EUは2026年1月に、従来の「サイバーセキュリティ法」（CSA, Regulation (EU) 2019/881）を改正する提案（いわゆるCSA2）を公表。
改正案では、既存のICT製品・サービス・プロセスの認証に加え、組織全体のサイバーセキュリティ体制(サイバーポスチャー認証)を新たに評価対象に含めることが明記されています。
これにより、認証取得をNIS2指令等への適合証明に利用できるようになり、企業の負担軽減が見込まれます。また、認証手続の簡素化(12か月以内の認証スキーム開発、透明なガバナンス強化)や、ENISAの役割強化も提案されています。
法案は欧州議会・理事会で審議中で、成立後は規則として即時適用、NIS2改正指令は加盟国に1年以内に実施義務が課される予定です。業界団体等は、大半が「認証制度を企業遵守支援ツールとし、国際標準との整合や簡素化を優先すべき」との立場を示しています。
以下、本件の対象範囲、法的枠組み、認証スキーム、技術要件および企業対応策について説明します。

対象範囲

現行EUサイバーセキュリティ認証制度(EU Cybersecurity Certification Framework, ECCF)の対象はICT製品・サービス・プロセスおよびマネージド・セキュリティ・サービス（管理型セキュリティサービス）です。
改正案では、これらに加えて
企業・組織全体のサイバーセキュリティ体制(サイバーポスチャー)が認証対象に追加されます。具体的には「ICT製品・サービス・プロセスまたはMSSだけでなく、組織のサイバー体制全般を認証できるようにする」ことが規定されています。
これにより、認証証明書をNIS2指令等への適合証明とみなす仕組みが導入される見込みです。
一方、IoTやOT、AIシステムといった特定技術カテゴリへの言及は改正案本文中に明記されておらず、これらは既存のICT製品・サービスの枠組み内で扱われる可能性があります。
なお、クラウドサービス向けには従来からEUCS(EU Cloud Certification Scheme)が検討されており、これもICTサービス認証の一環とみなせます。

法的枠組み

改正案は欧州委員会が2026年1月20日に提出したもので、正式名は「ENISAおよびEUサイバーセキュリティ認証フレームワーク、ICTサプライチェーン・セキュリティに関する規則（EU) 2019/881 の廃止・代替」。この案はCSA2とも呼ばれ、現行Regulation (EU) 2019/881 を廃止して新規則を制定するものです。
主な改正点は、前述の認証制度拡張に加え、ICTサプライチェーンのリスク管理枠組みの新設です。ICTサプライチェーン規則では、EUおよびNIS2適用セクター(18分野)における重要資産の特定と、第三国由来の高リスクサプライヤー指定、必要に応じた使用禁止・緩和措置の発動が可能になります。
例えば電気通信ネットワークでは36か月以内に高リスク機器の使用を段階的に廃止する規定などが盛り込まれています。
施行スケジュールとして、規則部分は「欧州議会・理事会採択後ただちにEU法として直接効力を持つ」、指令部分（NIS2修正）は加盟国に1年以内の実施が義務付けられます。
EU公式サイト等によれば、2026年中に欧州議会で審議が進められ、2027年に採択・発効する見込みです。

