EU向けXR M&Aの規制負債DD｜CRA・GPSR・改正PLDを価格と契約へ落とす

結論：規制負債を商品管理単位（SKU）別キャッシュフローへ変換する

規制買収前の詳細調査（DD）の成果は「EU法に留意」という一文ではない。買い手が必要とするのは、対象商品管理単位（SKU）とバージョン、提供国・日付・数量、経済事業者、適用候補制度、欠ける証拠、是正期限、担当者、一時費用、継続費、販売停止・回収・請求の厳しい想定を並べた判断一覧表である。法的結論が未確定でも、未確認の範囲と追加調査費を投資判断へ示せる。

規制負債の構成要素

負債には、過去の事故・脆弱性・不適合から生じる請求だけでなく、技術文書の再作成、リスク評価、ソフトウェア修正、第三者適合性評価、EU連絡主体、サポート人員、ソフトウェア部品表（SBOM）更新、翻訳・表示、報告運用、保険、旧バージョン維持が含まれる。一時的な費用と継続的な費用水準を分け、取引完了後のEBITDAへ反映する。

三つの確認段階

第一は対象範囲で、製品、用途、接続性、消費者利用、提供形態、時点から制度の適用候補を絞る。第二は役割で、製造者、輸入者、販売者等を契約・商標・実際の行為から特定する。第三は証拠で、リスク評価、技術文書一式、報告、事故記録、サポートに関する約束が要求事項とつながるかを確認する。会社の「対応済み」評価をそのまま採用しない。

価格より先に取引完了初日を判定する

本稿基準日から20日後にサイバーレジリエンス法（CRA） 第14条が始まるため、取引完了時期によっては買い手が取得直後に24時間報告の判断を担う。価格交渉が妥当でも、セキュリティ研究者の窓口、主たる事業所、事故対応組織（CSIRT）、EUサイバーセキュリティ機関（ENISA）、統一報告基盤、判断者が不明ならサービスを安全に引き継げない。報告役割・責任分担表（RACI）と連絡経路を取引完了の前提条件又は移行期間の業務支援契約（TSA）へ置く。

分析単位は会社ではなく商品管理単位（SKU）・バージョン・国

同じブランドのXR製品でも、頭部装着型ディスプレーのセット、操作機器、位置追跡用の付属品、パソコン用アプリ、携帯端末用アプリ、単体ソフトウェア、開発キット、端末管理画面、クラウド上の推論処理、コンテンツ配信では、適用され得る規制と責任が異なる。さらに、ソフトウェアのバージョン、販売経路、商標、提供国、初回提供日、無償の実証実験、サポート終了日によって結論が変わる。会社単位で該当・非該当を分ける表だけでは、分類が大まかすぎる。

商品管理台帳の必須列

製品群、商品管理単位、機器の改訂版、ソフトウェアのビルド、クラウド機能、意図した用途、合理的に予見できる使用方法、利用者の区分、EU内の提供国、言語、最初と最後の提供日、数量、有償・無償の別、ブランド、製造者表示、輸入者、販売者、顧客の区分、サポート期間、対応状況を記載する。不明な項目を空欄にせず、未検証、適用対象外、証拠不足を区別する。

バージョンを分ける理由

古いビルドは新しい安全対策の更新を受けられず、構成部品、権限、クラウドとの接続仕様、リスク、表示、説明書が異なることがある。アプリ配信ストアの最新版だけを確認すると、企業顧客がストア外からの導入や端末管理システムで固定している旧バージョンを見落とす。稼働状況の収集データ、問い合わせ記録、管理対象の端末群、ダウンロード記録、更新履歴から、実際に稼働する製品と端末の全体像を組み立て直す。

国と経路を分ける理由

EU向けのウェブサイトがあるだけでは実際の提供を証明できず、反対に英語版しかなくても販売代理店が複数国へ供給している場合がある。請求書、出荷記録、ストアの販売地域、ライセンス認証、IPアドレスから推定した所在地、対応言語、販売代理店の報告、付加価値税、顧客住所を照合する。オンラインでの販売提案がEUの消費者を対象とするかは、言語、配送先、通貨、ドメインなどを案件別に確認する。

