株式会社TIMEWELLの濱本です。欧州、つまりEU市場へ製品を出すときに「規制が多すぎて、何から手をつければいいか分からない」という相談が、いまも止まりません。
輸出管理、サイバーセキュリティ、個人データ、CEマーキング、炭素国境調整。名前を並べるだけで息が切れそうですが、2026年はこれらの規制が同時に動く年です。特に9月11日からはサイバーレジリエンス法（CRA）の報告義務が始まり、設計・サポート体制をまだ組んでいないメーカーはタイムラインがかなりタイトです1。
この記事では、日本企業がEU向けに製品を輸出・上市するときに避けて通れない主要規制を、2026年7月21日時点の一次情報に沿って整理します。まず全体の優先順位を一枚の表にまとめ、そのあと分野別に掘り下げます。
まず一枚で見る。EU向けで優先度が高い規制
| 優先度 | 領域 | 核心ルール | 2026年の実務アンカー | 日本企業への直撃ポイント |
|---|---|---|---|---|
| 1 | 製品サイバー | CRA（Cyber Resilience Act） | 2026年9月11日から脆弱性・重大インシデントの報告義務 | スマート機器、産業IoT、ソフト、組込み部品まで広い。24時間以内の早期警告など |
| 2 | 輸出管理 | デュアルユース規則 2021/821 | 附属書I（管理リスト）の2025年大幅改訂を継続運用 | リスト該非＋第4条・第5条のキャッチオール |
| 3 | 炭素国境 | CBAM | 2026年1月1日から確定期間開始 | 鉄鋼・アルミ等のEU輸入時。輸出者は排出データの提出を求められる |
| 4 | 製品安全 | CE／新機械規則 | 新機械規則は2027年1月20日適用 | AI搭載機械・サイバーリスク評価がCE条件に乗る |
| 5 | 化学物質 | RoHS／REACH | 免除改定・SVHC更新が継続 | 部品単位の含有管理と情報提供義務 |
| 6 | データ・組織 | GDPR／NIS2 | GDPR手続規則は2026年1月発効、越境案件は2027年4月以降本格適用 | 直接対象外でも取引先要件として波及 |
優先度は「違反時の罰金の大きさ」と「2026年内に運用が切り替わるかどうか」で並べています。場当たり対応ではなく、設計段階からコンプライアンスを組み込む発想が要ります。
輸出管理の入口である該非判定の書式がまだ揃っていない場合は、該非判定書・非該当証明書 記入ガイド＋様式セット（2026年版）を先に置いておくと、EU管理リスト照合の記録にも流用しやすいです。
1. 輸出管理 ── リスト規制とキャッチオール
国際的な安全保障を目的として、EUは軍事用途にも民生用途にも使える品目（デュアルユース品）の輸出を管理しています。日本にも外為法に基づく輸出管理制度がありますが、EU独自の枠組みを押さえておかないと、仕向地がEUでも再輸出や域内移転で想定外の許可が必要になることがあります。
デュアルユース規則と管理リスト改訂
土台は Regulation (EU) 2021/821 です。規制対象品目は附属書I（EU管理リスト）に列挙され、該当する貨物・技術・ソフトウェアの輸出には原則として許可が必要です。これがリスト規制にあたります2。
2025年の管理リスト更新では、量子技術、半導体製造装置、高性能集積回路、先端材料、バイオ関連の装置などが追加・精緻化されています。ワッセナー・アレンジメントの合意内容を反映し、米国・英国の規制強化とも歩調を合わせた改訂です。自社製品が新たにリストに入っていないか、分類の再確認が必要です。
| 分野 | 追加・強化された主な論点（例） |
|---|---|
| 量子技術 | 量子コンピュータ本体、極低温電子機器、パラメトリック信号増幅器、極低温冷却システムなど |
| 半導体製造 | 原子層堆積、先端リソグラフィ、EUV関連部材、走査型電子顕微鏡、エッチング装置など |
| 高性能電子機器 | 特定の先端コンピューティングデバイス |
| 先端材料 | 高温コーティング、金属3Dプリンティング用の高エントロピー合金粉末や耐火金属粉末 |
| バイオ関連 | 高純度ペプチド合成装置など、バイオセキュリティ上の懸念から管理が強化された装置 |
キャッチオールの実務インパクト
リストに載っていなければ安心、ではありません。リスト非掲載品でも、用途や需要者次第で許可や当局通知が必要になるキャッチオールがあります。
EUデュアルユース規則では、大きく次の二つが実務上の論点です。
- 第4条の軍事最終用途キャッチオール
