コラム
コラム
PSA Certified™ Level1認証取得で欧州サイバーレジリエンス法への準拠とは？（後編）
2025-11-17
後編となる本コラムでは前編の続きとして、CRAの対象製品、CRAの対象製品とCertified™ Level1認証取得との関係について解説していきます。
１．デジタル要素を含む重要（Important、Critical）な半導体製品とは？
・CRAのANNEX Iでは、デジタル要素を含む重要の必須サイバーセキュリティ要件、ANNEX IIIでは、デジタル要素を含む重要（Important）な製品、ANNEX IVでは、デジタル要素を含む大変重要（Critical）な製品がまとまられています。下表では、MCU、MPU、SoC等の半導体製品だけをピックアップしてまとめてあります。各半導体ベンダーのMCU、MPU、SoC製品がどこのカテゴリーに属するのかを決めるのは各半導体ベンダーです。EUが決めてくれるわけではありません。
| ANNEX | 対象製品（半導体製品） | |
| ANNEX I | ANNEX III 重要（Important）なデジタル製品ではないかつ、ANNEX IV 大変重要（Critical）なデジタル製品ではない、MCU、MPU*¹ | |
| ANNEX III 重要（Important）なデジタル製品 | Class I | 13. セキュリティ関連機能を備えたMPU 14. セキュリティ関連機能を備えたMCU 15. セキュリティ関連機能を備えた特定用途向け集積回路（ASIC）とフィールド・プログラマブル・ゲート・アレイ（FPGA） |
| Class II | 3. 耐タンパー性を有するMPU 4. 耐タンパー性を有するMCU | |
| ANNEX IV 大変重要（Critical）なデジタル製品 | 3. セキュアエレメントを含むスマートカードまたは同様のデバイス | |
*¹：SoCはMPUの一形態と理解していますのでここでいうSoCはMPUに含まれているとご理解ください。
・ANNEX I はすべてのデジタル要素を含む製品を対象とした水平要件として規格化が進んでいます。ANNEX III Class I、Class II及びANNEX IVは水平要件にプラスした製品別垂直要件として規格化が進んでいます。下表に規格内容を検討しているCEN-CLC*²のワーキンググループ（WG）を記します。
*²：欧州標準化委員会（CEN）及び欧州電気標準化委員会(CENELEC）
| ANNEX | 対象製品 | CEN-CLC WG | |
| ANNEX I | デジタル要素を含む製品 | JTC 13 WG 9 | |
| ANNEX III 重要（Important）なデジタル製品 | Class I | 13. セキュリティ関連機能を備えたMPU 14. セキュリティ関連機能を備えたMCU | TC 47X WG 1 |
| 15. セキュリティ関連機能を備えた特定用途向け集積回路（ASIC）とフィールド・プログラマブル・ゲート・アレイ（FPGA） | TC 47X WG CRA | ||
| Class II | 3. 耐タンパー性を有するMPU 4. 耐タンパー性を有するMCU | TC 47X WG 2 | |
| ANNEXIV 大変重要（Critical）なデジタル製品 | 3. セキュアエレメントを含むスマートカードまたは同様のデバイス | TC 47X WG 3 | |
2．ここでちょっとQ＆A
・上表の対象製品の説明を読んで疑問を持たれる方も多くいると思われるので、3問ほどQ＆Aを挟みます。
| Q | A |
| ・セキュリティ関連機能とは、何を指すと考えられるか？ | ・各半導体ベンダーが決めることですが、イメージとしてはハードウェアで実現する暗号関連機能、耐タンパー対策等が一般的にセキュリティ関連機能と考えられます。但し、ソフトウェアでも十分実現できることを機能と言うかどうかは、意見が分かれると思われますので各半導体ベンダー内において十分な検討及びその検討結果の社内周知、共有が必要となると思われます。 |
| ・Arm® Trustzone®のような非セキュア領域とセキュア領域を分離するような機能を含むMPU、MCUは、セキュリティ関連機能を含んでいると言えますか？ | ・はい、ANNEX III 重要（Important）なデジタル製品のClass I セキュリティ関連機能を備えたMPU、MCUに該当すると考えてよいと思います。Arm® Trustzone®のような非セキュア領域とセキュア領域を分離するような機能は、セキュリティ関連機能（ハードウェア）の最も基本的な機能です。もちろん、MPU、MCUはデジタル要素を含む製品としてANNEX Iにも該当していますので、対象製品をANNEX I相当とするか、ANNEX III Class I相当とするかは各半導体ベンダーの判断です。 ・各半導体ベンダーがMCU、MPU、SoCに実装するベンダーオリジナルの非セキュア空間とセキュア空間を分離するようなArm® Trustzone®類似機能があれば最低でもClass Iに該当する製品になると思われます。 ・Arm及びTrustzoneは、Arm Limited （またはその子会社）のEUまたはその他の国における登録商標です。 |
| ・耐タンパー性とは何ですか？ | 機器やシステムにおいて、その内部の秘密情報や秘密情報の処理メカニズムを、外部から解析や改変されることを防ぐ能力のことを指します。耐タンパー性が高い、低いといった使い方をします。 |
3．PSA CertifiedとCRAの関係