経済事業者と商標の役割表を作る

「開発した会社」と「法令上の製造者など」は、常に一致するとは限らない。受託製造者、他社ブランドでの販売者、アプリ公開者、EUの輸入者、認定代理人、販売者、配送・出荷代行事業者、クラウド運営者、部品供給者が別法人の場合、契約、表示、配信ストア、請求書、実際の行為から役割と証拠を確認する。

名義と実体を両方見る

製品本体、包装、説明書、ウェブサイト、アプリ配信ストア、EU 適合宣言、サポートページ、個人情報の保護通知、請求書に表示される名称を一覧にする。社内組織図上の担当ではなく、市場へ誰の名称又は商標で出したかを確認する。買収後のブランド変更計画がある場合、取引完了前の役割と再投入後の役割を別行にする。

契約上の責任移転を過信しない

譲渡企業と供給者の契約で安全対策の修正又は請求を供給者負担にしていても、規制当局又は被害者に対する法定の立場が同じように移るとは限らない。法的責任、当事者間の求償、保険、実務上の管理を四列に分ける。供給者の財務力、存続、ソースコードへのアクセス、修正サービス品質保証（SLA）も回収可能性へ影響する。

買収後の変更を別判定する

株式取得だけ、ブランド変更、製品統合、機器セット販売変更、大規模なソフトウェアの更新、クラウド機能追加、サポート終了では行為が違う。買い手が自社名で再投入又は安全に影響する重大な変更を行う場合、従前の譲渡企業の説明だけでは足りない。統合実施計画の各公開・配信に法的な／製品安全の確認段階を置く。

2026年8月22日時点の制度日程

サイバーレジリエンス法（CRA）法令本文は2024年11月20日にEU官報へ掲載され、20日後の2024年12月10日に発効した。第71条により、主要規定は2027年12月11日から、第14条は2026年9月11日から、第4章は2026年6月11日から適用される。発効日だけを見て全義務が同日に始まったと書かない。

一般製品安全規則（GPSR）はすでに適用中

一般製品安全規則（GPSR）法令本文の第52条は2024年12月13日からの適用を定める。基準日現在、消費者向け製品に関係する製品安全の検討は将来準備ではない。2026年5月29日版がEUR-Lex上の改正を反映した統合版として表示されるため、制定時の原文だけでなく現行版と分野別法令を確認する。

改正製造物責任指令（PLD）の転換点

EU指令2024/2853は2024年11月18日官報掲載、20日後の2024年12月8日に発効した。加盟国は2026年12月9日までに国内法化し、指令の第2条は2026年12月9日より後に市場投入又は使用開始された製品へ適用すると規定する。指令であるため、国別実装を確認する。

基準日から見た優先順位

最優先は9月11日のサイバーレジリエンス法（CRA） 報告準備状況、次にすでに適用中の一般製品安全規則（GPSR） 製品安全性証拠、12月9日前後の製造物責任指令（PLD）と国別法、2027年12月11日のサイバーレジリエンス法（CRA）主要義務準備である。将来期限が先でも、製品システム構成、ソフトウェア部品表（SBOM）、技術文書、サポート対応能力の再構築には時間がかかるため、買収価格と100日計画へ前倒しする。

三制度の守備範囲を重ねずに読む

サイバーレジリエンス法（CRA）、一般製品安全規則（GPSR）、改正製造物責任指令（PLD）はいずれもデジタル製品へ関係し得るが、目的と仕組みが異なる。サイバーレジリエンス法（CRA）はデジタル要素を含む製品の情報セキュリティ要件と経済事業者の義務、一般製品安全規則（GPSR）は消費者向け製品の一般安全網と市場監視、製造物責任指令（PLD）は欠陥製品による一定損害について経済事業者の無過失責任を調和する。チェック項目を一枚へ混ぜると、適用日と証拠を誤る。

事前規制と被害後責任

サイバーレジリエンス法（CRA）と一般製品安全規則（GPSR）の適合・安全・報告・回収は、製品を市場へ出し続ける管理へ直結する。改正製造物責任指令（PLD）は被害者の賠償と欠陥の有無、経済事業者、証拠等を扱い、技術文書一式そのものを同じ方法で承認する制度ではない。買収前の詳細調査（DD）では規制対応費用と責任を負うリスクを別項目で評価する。

