対象となる商用暗号資産ウォレットメーカーは、欧州連合（EU）のサイバーレジリエンス法に基づき、自社製品の脆弱性が активноに悪用されていることを認識してから24時間以内に、早期警告を提出しなければなりません。この要件は報告義務であり、1日以内に脆弱性を修正することを求めるものではありません。また、法律上の商業的な適用範囲に入るウォレットにのみ適用されます。

この措置は、正式にはRegulation (EU) 2024/2847であるEUサイバーレジリエンス法の一部です。同規則は、デジタル要素を備え、デバイスやネットワークに接続する製品にサイバーセキュリティ要件を定めています。欧州委員会は、サイバーレジリエンス法の報告ガイダンスおよびCRAの概要で詳細情報を提供しています。

暗号資産ウォレットメーカーにとって最も直接的な変更は、攻撃が進行中であることをメーカーが認識した時点から始まる、短い報告期限です。

24時間の報告期限は何を起点とするのか？

メーカーが、自社製品に影響する、実際に悪用されている脆弱性または重大なインシデントを認識した時点で、期限のカウントが始まります。その後、メーカーには早期警告を提出するための24時間が与えられます。

起点となる条件は限定的です。対象となるのは、通常の開発やテストで見つかったあらゆる欠陥ではなく、攻撃者が実際に悪用している脆弱性です。Freshfieldsの法律専門家は、積極的な悪用には、システム所有者の許可なく悪意ある行為者が脆弱性を悪用していることを示す信頼できる証拠が必要だと説明しています。

したがって、24時間の期間は規制当局に警告する義務であり、パッチを用意しておく義務ではありません。ウォレットメーカーは、インシデントの調査と修正措置の開発を続けながら、進行中の攻撃を報告できます。

早期警告は報告の第1段階にすぎません。認識してから72時間以内に、最初の24時間の警告とは別に、完全な通知を提出する必要があります。

実際に悪用されている脆弱性の場合、最終報告の期限は修正措置が利用可能になってから14日以内です。重大なインシデントの場合、最終報告は72時間以内の通知から1か月以内に提出する必要があります。

これらの報告義務は2026年9月11日に開始されました。サイバーレジリエンス法のより広範な義務は2027年12月11日から適用されます。同規則は2024年12月10日に発効しました。

どの暗号資産ウォレットメーカーが対象となるのか？

この規則は、EU市場で提供されるデジタル要素を備えた製品に適用されます。これには、意図された用途または合理的に予見可能な用途において、デバイスやネットワークとのデータ接続を伴う製品が含まれます。これは、暗号資産ウォレットのソフトウェアとハードウェアの大半に当てはまる説明です。

「商業的」という用語は重要です。製品を市場で提供するとは、有料か無料かを問わず、商業活動の過程で供給することを意味します。無償で配布されるソフトウェアであっても、商業活動の一環として供給されている場合は適用範囲に入る可能性があります。

商業活動を通じて供給されていない製品は、この特定の適用範囲の対象外です。個々のウォレットへの規則の適用は、依然としてケースバイケースで判断されます。欧州委員会の資料は具体的なウォレット製品を分類しておらず、特定のハードウェアウォレット、ソフトウェアウォレット、またはホステッドサービスが対象か免除されるかを確認する引用元もありません。

オープンソースプロジェクトは別扱いです。オープンソースソフトウェアの管理主体は、2027年12月11日からArticle 24(3)に基づく独自の報告義務の対象となります。これらの管理主体には、サイバーレジリエンス法の違反に対する罰則は適用されません。

同規則には、企業規模に基づく例外的な扱いもあります。欧州委員会の概要によると、零細企業または小規模企業に該当するメーカーは、24時間の期限を逃しても罰金を科されない可能性があります。ただし、報告義務がなくなるわけではありません。

この規則は、2027年12月11日より前にすでにEU市場に投入された製品にも適用されます。

ウォレットメーカーへの実務上の影響

24時間という期限では、攻撃が始まった後に企業がインシデント対応プロセスを構築する時間はほとんどありません。Freshfieldsのアナリストは、短い報告期間では、事象が発生した後に手続きを整備する余地が限られると指摘しています。

期限は週末や祝日をまたいで継続します。Freshfieldsは、これらの日によって報告期間が停止することはないと説明しています。

そのため、ウォレットチームは、認識が生じた正確な時刻の記録、責任を負うチームへのエスカレーション、必要なインシデント情報の迅速な取りまとめについて、事前に手続きを整備しておく必要がある可能性があります。

規制当局への報告、インシデントの調査、脆弱性の修正は別々の作業です。メーカーは、攻撃の範囲を特定し、修正を開発または適用し続けながら、規制当局に通知できます。報告プロセス自体が、24時間以内の修正完了期限を定めるものではありません。

メーカーは、Cyber Resilience Act Single Reporting Platformを通じて報告を提出します。報告書は関係する各国のコンピューターセキュリティ・インシデント対応チーム（CSIRT）宛てに提出され、特に例外的な状況を除き、情報は同時に欧州連合サイバーセキュリティ機関（ENISA）にも提供されます。

ウォレット利用者にとって、報告書が提出されたからといって、ウォレットの安全性や利用者資金の保護が保証されるわけではありません。報告によって当局に攻撃の早期情報が伝えられるだけです。必要な報告項目、提出手続き、顧客への通知義務については、確定事項として扱う前に公式ガイダンスを確認する必要があります。

EU域内で事業を行う企業のウォレットを利用する暗号資産保有者にとっての実務的な影響は、攻撃者が製品の脆弱性を悪用した際、メーカーが規制当局へ速やかに通知しなければならない可能性があることです。この報告制度は2026年9月11日から適用されています。

この記事は情報提供のみを目的としており、金融上または投資上の助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定を行う前に、必ず自身で調査してください。