・PSA Certifiedが対象とするMCU、MPU、SoC製品に求めるセキュリティ要件は、PSA Certified™ Level 1 Questionnaire（L1 質問票）*³の「4．Chip Assessment Questionnaire」にまとめられていますが、CARに関しての質問も「7.2 EU Cyber Resilience Act」へ記載しています。この章では、CRAがデジタル要素を含むすべての製品が、CRAのAnnex Iのpart IとIIの必須要件に従って開発されることを要求していることを説明するとともに、適合性評価手順のオプションを、この章でまとめて説明しています。CRA条項（92）の参照も必須です。なので、L1 質問票7.2.2、7.2.3の質問は、CRAのAnnex Iのpart IとIIの必須要件と同じものになっています。L1 質問票7.2.4の質問は、CRAのANNEX IIと同じ内容で、デジタル要素を含むすべての製品の使用者に対する情報及び指示になっています。
*³：JSADEN001 L1 V3.1 Beta 01_.pdf
*³：JSADEN001 L1 V3.1 Beta 01_.pdf
・L1 質問票では、7.2.2、7.2.3及び7.2.4の質問への回答及び、回答のエビデンスの準備を行い、自己評価又は、PSA認証を取得することを目的として PSA Certified試験機関が評価することもできるとしています。回答が妥当であることが明確になれば、認証取得者は準拠を宣言できると考えられます。但し準拠を宣言する場合は、EU適合宣言書の作成等のCEマークに関する一連の手続きも必要です。以下の表に、L1 質問票とCRA ANNEX I、ANNEX IIの関連を表した表を記します。
| PSA Certified Level 1 Questionnaire | Cyber Resilience Act | |
| 7.2.2 Product Cybersecurity Requirements | ANNEX I ESSENTIAL CYBERSECURITY REQUIREMENTS（ANNEX I サイバーセキュリティの必須要件） | Part I Cybersecurity requirements relating to the properties of products with digital elements （Part I デジタル要素を含む製品の特性に関連するサイバーセキュリティ要件） |
| 7.2.3 Vulnerability Handling Requirements | Part II Vulnerability handling requirements（Part II 脆弱性ハンドリング要件） | |
| 7.2.4 Information and Instructions to the User | ANNEX II INFORMATION AND INSTRUCTIONS TO THE USER（ANNEX II ユーザーへの情報と指示） | |
4．本コラムのまとめ
・2027年12月11日から全面的に適用となるCRAへの自社のMCU、MPU、SoCのCRA対応は、各半導体ベンダーの急務です。
・PSA Certified™ Level 1 Questionnaireの7.2.2、7.2.3、7.2.4の質問は半導体ベンダーの現在のCRA対応力を確認するのに効果的です。
・MCU、MPU、SoCのAnnex I対応を進めるには、PSA Certified Level 1認証取得は、MCU、MPU、SoC調達者に対して、各半導体ベンダー自社製品のセキュリティ対応の有効性を高く訴求できます。
・PSA Certified Level 1に関連する文書は、以下よりダウンロード可能です。
https://www.psacertified.org/development-resources/certification-resources/#levelone
・欧州サイバーレジリエンス法（OJ_L_202402847_EN_TXT.pdf）は、以下よりダウンロード可能です。
https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng
・PSA Certified™ Level 1 Questionnaireの7.2.2、7.2.3、7.2.4の質問は半導体ベンダーの現在のCRA対応力を確認するのに効果的です。
・MCU、MPU、SoCのAnnex I対応を進めるには、PSA Certified Level 1認証取得は、MCU、MPU、SoC調達者に対して、各半導体ベンダー自社製品のセキュリティ対応の有効性を高く訴求できます。
・PSA Certified Level 1に関連する文書は、以下よりダウンロード可能です。
https://www.psacertified.org/development-resources/certification-resources/#levelone
・欧州サイバーレジリエンス法（OJ_L_202402847_EN_TXT.pdf）は、以下よりダウンロード可能です。
https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng
ECSEC Lab.は、日本で唯一のPSA Certifiedの評価機関です。PSA Certified Level 1評価のご依頼、ご質問、ご相談のお問い合せは、お問い合せフォームに必須事項をご入力の上、ご連絡ください。