横断法と分野別法令

医療機器、機械設備、無線機器、玩具等の個別EU 法令が適用されるXR製品では、一般製品安全規則（GPSR）又はサイバーレジリエンス法（CRA）との関係・除外・補完を確認する。本稿だけでCE法令一覧を作らず、意図した用途、利用者、機器、接続性、AI、無線、職場を専門家へ渡す。分野別法令に適合しているという理由だけで、他リスク区分又は別制度を自動的に除外しない。

一つの証拠を複数目的へ使う場合

リスク評価、事故記録、ソフトウェア部品表（SBOM）、公開・配信記録、サポート方針は複数制度と事業面の買収調査に役立つ。ただし同じ文書が各法令要件を満たすとは限らない。証拠対応表には「文書名」「制度・条文」「対象とする商品管理単位（SKU）・バージョン」「管理責任者」「日付」「不足」を付け、万能なISO 証明書又はセキュリティ報告書として扱わない。

サイバーレジリエンス法（CRA）のデジタル要素を含む製品

欧州委員会のサイバーレジリエンス法（CRA）公式要約は、デジタル要素を含む製品を、ソフトウェアまたはハードウェア製品と、それに伴う遠隔データ処理の仕組みを含むものとして整理する。商業活動の中でEU市場に提供され、意図した用途または合理的に予見できる使用方法に、端末やネットワークへの直接・間接の論理的・物理的なデータ接続を含むものが、適用対象の候補となる。

商業活動は有償提供に限らない

試験提供、PoC、基本無料の提供方式、セット販売、顧客契約に含まれるアプリ、無料SDKを「売上ゼロだから対象外」としない。商業活動の中での供給か、自由・公開ソフトウェア（FOSS）例外・公開ソフトウェアの支援者等がどう関係するかを法令と2026年公式手引きで確認する。開発者によるソースコード保管場所の公開、顧客への実行ファイル提供、有償サポート、データの収益化を分ける。

単体ソフトウェアも管理台帳へ入れる

頭部装着型ディスプレーの機器だけでなく、パソコン用の映像配信ソフト、コンテンツ再生ソフト、位置追跡サービス、開発キット、端末側の常駐ソフト、管理画面、機器制御用ソフトウェア、携帯端末用の連携アプリ、更新の仕組みを列挙する。単体で提供される部品も適用対象になり得るため、主製品に含まれるという理由だけで除外しない。部品が誰の名義で市場へ出るかも確認する。

接続を実装で確認する

通信を使わない動作モードがあっても、ライセンス認証、更新、利用分析、クラウド保存、複数人での利用、遠隔サポート、本人認証、コンテンツのダウンロードでネットワークに接続することがある。広告で「オフライン」と表記しているかだけでなく、通信の取得記録、システム構成、設定、合理的に予見できる使用方法から判断する。将来の更新で接続機能を追加する場合は、別バージョンとして審査する。

遠隔データ処理をクラウド一般と混同しない

欧州委員会の公式要約は遠隔データ処理を、製造者が設計・開発した又はその責任下にある遠隔処理で、欠けるとデジタル要素を含む製品が一つの機能を果たせないものとして説明する。会社が使う全クラウドサービスを自動的に製品の一部とせず、製品機能との必要性と製造者責任を確認する。

XRで候補になりやすい機能

クラウド上の描画、空間内の基準点の照合、複数利用者間の状態共有、本人認証、利用権限の確認、コンテンツ配信、端末の管理方針、遠隔支援の接続調整、AIによる推論が停止したとき、製品のどの機能が失われるかを試験する。任意の利用分析や社内の顧客管理と、利用者向け機能に不可欠な処理を分ける。機能を制限した状態での動作と、契約上のサービス品質保証も確認する。

第三者のクラウドを除外しない

大規模クラウド事業者や外部接続機能の提供者が処理していても、対象会社が設計して製品機能に組み込み、責任を負う関係なら検討が必要になる。委託先との契約、システム構成、代替手段、データの保存地域、事故、再委託先、サポート、契約終了時の移行を確認する。供給者へ責任を負わせる条項と、対象会社が製造者として負う義務を混同しない。

