欧州連合（EU）は、暗号資産ウォレットを含む「デジタル要素を含む製品」の製造者に対し、悪用が確認された脆弱性や重大なセキュリティ事故を把握した場合、24時間以内の報告を義務付けた。サイバーレジリエンス法（CRA）に基づく措置で、72時間以内の正式報告や最終報告の提出も求める。

欧州委員会の発表や13日付のCryptoSlateによると、この報告義務は11日に適用が始まった。対象は、EU市場に供給される「デジタル要素を含む製品」の製造者となる。

対象には、ネットワークや他の機器と直接または間接にデータをやり取りする商用のハードウェアウォレットや、ダウンロード型のウォレットアプリが含まれ得る。もっとも、すべての暗号資産ウォレットサービスが一律に対象となるわけではなく、製品の構造や提供形態に応じて判断される。

製造者は、悪用が確認された脆弱性、または製品のセキュリティに影響する重大事故を把握した場合、遅滞なく、遅くとも24時間以内に初報を提出しなければならない。続いて72時間以内に、脆弱性や事故の性質、製品情報、被害状況、緩和策などを盛り込んだ正式報告を行う必要がある。

最終報告の期限は事案ごとに異なる。悪用された脆弱性については、修正または緩和策を用意した後14日以内に提出する必要がある。重大事故については、72時間以内の正式報告後、1カ月以内の提出が求められる。あわせて製造者は、影響を受けた利用者に対し、事故の発生と必要なセキュリティ対応を通知しなければならない。

報告は、EUサイバーセキュリティ機関（ENISA）が運営する単一報告プラットフォーム（SRP）を通じて一元的に提出できる。提出された内容は、該当する加盟国のコンピュータセキュリティインシデント対応チーム（CSIRT）やENISAなどに共有される。ENISAは、報告義務の適用開始日である11日にSRPの運用開始を正式に公表した。

この報告義務は、2027年12月11日より前にEU市場で販売された製品にも適用される。一方、CRAの主要な製品セキュリティ要件は、2027年12月から全面適用となる。

商用提供される無料のオープンソースソフトウェアは、製造者の義務対象となる可能性がある。一方、収益化されていないオープンソースソフトウェアや、単なるコード貢献者は、原則として製造者の範囲から除外される。別の法的地位である「オープンソースソフトウェア管理主体」に対する報告義務は、2027年12月に始まる。

今回の措置により、EUで暗号資産ウォレットを販売する製造者には、事故発生時の対応だけでなく、検知から報告、修正までを迅速に進める体制整備が、規制順守の重要な要件として求められる。