武器禁輸対象国などへの輸出で、軍事最終用途のリスクがある場合に適用されます。 - 第5条のサイバー監視キャッチオール
リスト非掲載のサイバー監視技術が、深刻な人権侵害などに使われるおそれを輸出者が認識した時点で、当局への通知義務が生じうる仕組みです。2024年以降、欧州委員会のガイドラインでデューデリジェンスの具体例が示されています。
顔認識やネットワーク監視に近い機能を持つ製品を扱う企業は、第5条を「監視専業ベンダーだけの話」と思わない方がよいでしょう。
また、紛争地域向けのデュアルユース品貿易については、欧州議会の調査でも管理体制の強化が議論されています。執行が厳しくなる方向は当面変わらない、と見ておくのが現実的です。
日本側の該非判定・キャッチオール確認とEU側の分類は完全一致しません。両建てで記録を残す運用が安全です。手順の基本は該非判定ガイドライン解説とリスト規制とキャッチオール規制の違いにまとめています。
該非判定の属人化を、AIで解消する。
経産省2024年度データによれば、外為法違反の52%は該非判定起因。TRAFEEDの機能・導入フローをまとめたサービスカタログを無料でダウンロードできます。
2. サイバーセキュリティ ── 2026年最大の山はCRA
サイバーレジリエンス法（CRA）
2024年12月に発効したサイバーレジリエンス法は、EU市場で販売されるデジタル要素を持つ製品に、設計からサポート終了までのサイバーセキュリティ対策を義務付けます。スマート家電、産業用IoT、ソフトウェア、組込み部品まで対象は広いです1。
| 時期 | 内容 |
|---|---|
| 2024年12月10日前後 | CRA発効 |
| 2026年6月11日 | 適合性評価機関の通知枠組み（Chapter IV）の適用開始 |
| 2026年9月11日 | メーカーの脆弱性・重大インシデント報告義務の適用開始 |
| 2026年中〜 | 整合規格（ハーモナイズド・スタンダード）の整備が進む想定 |
| 2027年12月11日 | 主たる製品要件の完全適用 |
特に注意したいのは 2026年9月11日 からです。悪用されている脆弱性や深刻なインシデントを認識した場合、原則として24時間以内の早期警告、72時間以内の通知、その後のフォローアップ報告が求められます。ENISAが運用するSingle Reporting Platform経由の報告が想定されています3。レガシー製品にも波及しうるため、「これから設計する新製品だけ」では足りません。
違反時の制裁金は全世界売上の最大2.5%、または1,500万ユーロのいずれか高い方。経営レベルで認識すべきリスクです。
NIS2とサプライチェーンへの波及
NIS2指令は、エネルギー、運輸、金融、医療、デジタルインフラなど重要セクター事業者のサイバーセキュリティ対策を強化する指令です。加盟国の国内法化は遅延が目立ち、欧州委員会は複数国に対して是正手続を進めてきました。2026年にかけて各国法の運用が本格化しています。
直接の規制対象はEU域内事業者ですが、対象事業者はサプライチェーン全体のセキュリティ管理義務を負います。EU企業に部品やサービスを供給している日本企業は、取引先からNIS2水準のセキュリティ対応を契約条件として求められるケースが増えています。
3. GDPR ── 執行と手続の両輪
GDPR自体は周知のとおりですが、2026年の実務ポイントは次の二つです。
- 協調執行のテーマとして透明性が強調されていること
プライバシーポリシーの形式だけではなく、情報提供の分かりやすさが問われます。 - GDPR手続規則の発効（2026年1月）
監督当局間の協力手続を効率化する枠組みで、越境案件への本格適用は2027年4月以降と見込まれます。調査のテンポが上がれば、企業側の対応ウィンドウは短くなります。
制裁金の水準は依然として高く、データ侵害通知件数も高止まりしています。EU向けにクラウドやアプリを伴う製品を出す場合、製品側のCRAとデータのGDPRを同じ設計レビューで見るのが現実的です。
4. 製品安全と環境 ── CEから炭素国境まで
CEマーキングと新機械規則
CEマークは、EUの安全・健康・環境保護基準への適合を示す表示です。これなしに多くの製品をEU市場へ上市できません。
大きな変化の一つが、新機械規則（Regulation (EU) 2023/1230） です。従来の機械指令を置き換え、2027年1月20日から適用されます。AI搭載機械への対応やサイバーセキュリティリスクの評価が求められ、デジタル形式の取扱説明書も一定条件で認められる一方、安全に関する情報は紙での提供が引き続き必要になるケースがあります。CRAとの連動により、2027年以降はCEがサイバー適合の入口としても機能していく構図です。
