOMを送りつけられることを拒否しています。サプライヤーはVEXを使い、各脆弱性に対して以下の4つのステータス（Status）を明確にマークして提出することを求められています。
  1. Not affected（影響なし）
     ↑ ここが最も重要（なぜ影響がないかの理由コードの添付も必須）
  2. Affected（影響あり）
  3. Fixed（修正済み）
  4. Under investigation（調査中）

• 要求される背景:
  CRAでは製造業者が悪用されている脆弱性を認識してから「24時間以内」に初期報告を行う必要があります。手作業でVEXファイル（JSONなど）を作っていては間に合いません。
• 要求水準:
  SBOMの標準フォーマットであるCycloneDXやSPDXのデータ構造の中に、VEX情報が埋め込まれている（Embedded）、あるいはAPIで動的にリンクされていることが要求されます。
• 実務での運用:
  ドイツのBSI（連邦情報セキュリティ庁）のガイドライン（BSI TR-03183-2）等に基づき、サプライヤーが自社の自動脆弱性監視ツール（Dependency-TrackやSnyk、Tarixなど）と顧客の資産管理システムをAPI連携させ、脆弱性のステータスが「Not affected」に変わった瞬間に、顧客側の画面でも自動更新される仕組みの構築を求めています。

• 要求される背景:
  CRAおよび新機械規則への適合を証明するため、第三者認証機関や審査官（TÜV、DEKRA、フランスのANSSIなど）が監査を行います。
• 要求水準:
  VEXで「Not affected（影響なし）」と宣言する場合、「どのようなセキュリティ分析（静的解析、ペネトレーションテスト、コードレビュー等）を経てその結論に至ったか」のエビデンスを、開発プロセス（IEC 62443-4-1準拠）の一部として文書化し、いつでも提示できるようにしておくことが要求されます。

欧州共通のCRAに基づいているため基本の要求水準は同じですが、現場での「詰められ方」に国ごとのお国柄が出ています。

• 「標準化と自動化」。VDMAのガイドラインに沿って、「BSIのTR規格に準拠したCycloneDX+VEXのJSONファイルを、指定の調達ポータルに毎週（またはコード更新の都度）自動アップロードせよ」という、システム的な自動化を淡々と要求してきます。

• 「官僚的な厳格さ」。ANSSI（国家情報システムセキュリティ庁）の目があるため、VEXの「Not affected」の理由（Justification Code）の書き方や妥当性について、ドイツ以上に人間（システム監査官）が細かくチェックし、不備があると「CRA不適合リスクあり」として厳しく突き返される傾向があります。

• 「トップダウンとIP（知的財産）保護との葛藤」。ステランティスはグローバル調達基準としてVEXを強制していますが、モータバレーの中小サプライヤーからは「VEXを詳細に開示しすぎると、自社のカスタムソフトウェアの構造やノウハウ（知財）が流出するのではないか」という懸念が根強く、どこまで開示するか（抽象度レベル）の個別交渉が発生しています。

2026年8月末の現在、欧州の自動車業界と取引を続けるためには、「SBOMだけを出して終わり」という対応は通用しません。

• 自社が使っているSBOM管理ツールが、「VEX（またはCSAF：Common Security Advisory Framework）の出力に対応しているか」、そして「Not affected」の理由コードを正しく埋め込めるかを確認してください。

• 新たな脆弱性（CVE）が発見された際、開発チームや品質保証チームがそれを評価し、「自社製品には影響がない」と判断してVEXを更新するまでの社内フロー（PSIRT体制）を大至急稼働させてください。

貴社が現在、欧州市場向けに提供されている製品について、顧客（OEMやティア1）から具体的に「セキュリティレベルSL要件」や「SBOMの提出」や「脆弱性への回答（VEXに類する要求）」は届いていますでしょうか？

もし、届いていないとしても心配は要りません。
工作機械が自動車のサプライチェーン（製造ライン）に導入されるプロセスや、各規制の構造上の理由から、「要求が届くタイミングにタイムラグ（時間差）が発生している」のが実態です。

なぜまだ届いていないケースがあるのか、その3つの現実的な理由を解説します。

前述の通り、CRA（サイバーレジリエンス法）と新機械規則では、強制適用のスケジュールが異なります。

• 現在、自動車メーカー（OEM）が最優先でSBOMやVEXを要求しているのは、「完成車に組み込まれる電子部品（ECU、IVI等）」や「市販されるEV充電器」などのサプライヤーです。これらはまさに今月、強制適用の対象となるためです。

• 工作機械が直接縛られるのは、こちらの「新機械規則」です。この規則でもサイバーセキュリティ（ソフトウェアの改ざん防止等）は求められますが、完全義務化までまだ約5ヶ月の猶予があります。そのため、OEMの調達部門は「車載部品（CRA）」の対応で手一杯になっており、「工場設備（機械規則）」へのSBOM/VEXの具体的なフォーマット要求は、次のステップ（2026年秋以降）に後回しにされているケースが多々あります。

工作機械メーカーは、自動車OEM（VWやルノーなど）に直接機械を納めるだけでなく、工場全体のラインを設計・構築する「ラインビルダー」や「システムインテグレーター」を挟んで納品することが一般的です。

• OEMの現在の動き:
  OEMはまず、元請けであるラインビルダーに対して「2027年1月適用の機械規則を満たす設備を納めよ」と包括的な要求（RFP）を出しています。
• 情報の滞留:
  ラインビルダー側が、OEMからの要求を「個別の工作機械に落とし込んだ場合の具体的なSBOM/VEXの提出ルール」へと咀嚼（そしゃく）するのに時間がかかっている場合、末端の工作機械メーカーへの具体的な要件提示が遅れることになります。

車載ソフトウェア（LinuxやAndroidベースのIVIなど）に比べ、工作機械（CNCやPLC制御）はオープンソースソフトウェア（OSS）の依存度が低く、独自ファームウェアの比率が高いため、「工作機械にどこまで厳密なSBOM/VEXを求めるべきか」について、自動車業界側もまだ実務的なガイドラインを完全には固めきれていません。

現在、ドイツのBSI（連邦情報セキュリティ庁）やVDMA（ドイツ機械プラント建設連盟）が工作機械向けのプロファイルを策定中であり、顧客側も「何を基準に要求すればいいか手探り」の状況であるため、まだ具体的な連絡が来ていない可能性があります。

もし現時点で具体的な要件が届いていなくても、決して安心はできません。「要件が届いていない＝対応しなくていい」ではなく、「顧客側の準備ができ次第、2026年後半に急激な要求ラッシュが来る」と捉えるのが極めて現実的です。

現時点で顧客からの連絡がない場合、こちらから先手を打ってアプローチすることで、逆に「セキュリティ対応が進んでいる信頼できるサプライヤー」として強力なアドバンテージを得ることができます。