事業の切り出しで切れる機能

譲渡企業が属する企業グループの本人認証、通知、データ集約基盤、コンテンツ配信網を共用の遠隔処理として使う場合、事業譲渡や事業の切り出しによって機能が途切れることがある。移行支援契約の期間中の役割、安全対策の更新、事故通知、技術文書、サポート期間を明確にし、買い手の環境へ移すバージョンを再評価する。

サイバーレジリエンス法（CRA）の製造者・輸入者・販売者

サイバーレジリエンス法（CRA）公式要約は、製造者をデジタル要素を含む製品を開発・製造し、又は設計・開発・製造させ、自らの名称又は商標で市場へ出す者として整理する。EU外のXR会社でも、EU市場へ製品を出す構造では輸入者、認定代理人、販売者との役割が生じる。開発担当チームの所在地だけで対象範囲を判断しない。

製造者としての証拠資料

製品・ソフトウェアのブランド、ストア上の公開者、利用許諾条件、EU適合宣言、CE表示、包装、説明書、ダウンロードページ、サポート、脆弱性の開示方針を突き合わせる。他社ブランドで販売する場合は、顧客ブランドと対象会社の開発責任、公開の承認、安全対策の更新、技術文書について契約で確認する。複数ブランドへ同じ実行ファイルを提供する場合も、商品管理単位ごとに記録する。

輸入業者・販売業者としての証拠資料

EU内の法人、販売代理店、物流事業者、取引プラットフォーム、システム構築事業者について、契約、請求書、製品表示、連絡先、確認義務、不適合時の停止・通知、当局への協力を確認する。契約更新やM&Aで相手が離脱する場合、代わりの事業者と準備に要する期間を企業価値の評価へ織り込む。

報告責任者と事業上の責任者を分けない

営業部門がEUの顧客を管理し、情報セキュリティ部門が日本や米国にいる場合、脆弱性の発見からEUへの報告までに引き継ぎが増える。製造者の主たる事業所、事故対応組織、EUサイバーセキュリティ機関、責任者、顧客通知、法的な秘密保護を役割・責任分担表に整理する。営業時間外、祝日、言語、多要素認証、担当者の退職も想定して演習する。

第14条の報告対応の開始条件を確認する

欧州委員会のサイバーレジリエンス法（CRA） 報告公式ページは、2026年9月11日から、製造者が現に悪用されている脆弱性と、デジタル要素を含む製品の安全性に影響する重大な事故を報告することを説明する。公表された脆弱性、不具合、サービス停止のすべてが同じ報告条件に該当するわけではないため、技術的な優先度の判定と法的判断を一つの対応手順書にまとめる。

実際に悪用されている脆弱性

研究者報告、顧客記録、脅威情報、供給元の注意情報、不正プログラム、SOC 警報から、脆弱性の存在、製品影響、悪用の証拠、バージョン、EU 利用可能性を確認する。CVSSだけで報告要否を決めず、現に悪用されている状態の定義と事実を法令・公式手引きに照らす。判断根拠と時刻を保存する。

重大な事故

サービスの中断、アカウントの侵害、更新基盤の問題、クラウド障害、供給網での事故が、製品の安全性へどう影響したかを評価する。一般的な社内システムの事故と製品の事故を分けつつ、共用の開発・配信基盤や本人認証の問題が製品へ波及する経路を確認する。重大性の判断基準を顧客契約だけで代替しない。

期限の違い

公式ページは、認識後24時間の早期警告、72時間の詳細通知、現に悪用されている脆弱性では是正措置又は被害を軽減する措置が利用可能になってから14日以内の最終報告、重大な事故では72時間提出から1か月以内の最終報告を示す。各期限の起点・内容を対応記録ひな型へ分ける。

24時間の時計が始まる証拠を残す

報告運用で最も危険なのは、誰も正式に「認識」していないという理由で時計を止めることだ。サポート技術者、SOC、開発者、供給者、再販売業者、顧客の利用定着を支援する担当者、研究者窓口の誰が何を受けた時点から、製造者として認識が生じるかを専門家と定義する。受信、優先度の判定、上位者への報告、判断、提出の日時の記録を自動記録する。