RoHSとREACH
電気電子機器の有害物質を制限するRoHSと、化学物質を包括管理するREACHは、欧州輸出の基本です。
市場監視ではRoHS不適合が依然として報告されており、サプライチェーンが複雑化するほど部品単位の管理が追いつきにくくなります。2026年中にも鉛関連免除など改定が動くため、該当製品は仕様書とサプライヤ宣言の棚卸しが必要です。
REACHではSVHC（高懸念物質）候補リストが更新され続けます。製品中のSVHC含有率が0.1重量%を超える場合、顧客への情報提供義務が生じます。サプライヤから正確なデータを取り、検証できる体制が前提です。
CBAM ── 確定期間が始まった炭素国境調整
2026年1月1日、CBAMは移行期間を終え、確定期間（definitive regime）に入りました4。
仕組みの要点は次のとおりです。EU域外から対象製品を輸入する際、製造過程で排出されたCO2量に応じて、EU-ETSの炭素価格に連動したCBAM証書を扱う義務が輸入側（認可CBAM申告者）に生じます。現在の対象カテゴリは鉄鋼、アルミニウム、セメント、肥料、水素、電力などです。
| 項目 | 内容 |
|---|---|
| 確定期間開始 | 2026年1月1日 |
| 主な対象 | 鉄鋼、アルミニウム、セメント、肥料、水素、電力 等 |
| 義務の主体 | EU側の認可CBAM申告者（輸入者または間接通関代理人） |
| 日本企業の実務 | 内包排出データの提供、サプライヤ情報の整備 |
| デミニマス | 年間一定量未満（例: 50トン）の輸入は免除の枠組みあり |
| 拡大の議論 | 下流製品へのスコープ拡大提案が継続 |
欧州委員会は下流製品への拡大も議論しています。自社の輸出品がCBAM対象品の「材料」や「部品」としてEUに入る場合も、排出データの提出を求められることがあります。いまのうちに対象可否を確認しておくことをおすすめします。
時系列で見る2026〜2027の切り替え点
| 時期 | 規制 | 内容 |
|---|---|---|
| 2025年 | デュアルユース管理リスト | 量子・半導体等を含む大規模更新の運用 |
| 2026年1月1日 | CBAM | 確定期間開始 |
| 2026年1月 | GDPR手続規則 | 発効（越境案件の本格適用は2027年4月以降の見込み） |
| 2026年6月11日 | CRA | 適合性評価機関の通知枠組み |
| 2026年7月前後 | RoHS等 | 免除・技術文書の改定確認 |
| 2026年9月11日 | CRA | 脆弱性・インシデント報告義務 |
| 2027年1月20日 | 新機械規則 | 強制適用 |
| 2027年12月11日 | CRA | 主たる製品要件の完全適用 |
これらの規制は独立していません。CRAのセキュリティ要件は新機械規則のCE条件と重なり、CBAMの排出データはサステナビリティ報告とも接続します。個々の法域に場当たり対応するより、製品ライフサイクル全体で要件を束ねた方がコストは下がります。
日本企業が今日からやるべき5つ
- 製品ポートフォリオの仕分け
輸出管理（デュアルユース）／製品サイバー（CRA）／化学物質（RoHS・REACH）／炭素（CBAM）／データのどれが乗るか、SKU単位で表にする。 - CRA報告体制の仮組み
9月11日までに、検知→社内エスカレーション→ENISA等への報告の担当とSLAを決める。 - 該非判定とEU分類の記録
日本の輸出令別表とEU附属書Iは別物。両方の根拠資料を残す。書式は該非判定テンプレート（2026年版）が使えます。 - サプライヤ宣言の再取得
RoHS／REACH／排出係数。古いSDSのまま出荷しない。 - EU顧客からのセキュリティ質問票への回答台本
NIS2／CRA前提の質問が増えています。営業と技術で共通の回答集を持つ。
TRAFEEDで輸出管理の負荷を下げる
EU向けでも、取引先の懸念先スクリーニングや該非判定の記録は人手だけでは破綻しやすい領域です。TIMEWELLが開発したAI輸出管理エージェントTRAFEED（旧ZEROCK ExCHECK）は、取引先や品目情報を起点に制裁リスト・輸出管理リスト・懸念情報を照合し、根拠付きで判定を返します。マルチLLM合議によるクロスチェックで、判定精度95%以上（岡山大学との共同実証・自社調べ）を確認しています。
