欧州RED施行で変わる無線機器のサイバーセキュリティ対応｜整合規格EN 18031のポイントを解説

2025年8月1日、欧州の無線機器指令（RED）が施行され、無線機器にサイバーセキュリティ要件が追加されました。

今後、欧州市場に上市される製品は、安全法やEMCといった要件に加え、サイバーセキュリティへの適合を証明することが必須となります。

背景には、IoT機器やスマート家電に関する数々の脆弱性があります。初期パスワードが「admin」のまま出荷されるカメラ、外部から容易に操作できる玩具、認証が甘いEV充電器…。こうした製品は利用者にとって大きなリスクであり、社会的にも問題視されてきました。

この状況に対応するため、REDが制定され、サイバーセキュリティ要件に適合できていない製品は、2025年8月1日以降、EU圏内に上市できなくなりました。これまで出荷している製品でも、REDに対応できていなければ、販売停止の必要や、リコール（市場品の回収）対応が必要になる可能性があります。

REDのサイバーセキュリティ要件に適合するために制定されたのが、整合規格EN 18031シリーズです。具体的なセキュリティ要件と評価基準が規定されており、REDに準拠する上での「実務的なルールブック」となります。

本記事では、REDに準拠するための知識として、REDのサイバーセキュリティ要件と、整合規格EN 18031のポイントについて解説します。

REDのサイバーセキュリティ要件の適用対象となる無線機器

REDの第3条には、サイバーセキュリティ要件として以下の3つが規定されました。

これらの要件の具体的な適用性については、REDの委任規則 (EU) 2022/30 で以下のように補足されています。

対象となるのは、インターネットに接続する無線機器全般です。IoTカメラやスマートウォッチ、EV充電器から産業用コントローラまで、「無線通信を搭載している広範囲の機器」が対象になります（※1）。

整合規格EN 18031シリーズとは

これらの要件を技術的に裏付けるのが整合規格EN 18031シリーズです。2024年8月に発行され、2025年1月にEU官報にも掲載されました。

これらの規格では、適合を推定するために、以下の制限条件を満足する必要がある点に注意してください。これらを満足できない場合、EN 18031に対応可能なNotified Body（第三者となる通知機関）による関与が必要となります。特に、EN 18031-3については、下表の通り、Notified Bodyによる関与が必須となり、モジュールAでの自己認証が適用できないので、注意が必要です。

EN 18031シリーズの概要

EN 18031シリーズには、セキュリティ要求事項が「メカニズム」という概念で表されています。各規格の要求事項は下表のとおりです。

これらの要求事項が適用されるかどうかを判断する場合、保護すべき資産が存在するかどうかを明確にすることが必要です。各規格が対象とする保護すべき資産は下表の通りです。

適合性評価に際しては、各要求事項が適用されるかを確認し、要求事項に記載のある保護すべき資産を確認し、適用される場合は合否を判定するという流れになります。

さらに、各要求事項の構造を下図に示します。

それぞれ、以下の通りです。

• Requirement（要件） – 満たすべき事項
• Rationale（根拠） – 必要となる根拠
• Guidance（ガイダンス） – 実装・運用時のガイド
• Assessment Criteria（評価基準） – 合否を決定する際にどう評価するか

さらに、評価基準には、目的・要求情報・評価タイプが記載されており、評価タイプは、概念的評価（Conceptual）と、機能的完全性評価（Functional Completeness）、機能的充分性評価（Functional Sufficiency）が定義されています。

これら評価でどのような試験を行うか、代表的な観点は以下の通りです。

• アクセス制御／認証[ACM/AUM]：初期パスワード、アカウントロック、強固な認証方式
• セキュアアップデート[SUM]：署名検証、ロールバック防止、鍵の保護
• セキュアストレージ[SSM]：パスワードや暗号鍵の安全な保存
• セキュア通信[SCM]：TLSの設定、証明書の正当性検証
• レジリエンス[RLM]：サービス拒否攻撃（DoS）への耐性
• ログと監査[LGM]：セキュリティイベントの記録と追跡可能性
• データ削除[DLM]：工場出荷状態へのリセット時に個人データが残らない
• 一般機能[GEC]：デバッグポート無効化、不正入力 など

適合評価とモジュールAの現実

RED第17条では「適合評価」が義務付けられており、これまでのCEマーキング同様、 モジュールA（自己宣言） での自己認証が可能です。

形式的には「自社で試験を実施し、技術文書とDoC（適合宣言書）を作成すればよい」とされていますが、実務上は技術文書のエビデンスとして、EN 18031に基づく実機試験と証跡の蓄積が不可欠です。

つまり「チェックリストに✓を付けるだけ」では不十分であり、監査や市場調査が入った際に不適合と判断されれば、上市の遅延やリコールにつながるリスクもあります。

今、準備すべきこと

EN 18031対応を進める上で、まず取り組むべき事項をまとめました。

1. 製品スコープの確定 – インターネット接続、個人データの取り扱い、金銭取引機能の有無を棚卸
2. 資産棚卸 – 機器が扱うデータ、通信経路、利用環境の整理
3. 設計ルールと運用ルールの文書化 – パスワードポリシ、アップデート手順、鍵管理、廃棄手順など
4. 試験計画の立案・実施 – 設計（Conceptual）＋実機（Functional）の両面から試験を準備・実施
5. 是正プロセスの整備 – 不適合が出たときの修正フローと再試験手順

まとめ

• REDにより、サイバーセキュリティは無線機器の必須要件になった。
• EN 18031はその適合を示すための「実務のルールブック」であり、要求・根拠・ガイド・評価基準の構造で明確に整理されている。
• 自己認証（モジュールA）を選ぶ場合も、設計・実装・証跡の三位一体で準備する必要がある。

既にサイバーセキュリティ要件が含まれたREDは施行されており、「サイバーセキュリティに対応できていない製品は上市できない」状況となっています。もう待ったなしの状況ですので、早期の対応をお勧めします。

Appendix.　NDIASのEN 18031自己認証支援サービス

RED準拠のため、EN 18031を踏まえた試験を実施しようとすると、試験のノウハウがない・試験環境の構築が大変、などの課題が出てくるかと思います。

そこで、NDIASでは、自動車業界・建設機械業界向けのサイバーセキュリティ試験・ペネトレーションテストのノウハウと試験環境を活用し、お客様の対象製品に合わせたEN 18031対応の評価環境を構築し、試験を実施するサービスを提供開始しました。

お客様にご準備いただくのは、設計文書・マニュアル、対象製品実機と動作環境のみ。

試験環境はすべてNDIASで準備し、試験実施を含め、ワンストップで提供いたします。

詳細は、以下サービス紹介ページをご確認ください。

RED EN 18031 自己認証対応支援サービス

https://ndias.jp/service/consulting/red_en18031_support