入口を全て棚卸しする

セキュリティ窓口のメール、ウェブフォーム、脆弱性発見の報奨制度、GitHubの課題報告、ストアのレビュー、問い合わせ記録、電話、取引先向けサイト、監視センターの警報、クラウド事業者の通知、従業員間のチャットを列挙する。旧ブランド、買収前のドメイン、退職者のアドレス、販売代理店の独自窓口も取引完了後に残る。自動転送だけでなく、管理責任、監視、迷惑メールへの振り分け、言語、休日対応を確認する。

時計を示す最低限の記録

元の連絡内容、受信日時、時間帯、報告者、影響を受ける製品・バージョン、初期の証拠、優先度判定の担当者、上位者への報告、意思決定者、判断理由、提出の受領記録、更新内容を保存する。後から時刻を書き換えられない監査記録を検討し、個人情報、営業秘密、安全対策上の機微情報へのアクセスを限定する。

M&Aの切替日

契約締結から取引完了まで、または移行支援やシステム移行の期間中に事故が起きた場合、譲渡企業・対象会社・買い手の誰が監視し、法令上の役割を担い、報告を提出し、顧客へ連絡するかを契約で定める。取引完了の時刻と時間帯、未解決の問い合わせ、未判定の警報、認証情報、当局とのやり取りを引継確認書に記載する。

統一報告基盤と報告役割・責任分担表（RACI）

欧州委員会の公式ページは、製造者がサイバーレジリエンス法（CRA） 統一報告基盤（SRP）を通じ一度報告し、主たる事業所のある加盟国の事故対応組織（CSIRT）へ通知が向けられ、原則としてEUサイバーセキュリティ機関（ENISA）とも共有される仕組みを説明する。統一報告基盤（SRP）は第14条適用開始日の2026年9月11日までに利用可能となる予定で、基準日現在は準備・試験中である。記事公開日が開始日以降なら時制を更新する。

役割・責任分担表（RACI）の役割

兆候の受付、技術的な優先度判定、対象製品の範囲、悪用の有無、重大性、法的判断、24時間以内の報告案、72時間以内の詳細報告、被害の軽減、顧客への連絡、規制当局への対応、最終報告、取締役会への通知を項目ごとに分ける。実行責任と最終責任を一人へ集中させず、代行者、休日対応、対応言語、利益相反への対応、外部弁護士を定める。

提出権限とMFA

報告用サイトのアカウント、EUでの本人確認、多要素認証の端末、復旧方法、当局の連絡先を取引完了前に確認する。譲渡企業個人の認証情報を引き渡す方法に頼らず、対象会社または適切な法人のアカウントと権限委任を用意する。画面録画や実データを使わず、利用可能な試験・研修環境または机上演習で手順を確認する。

一度の報告で終わらない

24時間時点では情報が限定され、72時間、被害の軽減、最終報告へ更新が続く。対応記録 IDと統一報告基盤（SRP） 受領記録を製品事故記録へ紐付け、事故対応組織（CSIRT）・EUサイバーセキュリティ機関（ENISA）・他法令・顧客契約・保険会社への通知の重複と差分を管理する。同じ文章を全宛先へ送るのではなく、法的要件、秘密保持、安全上のリスクを確認する。

既販品と経過措置を誤読しない

サイバーレジリエンス法（CRA）公式要約は、2027年12月11日より前に市場へ投入されたデジタル要素を含む製品について、同日以降に重大な変更を受ける場合に主要サイバーレジリエンス法（CRA）要件の対象となる一方、第14条の報告義務は、同日前に市場へ出たものを含むEU市場で提供された全対象製品へ適用すると説明する。旧製品だから9月11日報告の管理台帳から除く、という扱いは危険である。

「市場投入された」と「市場へ提供された」を分ける

最初の市場投入と、その後の販売や使用に向けた供給を区別し、製造番号、出荷、ダウンロード、利用許諾、更新、契約更新を記録する。ソフトウェアのバージョン公開、既存顧客への更新、新規顧客へのダウンロード提供がどの行為に当たるかを専門家へ確認する。社内の公開日だけでEU市場への提供時点を決めない。

