欧州市場の自動車業界サプライチェーンセキュリティ市場レポート

CRA（規則 (EU) 2024/2847）は、いよいよ2週間後の2026年9月11日から「脆弱性・重大インシデントの報告義務（第14条）」が先行適用されます。2027年12月の全面適用を前に、最も現場が逼迫している領域です。

• 国連規則（UN-R155/R156）に基づく型式認証を受ける乗用車やトラック自体はCRAの対象外です。
• しかし、アフターマーケット用診断機器、インフォテインメントシステム（IVI）、テレマティクス、EV充電インフラ、単体で市場に出るファームウェアやクラウドAPIなどはCRAの対象（デジタル要素を持つ製品: PwDE）となります。現在ドイツのTier 1サプライヤーは、どの製品が型式認証でカバーされ、どの製品がCRAのCEマーキングを必要とするかの峻別を完了させています。

• 2026年9月11日以降、悪用された脆弱性を認識してから24時間以内に初期の早期警戒（Early Warning）をENISAおよび国家CSIRTに報告しなければなりません。
• ドイツの主要サプライヤーは、欧州委員会が2026年7月27日に発行した「実務ガイドライン」をベースに、インシデント管理プラットフォーム（欧州共通報告プラットフォームなど）とのシステム連携テストを終え、本番稼働の体制に入っています。

• CRA対応のためにSBOMの作成と継続監視が義務化されるため、ドイツ市場で日常的に要求される最小フィールド基準（BSI TR-03183-2など）に準拠したSBOM自動生成プラットフォームの導入がサプライチェーン全体で急速に進んでいます。

欧州機械指令（2006/42/EC）に代わる「新機械規則」は、2027年1月20日に猶予期間なしで完全義務化されます。自動車業界においては、主に車体製造ラインの生産設備、自動化ロボット、スマートファクトリー内の工作機械が対象です。

• 2026年後半に入り、ドイツ、フランス、イタリアなどの認証機関（TÜVやDEKRAなど）への適合性評価リクエストが前年比で30〜40%急増しています。
• 通常8〜12週間だった審査リードタイムが、2026年Q4には14〜20週間に伸びると予測されており、今（2026年8月）審査を通しておかなければ「2027年1月の崖（Cliff）」に間に合わず、生産設備の稼働や出荷が止まるリスク（港湾での差し止め等）があるため、ドイツの設備メーカーは駆け込み対応を行っています。

• 機械規則は「安全（Safety）」、CRAは「セキュリティ（Security）」を対象としますが、機械規則のAnnex III（1.1.9/1.2.1）には、機器の制御ソフトウェアの改ざん防止やデータ保護の要件が含まれています。
• 現在、標準化団体（prEN 50742など）の整合規格の策定が2026年を通じて進められていますが、完全な整合規格のリスト化が遅れているため、企業は既存の「IEC 62443」などを参考に独自でセキュア・バイ・デザインの実装を進める手探りの状況が続いています。

• 新機械規則では、取扱説明書やEU適合宣言書（DoC）のデジタル提供（QRコード等）が認められています。
• しかし、直近の2026年初頭に提案された「Omnibus IV（デジタル適合宣言の早期義務化）」において、機械セクターだけ24ヶ月の移行期間が除外され、2027年1月から即時デジタルDoCが義務化される方向になりそうなため、VDMA（ドイツ機械プラント建設連盟）などの業界団体が反発し、実務的な対応を急いでいます。

規制2026年8月現在の局面自動車サプライチェーンへの主な影響CRA（サイバーレジリエンス法）超厳戒体制（9/11に報告義務開始）アフターパーツ、EV充電器、IVI等における24時間以内の脆弱性報告体制の整備。全階層へのSBOM提出要求。機械規則（Machinery Regulation）最終実行期（2027/1/20全面適用）生産ラインの製造設備・ロボットの適合評価。認証機関（Notified Body）の混雑により、今まさに審査の遅延が発生中。

ドイツの自動車業界と取引のある日本企業（コンポーネントサプライヤー、産業用機械・工具メーカー）は、CRAの報告窓口の確立と、機械規則に基づくCEマーキングの更新を今秋中に完了させることが必須のステータスとなっています。