機能の全体像はTRAFEEDサービスカタログ（PDF）から確認できます。EU規制への対応を効率化したい方は、お問い合わせからご連絡ください。
まとめ
- 2026年のEU向けは、CRAの9月報告義務とCBAM確定期間が最大の実務アンカー
- 輸出管理は Regulation (EU) 2021/821 の附属書I＋第4条・第5条キャッチオール
- CEは新機械規則（2027年1月）でAI・サイバー要件が本格化
- RoHS／REACHは部品単位の化学物質管理がボトルネックになりやすい
- 規制は連動している。SKU単位の要件表を作り、設計段階から組み込む
詳細は必ず欧州委員会・官報の一次情報で確認してください。この記事は2026年7月21日時点のスナップショットです。
関連記事
参考文献
- European Commission, Cyber Resilience Act（最終確認 2026年7月21日）https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
- European Commission, CRA Reporting obligations https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- ENISA, Single Reporting Platform (SRP) https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
- EUR-Lex, Regulation (EU) 2021/821（デュアルユース）https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021R0821
- European Commission, Carbon Border Adjustment Mechanism https://taxation-customs.ec.europa.eu/carbon-border-adjustment-mechanism_en
- European Commission, CBAM successfully entered into force on 1 January 2026（2026年1月14日）https://taxation-customs.ec.europa.eu/news/cbam-successfully-entered-force-1-january-2026-2026-01-14_en
- 経済産業省「安全保障貿易管理」https://www.meti.go.jp/policy/anpo/
Footnotes
-
European Commission, "Cyber Resilience Act"（最終確認 2026年7月21日）。主たる義務は2027年12月11日適用、報告義務は2026年9月11日適用。https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act ↩ ↩2
-
EUR-Lex, Regulation (EU) 2021/821 of the European Parliament and of the Council of 20 May 2021 setting up a Union regime for the control of exports, brokering, technical assistance, transit and transfer of dual-use items. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021R0821 ↩
-
European Commission, "Cyber Resilience Act - Reporting obligations"。悪用されている脆弱性・深刻なインシデントについて、認識から24時間以内の早期警告、72時間以内の通知等。https://digital-strategy.ec.europa.eu/en/policies/cra-reporting ↩
-
European Commission, Taxation and Customs Union, "Carbon Border Adjustment Mechanism"。確定期間は2026年1月1日開始。https://taxation-customs.ec.europa.eu/carbon-border-adjustment-mechanism_en ↩
