この記事の要点
- 9月11日にCRAのSRP初期運用が始まり、メーカーによる脆弱性や重大インシデントの報告受付が開始された。
- ECAは9月22日、EUのサイバーインシデント検知・対応が情報共有の制限などで部分的にしか機能していないと報告した。
- 自社の報告先と期限を整理し、用語や分類、共有相手とタイミングをあらかじめ統一しておくことが重要だ。
9月11日、EUのサイバーレジリエンス法（CRA）に基づく「Single Reporting Platform（SRP）」の初期運用が始まった。一方9月22日、欧州会計監査院（ECA）は、EUのインシデント対応が情報共有の制限などで「部分的にしか」機能していないとする特別報告書を公表した。
事案の詳細
SRPは、デジタル要素を含む製品のメーカーが、実際に悪用されている脆弱性や重大なインシデントを報告するためのオンラインプラットフォームだ。メーカーはSRPを通じて一度報告すれば、関係する当局に情報が伝達される仕組みになっている。9月11日からメーカーの報告義務が適用され、SRPによる報告受付が始まった。EU域内の製品に関するサイバーセキュリティ情報を集約するための重要な仕組みとして注目されている。
しかしECAの特別報告書19/2026「Detecting and responding to cybersecurity incidents – EU cooperation framework progressing, but only partially effective due to implementation delays and limited information sharing」では、EUが近年、規制やネットワーク、インシデント対応の仕組みを整備してきたことは認めつつ、重大なサイバーインシデントや大規模なインシデントの検知・対応については、EUの取り組みは「部分的にしか」機能していないと結論付けた。理由として挙げられたのは、情報共有の不足と、仕組みの実装の遅れだ。
EUには、各国のCSIRTによる「CSIRTs Network」、大規模なサイバーインシデント時の危機管理を担う「EU-CyCLONe」、欧州連合サイバーセキュリティ機関（ENISA）などが存在する。ECAが問題視したのは、それらの仕組みが十分につながっていない点である。EUのインシデント対応の中心的な仕組みの1つであるNIS2指令では、重大なインシデントに関して早期警告を24時間以内、インシデント通知を72時間以内に行い、その後最終報告を提出することを求め、加盟国は国内で報告されたインシデントを集約してENISAに報告することになっている。
影響と背景
ECAが指摘した焦点の1つは「大規模（large-scale）なサイバーインシデント」の扱いだ。ECAによれば、2016年以降、EU加盟国が「大規模なサイバーインシデント」と分類したインシデントは1件もない。一方で、国境をまたいで大きな影響を及ぼした例として、2025年9月に発生したコリンズ・エアロスペース社へのサイバー攻撃が挙げられた。この攻撃では、空港のチェックインや手荷物処理、搭乗手続きなどに利用されていたシステムが影響を受け、複数の空港で混乱が発生したが、影響を受けた加盟国からEUレベルで正式な通知は行われなかったという。
さらにECAによれば、CSIRTs NetworkはEU-CyCLONeに対して同インシデントを支援すべきとの助言を行わず、そのためEU-CyCLONeも協調的な危機管理を支援できなかった。
背景としてECAは、ネットワーク間の手続きや基準の不足を挙げる。CSIRTs NetworkとEU-CyCLONeの間には協力手続きが十分に整えられておらず、「脅威」「脅威アクター」「インシデント」「影響」といった用語について共通の分類法（taxonomy）が存在しない。また、どのようなインシデントを「大規模（large-scale）」として扱い、いつEUレベルでエスカレーションするのかという共通基準も十分に整備されていない。加えてECAは、NIS2の国内法制化の遅れ、国境を越えた影響判断の難しさ、国家安全保障関連法、情報共有に対する信頼の不足も制約として挙げた。
収集される情報の量と把握のギャップも示された。ECAは、加盟国からENISAへの報告が2018年から2021年は年間100件から500件だったのに対し、2024年には1276件に増加したと指摘する。一方、ENISAが2025年10月に公開した年次報告書「ENISA Threat Landscape 2025」では、2024年7月1日から2025年6月30日までにOSINTなどから特定したインシデントは4875件とされた。ECAは、対象や定義が異なり単純比較できないとしつつも、重大なインシデントの全てが加盟国から報告されているわけではない可能性を指摘し、加盟国からENISAに提供されるデータが匿名化されているため未報告の正確な把握はできないとしている。さらに「国境を越えた重大なインシデント（significant cross-border incidents）」は、2025年に加盟国から報告されたのが14件、2024年は2件、2023年は0件、2022年は3件だった。これに対し「ENISA Threat Landscape 2024」では、2カ国以上の加盟国を標的としたインシデントが322件確認されたとされ、両者の差は疑問を抱くに十分な数字だと述べられている。
対策・今後の展望
ECAは、情報共有を強化するために、国家安全保障上の制約や法的・技術的な問題への対応を検討し、リアルタイムでのインシデント報告を可能にすることなどを勧告した。また、EUレベルで存在するさまざまな状況把握能力を合理化し、ENISAと欧州委員会による共同での情報収集・分析などを検討すること、「European Cybersecurity Alert System」をEU全体の仕組みに統合し、CSIRTs NetworkやEU-CyCLONeなどとの相互運用性を高めることも勧告している。
報告の仕組みが整備されたこと自体は前進とされる一方、ECAの報告書は「仕組みがあること」と「EU全体の状況を把握できること」は別の問題である点を浮き彫りにした。SRPについても、1回の報告で関係当局に情報を伝達できる効率性が期待される一方で、何を報告すべきかの共通化、どの情報をどの組織にどのタイミングで伝えるかの明確化、各国・各組織の情報を組み合わせたEU全体の状況把握が重要だと整理されている。
CSRIからのアドバイス
国境をまたぐインシデント対応では、報告窓口やネットワークが複数並立し、用語や分類、エスカレーション基準が揃わないまま運用されると、情報を「集める」ことと「活用する」ことが分離しやすい。EUの事例は、その課題を具体的に示した。
例えるなら、同じ出来事でも国や組織ごとに呼び方や重要度の基準が違うと、全体地図を作れないのと同じだ。つまり報告の仕組みがあっても、何をどの順で共有するかが揃っていなければ、広域での混乱を早く抑える判断につながりにくい。
まず自社で、脆弱性や重大インシデントを把握した際の「報告先」と「報告期限」を一覧にして確認する。次に、関係部門が同じ言葉で状況を説明できるよう、インシデントや影響の社内用語を簡単に揃える。最後に、共有相手と共有タイミングを決め、連絡経路を更新しておく。
