EU新規制でデジタル製品の責任が拡大｜日本企業への影響【世界のDX潮流】

IoT機器や産業機器、ソフトウェアなどデジタル要素を含む製品を扱う各企業では、発売後に見つかった脆弱性への対応を、これまで問い合わせ対応や修理と同じ「アフターサービスの延長」として位置づけてきた場合が多いのではないでしょうか。

しかしEUでは2024年、デジタル製品の販売後責任を根本から見直す2つの法令が相次いで成立しました。さらにそのどちらもが、適用時期を間近に控えているため、企業にとって猶予期間は長くありません。これは「製品は発売日に完成する」という長年の前提が、国際的に通用しなくなりつつあることを示しています。

本記事では、EUサイバーレジリエンス法と改正製造物責任指令が持つ意味を「デジタル製品の完成とは何か」という視点から整理し、日本企業の経営判断へ及ぶ示唆をお伝えします。

読み終えるころには、自社が販売する製品を「売り切って終わる商品」と捉えるのか、「販売後も安全性を維持しながら顧客と使い続けるサービス」と捉えるのかを、貴社の立場から問い直す視座が得られるはずです。

EUが2024年に整備した「販売後責任」の2つの枠組み

2024年、EUはデジタル製品の責任ルールを大きく見直す2つの法令を成立させました。1つはサイバーセキュリティ、もう1つは製造物責任の分野で、いずれも「販売後の企業活動」を規制の対象として明示的に取り込んでいます。この章では、2つの法令について整理します。

サイバーレジリエンス法（CRA）が製造者に課す義務

サイバーレジリエンス法（EU規則2024/2847、以下CRA）は2024年12月10日に発効しました。デジタル要素を含む製品を対象とし、次の業務を製造者へ義務付けるものです。

主要義務は2027年12月11日から適用されますが、脆弱性・インシデントの報告義務のみ2026年9月11日から先行して適用される点に注意が必要です。

悪用が確認された脆弱性については、認知から24時間以内にENISA（欧州連合サイバーセキュリティ機関）と加盟国CSIRTへ初期警告を行い、72時間以内に詳細通知、14日以内に是正措置報告を行うことが求められます。違反時には最大1,500万ユーロ（約27億円）または全世界年間売上高の2.5%のいずれか高い方の制裁金が科されます。

出典・参照：

• 欧州委員会（Cyber Resilience Act）
• 欧州委員会（CRA Summary、2024年）
• PwC Japan（欧州サイバーレジリエンス法、2024年）

改正製造物責任指令（新PLD）が広げる「欠陥」の定義

もう1つの動きが、改正製造物責任指令（EU指令2024/2853、以下新PLD）です。新PLDは2024年12月8日に発効し、1985年から続いた旧指令を約40年ぶりに全面改正しました。加盟国は2026年12月9日までに国内法化する義務を負い、同日以降にEU市場へ投入される製品に適用されます。

新PLDが従来と決定的に異なるのは、ソフトウェア（AIシステムやソフトウェアアップデートを含む）を明示的に「製品」として定義へ組み込んだ点です。さらに、製造者が管理する更新プログラムやAIの学習継続によって生じた欠陥も、販売後のコントロール範囲として無過失責任の対象へ含めています。加えて、被害者の立証負担を軽減するため、技術的複雑性が過度な場合の欠陥推定規定や、製造者への文書開示命令も導入されました。

出典・参照：

• SOMPOインスティチュート・プラス（EU改正PL指令、2024年12月）
• TMI総合法律事務所（改正EU製造物責任指令、2024年）
• 商事法務ポータル（EU製造物責任指令改訂案、2024年11月）

中心の変化は「販売後の運用能力」が製品価値を決めること

2つの法令に共通するのは、「発売時点でどこまで完成していたか」ではなく「販売後にどれだけ責任を持って運用できるか」を企業へ問う姿勢です。これはデジタル要素を持つ製品やソフトウェアを提供する企業全般のビジネスモデルに関する国際的な認識の転換点にあたります。この章では、その姿勢がどのような形で条文に落とし込まれているのかを見ていきます。

24時間・72時間・14日という時間軸の意味

CRAが求める段階的な報告期限は、単なるコンプライアンス上のタイムラインではありません。悪用された脆弱性が発覚してから、企業内部で状況を把握し、判断し、外部へ説明できるまでの時間そのものが「製品の運用品質」として測定されるようになったことを意味します。

この時間軸で動くためには、開発、品質保証、法務、広報、顧客対応が横断的に連携できる仕組みが前提となります。従来のように「開発は開発、法務は法務」で完結する組織構造では対応が難しく、部門間の情報連携速度そのものが、製品の競争力を左右する要素になりつつあるのです。

販売後のアップデートが「無過失責任」の射程へ

新PLDが販売後のソフトウェア更新まで責任対象へ含めた点も、同じ流れの上にあります。従来、製品の欠陥は「出荷時に存在した欠陥」を指すことが原則でした。しかしデジタル製品では、発売後に新たな脆弱性が発見されたり、AIの学習が進んだ結果として想定外の挙動が生じたりします。EUはこうした「販売後に生まれる欠陥」も、製造者の管理領域として位置づけたわけです。

出典・参照：

• ユビキタスAI（サイバーレジリエンス法対策）

域外適用がもたらす日本企業への波及

両法令はEUへ製品を上市する製造者・輸入者・販売者を対象としており、EU外の日本企業であってもEU市場へ製品や部品を供給する場合は域外適用の対象になります。ここで見落とされやすいのが、直接輸出していない企業も影響を受けうるという事実です。

自社製品が国内向けであっても、部品供給先や取引先のOEM経由でEU市場に載っていれば、サプライチェーンの一員として対応を求められる可能性は捨てきれません。その対象は、VPN機器、監視カメラ、産業用の通信モジュールといったハードウェアだけでなく、業務用ソフトウェアや、EU向けに提供するSaaS・クラウドサービスも含まれます。用途や顧客層、提供形態が異なる製品・サービスでも、同じ枠組みの下で継続的な管理が求められる点は共通しているのです。

自社で開発していないOS、通信モジュール、クラウドサービス、外部ライブラリに脆弱性が見つかった場合、どこまでが自社の報告責任になるのか判断に迷う場面もあるはずです。しかし、この不確実性そのものが、サプライチェーン全体で「どのソフトウェア部品が、どのバージョンで、どの製品に組み込まれているか」を可視化する必要性を高めていると考えることができます。

出典・参照：

• LAC WATCH（EUサイバーレジリエンス法案が日本企業に与える影響、2024年2月）

「発売日=完成日」という前提が崩れる構造

従来のものづくりでは、ハードウェアであれソフトウェアであれ、製品開発は設計、製造（またはソフトウェアの実装）、試験を経て発売された時点で「ひとまず完成した」ものと捉えられてきました。そして万が一、発売後に問題が見つかれば個別のリコールやパッチ配布で対処するという運用が、長年の常識でした。

しかし、ネットワーク接続を前提とするデジタル製品では、発売時点で安全だったとしても、その後に新しい攻撃手法や未知の脆弱性が発見される可能性があります。製品が顧客の手元で使われ続ける限り、メーカーもまた、その安全性を監視し続ける立場に置かれるのです。

この変化は、製品ライフサイクルを「発売日で終わるプロジェクト」ではなく「サポート期間全体を含む長い時間軸」として設計し直すことを企業へ求めます。想定サポート期間をあらかじめ定義し、その期間中は責任を果たすこと。裏返せば、いつまで責任を負うのかを明確にすることが、製品戦略そのものの一部になり始めているといっても過言ではないでしょう。