商用 Qt は、 Qt 6.8 以降の 5 年間の長期サポート（LTS）メンテナンスウィンドウ（セキュリティパッチを含む）、 SBOM 対応、顧客の技術文書作成を支援する Qt Group の適合性証跡の提供、および CVE 採番機関（CNA）としての Qt Group の役割に基づく文書化された脆弱性対応によって、これらのギャップを埋めます。
なお、 Qt Group が CRA 対応のために作成した文書は、 IEC 62443 の適合性ファイルにそのまま流用することができます。
CRA はオープンソース活用の方程式を書き換えた
長年にわたり、産業オートメーションにおける Qt コミュニティエディションと商用 Qt の選択は、初期コストと利便性のトレードオフとして語られてきました。 EU サイバーレジリエンス法（CRA）は、その方程式を書き換えました。
2027 年 12 月 11 日以降に EU 市場に PDE を出荷するメーカーは、スタック内のすべてのコンポーネントが CRA の必須サイバーセキュリティ要件を満たしていることを、証拠、文書、および監査可能なプロセスをもって実証しなければなりません。これには GUI フレームワークも含まれます。
原産地を問わず、 EU 市場に PDE を出荷するすべてのメーカーは義務の全責任を負います。
本記事では、 CRA が実際に何を要求しているのか、 Qt コミュニティエディションでカバーできることとできないこと、そして商用 Qt がそのギャップをどのように埋めるかを検証します。
略語一覧
CE marking——Conformité Européenne marking—EU の該当規制への適合に関するメーカーの宣言
CNA——CVE 採番機関
CRA——EU サイバーレジリエンス法（規則（EU）2024/2847）
CVE——共通脆弱性識別子
ES——延長サポート（Qt 商用サービス）
ESM——延長セキュリティメンテナンス（Qt 商用サービス）
GPL——GNU 一般公衆利用許諾書
GUI——グラフィカルユーザーインターフェース
IEC——国際電気標準会議（例：IEC 61508、 IEC 62443）
LGPL——GNU 劣等一般公衆利用許諾書
LTS——長期サポート
PDE——デジタル要素を含む製品（CRA の用語）
PLC——プログラマブルロジックコントローラ
SBOM——ソフトウェア部品表
SCADA——監視制御データ収集
TLS——トランスポート層セキュリティ
24h/72h/14d Incident Reporting Guide——積極的に悪用された脆弱性の認知から 24 時間以内に早期警告を発し、 72 時間以内に完全な通知を行い、是正措置が利用可能になってから 14 日以内に最終報告書を提出する義務
CRA が定める基準
CRA では、原産地を問わず、 EU 市場に PDE を出荷するすべてのメーカーが完全な義務を負います。必須要件（CRA 附属書 I）には、特に以下が含まれます。
- 製品ライフサイクル全体を通じたセキュリティ・バイ・デザインおよびデフォルト・セキュリティ——出荷時に既知の悪用可能な脆弱性がないこと、安全なデフォルト設定、不正アクセスからの保護、保存・送受信・処理データの機密性と完全性の確保。
- CRA 第 14 条に基づく脆弱性対応——積極的に悪用された脆弱性が判明してから 24 時間以内に関連 CSIRT および ENISA へ早期警告を発令し、 72 時間以内に完全な通知を行い、是正措置が利用可能になってから 14 日以内に最終報告書を提出すること（24h/72h/14d インシデント報告ガイド）。
- 製品のサポート期間中、無償でのセキュリティアップデートの提供。（デフォルト 5 年）
- SBOMですべてのサードパーティコンポーネントを網羅。オープンソース依存関係を含む。
- サードパーティコンポーネントへのデューデリジェンス。フリーおよびオープンソースコンポーネントを明示的に含む。
- 適合性を実証する技術文書（CRA 附属書 VII）。適合性評価に合格することで、メーカーは EU 適合宣言書の発行と CE マーキングの貼付が可能となります。
報告の起算点は、積極的に悪用された脆弱性が判明した時点であり、メーカーが対応を決定した時点ではありません。サードパーティコンポーネントに対する責任は、最終製品のメーカーにあります。産業用 HMI が Qt を使用している場合、 Qt に重大な脆弱性が発見されたとき、 HMI メーカーは Qt コミュニティエディションと商用 Qt のどちらを使用していても、その対応義務を負います。
サードパーティコンポーネントに対する責任は、最終製品のメーカーにあります。
Qt コミュニティエディションのカバー範囲とその限界
Qt コミュニティエディションは、ほとんどのモジュールを LGPL で、一部のモジュールを GPL で配布する Qt です。プロトタイピング段階のチーム、 EU 市場に出荷されない社内専用ツール、商用配布を伴わない研究や教育プロジェクトには正当な選択肢です。
