ANNEX I §1・必須要件
脆弱性耐性を備えて設計された製品
トレーニングは、Annex I §1違反を防ぐセキュアコーディングパターン — デフォルト拒否、入力検証、出力エンコーディング、整合性保護 — を提供し、デジタル要素を持つ製品が、パッチサイクルで後付けされるのではなく、設計段階で堅牢に出荷されるようにします。
コンプライアンス・EU CRA・ANNEX I
セキュアコーディングトレーニング、
EU Cyber Resilience Act — Annex Iに対応
2027年後半の期限前に、CEマーキング適合性評価が期待する証拠を生成する、言語別で実践的な開発者トレーニング。
15+言語
Annex Iマッピング済み
適合性対応証拠
・CRAへのマッピング方法・
あらゆる条項を、設計段階からカバー
CRAは中核となる要素 — Annex Iの必須サイバーセキュリティ要件、脆弱性ハンドリング、適合性評価、インシデント報告 — を指定しています。当プラットフォームは、ビデオライブラリに後付けされたものではなく、それぞれを満たすよう設計されています。
ANNEX I §2・脆弱性ハンドリング
メーカーとしての処理と開示
Annex I §2は、製品ライフタイム全体にわたって脆弱性を処理し開示することをメーカーに義務付けています。トレーニングは、適合性評価中に監査人がレビューするSBOM生成、CVEトリアージ、調整された開示ワークフローをカバーします。
ARTICLE 13・適合性評価
技術文書に流れ込むドキュメント
Article 13は、適合性を実証する開発中に生成されたドキュメントを要求します。トレーニング記録、セキュアバイデザインのレビュー証拠、SDLC成果物はすべて技術文書に流れ込み、認定機関の検査に耐えます。
ARTICLE 14・インシデント報告
24時間早期警告、72時間初期、14日最終
Article 14は厳格な頻度を設定しています：24時間早期警告、72時間初期評価、14日最終報告。トレーニングはエンジニアリング側 — 検知、分類、メーカーが各申告を擁護するために保存しなければならない成果物 — をカバーします。
・証拠パッケージ・
適合性レビュアーがすぐに受け取れるもの
CRA技術文書レビューに臨む認定機関または内部適合性レビュアーは、特定の成果物を求めます。当プラットフォームは7つを自動的に、継続的に、レビュアーが読む形式で生成します。
01
開発者ごとのトレーニング履歴
学習者ごとの履歴。Annex I §1必須サイバーセキュリティ要件と§2脆弱性ハンドリングコントロールへの明示的な相互参照付き。
02
対象範囲内の言語にマッピングされたカリキュラム
Annex I §1の根底にあるOWASPカテゴリーにマッピングされた言語別カリキュラム — トレーニングコンテンツと規制の関連性が暗黙ではなく明示的になります。
03
能力評価結果
実証された能力 — 開発者ごと、トピックごと — 学習者がセッションに出席するだけでなく、Annex I違反を認識し回避できることを証明します。
04
セキュアバイデザインのレビュー証拠
各主要リリースに適用されたセキュアバイデザインレビューの証拠 — 適合性評価者が技術文書で探すArticle 13のフック。
05
脆弱性ハンドリングのワークフロー記録
SBOM、CVEトリアージ、調整された開示をカバーするトレーニング記録 — メーカーのプロセスが人員配置され能力があることを証明するAnnex I §2のフック。
06
適合性評価の補足ドキュメント
技術文書の一部としてパッケージ化されたトレーニング記録 — Article 13適合性評価が初回検査で見つけることを期待するドキュメントセット。
07
バージョン管理されたカリキュラム更新
ENISA脅威ランドスケープと最新のAnnex I明確化に整合したカリキュラムのバージョン管理。適合性レビュアーが検査できる変更履歴付き。
・よくある質問・
EU CRAとサイバーセキュリティコンプライアンスについて
メーカーがCRAプログラムの範囲を決める際に最もよく尋ねる質問 — サイバーセキュリティコンプライアンスがAnnex Iとどのように相互作用するか、監査が何を確認するか、開発者トレーニングがどこに適合するか。
EU CRAの下でのサイバーセキュリティコンプライアンスとは？
EU Cyber Resilience Actの下では、サイバーセキュリティコンプライアンスとは、メーカーが — 技術文書の文書化された証拠を通じて — デジタル要素を持つ製品がAnnex Iの必須サイバーセキュリティ要件と、サポート期間全体にわたる脆弱性ハンドリングの義務を満たすことを実証できることを意味します。開発者トレーニング記録は、サポートする具体的な条項にマッピングされて、その証拠パッケージ内に位置します。
CRAのサイバーセキュリティコンプライアンス監査はどのように行われますか？
ほとんどのCRA対象範囲内の製品では、適合性評価が監査に相当します。認定機関または内部レビュアーが技術文書を検査し、各Annex I条項の背後にあるトレース可能な証拠を要求します — セキュアバイデザインのレビュー記録、SBOMと脆弱性ハンドリングの成果物、開発者ごとのトレーニング履歴。監査人は一回限りのスナップショットではなく、継続性を求めています。
サイバーセキュリティのコンプライアンスは一般的なITコンプライアンスとどう違いますか？
一般的なITコンプライアンスのフレームワークは、組織のコントロール — アクセス、ロギング、変更管理 — に焦点を当てています。CRAの下でのサイバーセキュリティのコンプライアンスは製品レベルです：特定のデジタル要素を持つ製品が設計段階で堅牢か、脆弱性ハンドリングプロセスを持つか、それを証明できるかを問います。対象範囲内の言語における開発者の能力は、中核となる証拠の一部です。
サイバーセキュリティとコンプライアンスプログラムにおいて、開発者トレーニングはどこに適合しますか？
トレーニングは上流のコントロールです。入力検証や整合性保護などのAnnex I §1の義務は、スキャナーが実行されるはるか前に、コードで最初に実施されます。CRA対応のサイバーセキュリティとコンプライアンスプログラムは、言語別の開発者トレーニングを単なるチェックボックスではなく測定可能な入力として扱い、適合性レビュアーが規制にマッピングし戻せる履歴を提示します。