EUでまもなく義務化される規制への準備はできていますか?

欧州機械規則とサイバーレジリエンス法への対応: コネクテッドマシンが直面する2つの規制課題

機械装置メーカ(OEM)は、コネクテッドマシンの設計、開発、およびライフサイクル管理に影響を及ぼす2つの重要な規制変更への対応を進めています。

機械規則(EU) 2023/1230は2027年1月20日に全面適用され、EU市場における機械、関連製品、および部分完成機械に適用されます。本規則は、人々の保護と機械の安全確保を主眼としつつ、デジタル技術に起因するリスク(データの改ざん等に対する保護や、安全関連制御システムの完全性など)にも明示的に対応しています。本規則への適合に向けた対応については、当社のガイドをご覧ください。サイバーレジリエンス法(EU) 2024/2847は2027年12月11日に全面適用され、欧州市場に投入される「デジタル要素を含む製品(PDE)」のサイバーセキュリティ要件に関する統一的な法的枠組みを導入します。対象には、コントローラ、ドライブ、ソフトウェアといった個々のコンポーネントだけでなく、コネクテッド機能を備えた完成機械も含まれます。CRA (サイバーレジリエンス法)は、設計･開発から脆弱性管理、セキュリティ更新、インシデント報告に至るまで、製品のライフサイクル全体を通じてサイバーセキュリティを組み込むことを製造メーカに義務付けています。

機械規則とサイバーレジリエンス法はそれぞれ異なる要件を定めていますが、いずれもコネクテッドマシンにおけるサイバーセキュリティ強化の必要性を強調しています。これらの規制要件を満たすために、機械装置メーカは、機械のライフサイクル全体にわたり、安全、セキュリティ、リスク管理を一体的に捉え、サイバーセキュリティに関する規制要件への対応を進める必要があります。
 

機械装置メーカに対する本規制の適用について

これらの規制は、機械装置メーカに広く適用されます。機械の仕向け先がEU市場である場合、サプライヤの所在地にかかわらず規制の対象となります。規制に適合しない機械を供給することは違法であり、違反した場合には、最大1,500万ユーロ、または全世界での売上高の2.5%に相当する制裁金が科される可能性があります。

さらに、適合性が求められる範囲は、単なる機械の設計段階にとどまりません。機械規則とサイバーレジリエンス法では、機械装置メーカに対し、初期の製造段階を超えて、機械のライフサイクル全体を通じて安全やサイバーセキュリティをどのように管理していくかを考慮することが求められています。

機械規則とサイバーレジリエンス法への対応に向けて

これら2つの法規制は、いずれもセキュア･バイ･デザイン(設計段階からのセキュリティ確保)およびライフサイクル全体を通じたアプローチの重要性を強調しています。対応に向け、機械装置メーカは以下の点について検討する必要があります。

• リスクアセスメント
  • 製造メーカは、製品開発プロセスの一環として、サイバーセキュリティ関連のリスクをどのように特定･評価し、対処したかを文書化する必要があります。これにより、法規制への適合準備や技術文書作成の要件を満たすことが可能になります。
• セキュア･バイ･デフォルト
  • 製品は、初期設定で安全性が確保された「セキュア・バイ・デフォルト」の状態で市場に提供されなければなりません。
• データの機密性
  • 保存中、転送中、またはその他の方法で処理されるデータ(個人データやその他のデータを含む)の機密性および完全性を保護する必要があります(例: 最先端の技術を用いて、保存中または転送中の関連データを暗号化する)。
• データの完全性
  • 保存、送信、またはその他の方法で処理されるデータ(個人情報やその他のデータを含む)、コマンド、プログラム、および構成について、ユーザが許可していない改ざんや変更から保護し、その完全性を確保するとともに、データの破損について報告します。
• アクセス制御
  • 認証、アイデンティティ管理、アクセス管理システムなどを含む適切な管理メカニズムによって不正アクセスからの保護を実現し、不正アクセスの可能性がある事象について報告する必要があります。
• イベントロギング
  • データ、サービス、または機能へのアクセスや変更を含む、関連する内部の活動を記録･監視することでセキュリティ関連情報を提供します(ただし、ユーザがオプトアウトできる仕組みを設けること)。
• 脆弱性レポート
  • 製品ライフサイクル全体を通して、脆弱性を特定、評価、修復するためのプロセスを整備する必要があります。また、CRAは実際に悪用された脆弱性や重大なサイバーセキュリティインシデントに関する報告義務を導入しており、適切なガバナンスと対応プロセスの整備がより重要になります。報告義務は、お客様とENISA (European Union Agency for Cybersecurity: 欧州連合サイバーセキュリティ機関)の両方に対して課せられます。
    
    

機械規則とサイバーレジリエンス法への適合に向けて

ロックウェル･オートメーションは、機械装置メーカの皆様が安全、サイバーセキュリティ、そしてライフサイクル全体にわたる要件を統合し、効率的な規制適合プロセスを実現できるよう支援します。当社は、製品ポートフォリオおよびアーキテクチャ全体にわたり、強固なサイバーセキュリティ基盤を体系的に構築･導入してきました。その証として、セキュアな製品開発ライフサイクル(SDL)に関する最高レベルの認証であるIEC 62443-4-1 ML4を、産業オートメーション企業として初めて取得しています。

機械装置メーカがコンプライアンス戦略を推進する上で必要とするサイバーセキュリティ機能の多くは、すでにロックウェル･オートメーションの技術に組み込まれています。具体的には、CIP Securityによるセキュアな通信、Syslogによるイベントログ記録、セキュア･バイ･デザインに基づく開発手法、アクセス制御機能、セキュリティポリシー管理などが挙げられます。さらに、当社のSecureOT™サービスを活用することで、サイバーセキュリティリスクの評価とコンプライアンス対応やOT (制御技術)環境の強化に加え、継続的な脆弱性管理、セキュリティ更新、ライフサイクルサポートに向けた戦略の策定が可能になります。これらの機能は、サイバーレジリエンス法の附属書Iに示されたサイバーセキュリティに関する機能要件の多くへの対応に役立つとともに、機械のライフサイクル全体にわたる多層防御の実現にも貢献します。

しかし、コンプライアンスは、個々の製品や技術の枠を超えたものです。単一のコンポーネントだけで、機械全体の規制適合を実現することはできません。最終的にコンプライアンスの責任を負うのは機械メーカであり、その適合性は、機械の用途、システムアーキテクチャ、安全およびサイバーセキュリティに関するリスクアセスメント、システム統合、技術文書、そして継続的なライフサイクルプロセスといった要因に左右されます。

当社の目標は、機械装置メーカが適切な技術を選定し、サイバーセキュリティのベストプラクティスを導入するとともに、規制への適合と長期的な運用レジリエンスの双方につながる、再現性のあるライフサイクル管理プロセスを確立できるようにすることです。

今、取り組むべきこと

まずはEU市場への投入を予定している機械から着手し、適用される要件、主要なギャップ、および対応の責任者を明確にすることを推奨します。2027年1月の機械規則適用開始に向けた準備を優先しつつ、同時にサイバーレジリエンス法が定めるサイバーセキュリティおよびライフサイクル要件を、同じ製品ロードマップに組み込んでください。

ご質問がございましたら、お気軽にご相談ください。御社が直面する独自のコンプライアンス課題の解決を当社がどのように支援できるかについては、トラストセンターをご覧いただくか、最寄りのロックウェル･オートメーションの担当者までお問い合わせください。