認証スキーム

現行ECCFでは、認証スキームは「基本(Basic)/中度(Substantial)/高(High)」の3つの保証レベルで運用され、ENISAがスキームの開発・管理を支援しています。認証は原則として任意で、企業はEU共通の手続きでICT製品やサービスのセキュリティ保証を得る仕組みです。認証書の種類には、ENISA主導で発行される「欧州サイバーセキュリティ認証証明書」と、製造者自らが発行する「欧州適合宣言書」があり、後者は保証レベルBasic相当の自己適合宣言を想定しています。
拡張案では、この枠組みを維持しつつ大幅な手続改善と機能追加が図られます。
まず、スキーム開発の迅速化です。欧州委員会からの要請に基づき、ENISAは各認証スキーム案を原則12か月以内に作成・提出する義務が明記され、従来長期化しがちだった制度化手続きが大幅に前倒しされる見込みです。
また、ガバナンス改革として新たに「欧州サイバーセキュリティ認証会議(European Cybersecurity Certification Assembly)」を設置し、市場・一般利害関係者も意見表明できる枠組みが導入されます。
さらに、スキームの維持・更新ルールが明文化され、既存スキームも4年周期で効果検証・見直しを行うことになります。
認証スキーム自体の内容についても以下の点が強調されます。
①認証要件の統一化・技術仕様化：ENISAは各スキームの実施細則(技術仕様)を作成し、標準や最新手法との整合性を確保します。
②他法令との連携：認証で得られた証明書を、NIS2指令やGDPRなどのEU法令への適合証明として活用(適合性の推定根拠)できる仕組みを制度的に整えます。
③合格判定の明確化：高レベル認証証明書発行手続(Article 85)や各保証レベルの達成要件が細かく規定され、ベンダーはEU声明書・証明書でレベル達成を宣言します。
④国際認証との調整：枠組みは国際相互承認にも対応しており、非EU認証との同等性原則に基づく相互承認枠組みも設けられます。

技術的要件

認証スキームの技術要件は、各スキームの「セキュリティ目標(Security Objectives)」と保証レベルに対応する具体的コントロール・試験方法で構成されます。改正案では、ENISAによる技術仕様の作成権限が明確化され(Article 77)、各レベルの要件は各スキームの附属書や「最先端文書(State-of-the-Art)」で定められます。
保証レベルBasicでは、製品・サービスの技術文書レビュー等によって「既知の基本的リスクを低減できる」ことが確認されます。
上位レベルでは脆弱性検査や第三者試験の実施要件が増え、より厳格なセキュリティ検証が課されます。
また、サプライチェーン管理やAIリスクにも間接的な対応があります。ICTサプライチェーン枠組みでは、特定重要資産や高リスク供給源を管理対象とし、異常発見時の通報・是正措置が命じられます。
認証制度側では、事業者に対し供給元の透明化や第三者監査等の要件を課す可能性があり、これにより部品調達やクラウド依存が評価対象になると思われます。
AIシステムに特化した認証要件はCSA2に盛り込まれていませんが、提案資料ではAI法やクラウド・AI開発法（CADA）との整合性が言及されており、将来的にはAI特有のサイバーリスク評価が追加される可能性があります。
技術試験方法としては、国際標準(ISO/IEC 15408, Common Criteria)を基盤とする点は現行と同様で、ECCFでは引き続きCCに準拠した認証が採用されます。

実務対応策

企業側は早期の準備と対応策が重要です。まず、対象製品・サービスの棚卸しを行い、新制度の対象となる自社領域(製品ラインや事業サービス、サイバー管理体制など)を把握します。既存のISO/IEC 27001などの情報セキュリティ管理システム導入状況を見直し、認証スキームで求められるセキュリティ要件との差分分析を実施しておくのがベターです。例えばEUCCやEUCSのSotA文書を参照し、必要な機能・試験を洗い出します。また、ICTサプライチェーン管理の強化として、使用部品やベンダーの信用調査、サイバーリスク評価プロセスを導入することが求められます。
組織ガバナンス面では、社内の責任者や法務・セキュリティ部門を横断的に連携させ、CSA2やNIS2への対応方針を明確化・定期レビューする体制の整備が望ましいと言えます。
技術的対策としては、セキュア・バイ・デザインの実践が鍵です。開発ライフサイクルの各段階で脆弱性対策や暗号実装等を実施し、ベンダー証明書や脆弱性情報の管理ルールを厳格化しておきます。IoT機器やソフトウェアは、必要なアップデート機能やログ収集機能を予め搭載しておくと、後の認証取得が容易になります。
認証取得のロードマップとしては、ENISAやNCCAが公表する認証スキームを注視し、試験所(ITSEF)や認証機関(CB)との協議を開始することも有効です。中小企業は特に認証コスト負担が懸念されるため、業界コンソーシアムや共同認証も検討する必要があります。さらに、新規制度の発効に合わせて早めに認証を取得できれば、NIS2対応や公共調達参加の「保証」として差別化にもつながります。