IEC62443-4-2のセキュリティレベルの採用基準はどのようになっているかレポートします。

IEC 62443-4-2におけるセキュリティレベル（SL: Security Level）の採用基準は、一律の絶対的なルールではなく、「対象製品が設置される環境のリスク」と「インシデント発生時の社会的・経済的インパクト」を掛け合わせて決定されます。

特に自動車の製造ライン（OT環境）やEV充電インフラ、スマートファクトリーの文脈において、ドイツの主要OEMやインテグレータは以下の基準で各レベル（SL1〜SL4）を採用・要求しています。

IEC 62443では、達成すべき目標値（SL-T: Target Security Level）を以下の4段階で定義しています。ドイツの自動車業界における具体的な採用基準の目安は以下の通りです。

セキュリティレベル定義（攻撃者の想定と能力）自動車業界・サプライチェーンにおける主な採用基準・対象製品SL 1偶発的な誤操作や、カジュアル（知識の低い）な攻撃への防御・物理的に厳重に隔離されたネットワーク内の末端センサー
・重要度の低い単機能の計測器、インジケータなど
・※現在の自動車業界では「単体でSL1」での採用は減少しつつあります。SL 2明確な意図を持ち、シンプルな手段・低リソースで行われる攻撃への防御・ドイツの製造ライン（OT）における一般的なコンポーネントのデファクト（標準基準）
・一般的な産業用PLC、I/Oモジュール、インバータ
・工場内のHMI（タッチパネル端末）、スマートツール（電動工具類）SL 3明確な意図を持ち、高度な知識やツール・中リソース（ハッカー集団等）で行われる攻撃への防御・重要インフラや、工場の稼働停止に直結する基幹コンポーネント
・工場ネットワークの境界にある産業用ルーター、VPNゲートウェイ
・セーフティPLC（安全制御系）、メインのライン制御システム
・パブリックな場所に設置される「EV急速充電器」や外部連携IVIシステムSL 4明確な意図を持ち、極めて高度な知識と潤沢なリソース（国家支援型等）で行われる攻撃への防御・原則としてコンポーネント単体でSL4を要求されることは稀
・原子力発電や極めて機密性の高い軍事・国家インフラレベル
・自動車業界では、暗号鍵を管理する最上位の認証サーバーやHSM（ハードウェア・セキュリティ・モジュール）の管理環境などに限定

ティア1・ティア2サプライヤーが製品を開発・納品する際、どのSLを満たすべきかは以下の3つのステップ（プロセス）を経て決定されます。

• 自動車メーカー（OEM）や工場インテグレータは、工場全体を「ゾーン（区画）」とそれを繋ぐ「コンジット（通信経路）」に分割します。
• 製品が「どのゾーンに配置されるか（例: 全社共有のITに近いゾーンか、現場のセル内か）」によって、ベースとなる要求SLが決まります。

• 「その製品がサイバー攻撃を受けた場合、工場全体のラインが止まるか？」「人命に関わる事故（ロボットの暴走など）が起きるか？」を評価します。
• インパクト（影響度）が大きい製品ほど、SL2からSL3への格上げが要求されます。

• IEC 62443-4-2では、識別・認証（FR1）、利用制御（FR2）、システム完全性（FR3）など7つの基本要件があります。
• 一言に「SL2」と言っても、製品の特性に合わせて「FR1（認証）はSL3を求めるが、FR5（データ機密性）はSL1でよい」といった、カスタマイズされた仕様書（プロファイル）がOEMから提示されるのが一般的です。

2026年8月末現在のトレンドとして、欧州CRAの強制適用に伴い、製品が「重要製品（ClassⅠ/ClassⅡ、または重要/高リスク製品）」に該当するかどうかが、SL採用の強制的なトリガーとなっています。

• CRAの技術要件を満たす客観的なエビデンスとして、「IEC 62443-4-2のSL2以上」の第三者認証を取得、あるいはそれに準ずる適合証明をサプライヤーに要求するケースがドイツ国内で標準化しています。