サポート終了品も調べる

譲渡企業が提供・サポート終了と考えていても、顧客が使用し、EU市場へ過去に提供され、脆弱性が発見される可能性がある。稼働中の導入環境、最終ダウンロード、サポートに関する約束、契約、利用停止、更新経路、顧客連絡先を確認する。報告と修正・サポートの義務は同じ論点ではないため、期限と対象範囲を別に判断する。

管理台帳を閉じる方法

ソースコード保管場所のタグだけでなく、生成した実行ファイル、配信ストア、ダウンロード用サーバー、販売代理店、端末管理システム、顧客向けサイト、認証記録、稼働状況の収集データ、サポート記録を照合する。バージョン不明の端末を残したまま「最新版だけが対象」としない。実態が分からない端末群には最低限の仮定を置き、顧客への確認、強制更新、ネットワーク接続の制限、サポート費用の備えなどの選択肢を費用に換算する。

サイバーレジリエンス法（CRA）主要義務の準備度を測る

サイバーレジリエンス法の主要規定は2027年12月11日から適用されるが、買収後にシステム構成、業務手順、技術文書を短期間で作り直せるとは限らない。欧州委員会の概要説明は、製造者が設計・開発・生産でサイバーセキュリティの必須要件を満たし、リスク評価を行い、計画から保守まで反映し、その内容を技術文書に含める仕組みを説明する。

準備度を五段階にする

0は管理責任者・管理台帳なし、1はその都度集めた証拠、2は主要商品管理単位（SKU）の文書化、3は公開前の確認段階と脆弱性への対応手順に統合、4は適合性を示す証拠・監視・監査で継続運用、というように成熟度を定義する。証明書保有だけで最高点にせず、商品管理単位（SKU）・バージョン・サポート期間との対象範囲を見る。

附属書Iへの追跡可能性

安全対策の要件、脅威、管理策、試験、残るリスク、文書化、公開の承認、市場投入後の監視を対応関係の一覧表で結び付ける。会社全体の一般的な方針だけでは、製品ごとの証拠にならない。XRでは、端末、センサー、本人認証、コンテンツ、ネットワーク、クラウド、更新、管理画面、外部の開発キット、遠隔サポートについて、攻撃を受け得る箇所を構成別に扱う。

未整備を2027年まで放置しない

文書不足と製品の欠陥を区別しつつ、先に提供量が多く、サポート期間が長く、重要機能を担い、供給網が複雑なの商品管理単位（SKU）を優先する。買収時の100日計画には管理責任者、予算、標準、認定機関候補、試験機関、道具、供給者協力、公開の一時停止を置く。将来法対応を譲渡企業の通常設備投資（CAPEX）に含めていたかも確認する。

サポート期間を売上後の原価へ変換する

欧州委員会のサイバーレジリエンス法（CRA） 要約は、製造者が製品のサポート期間を定め、その期間に脆弱性へ効果的に対応し、サポート終了日の月・年を購入時に明確に示す構造を説明する。過去売上を認識した時点で利益が確定したように見えても、将来の監視、優先度の判定、修正、試験、配布、顧客への連絡が残る。

公開約束と内部計画を照合する

包装、ウェブサイト、配信ストア、契約、提案依頼書、安全対策の説明資料、更新履歴、営業提案書、サポート方針に記された期間を商品管理単位ごとに集める。社内の開発計画や予算より長い約束、同一製品内の矛盾、言語による違い、販売代理店の独自保証を抽出する。サポート期間を会計上の保証引当と自動的に同一視せず、費用予測の前提とする。

旧技術構成の維持費

古い開発エンジン、開発キット、基本ソフト、コンパイラ、電子署名の仕組み、端末、クラウドとの接続仕様、試験用機器、開発者の知識を維持する費用を見積もる。供給者のサポートが先に終わる場合、自社による旧版への修正反映、新バージョンへの移行、顧客の機器交換、提供終了に向けた協議が必要になる。重要な従業員の退職と、ソースコードからの再生成ができない状態は、サポート義務を実行できるかどうかに直結する。

価格モデル

商品管理単位と導入時期などの顧客群ごとに、稼働台数、残りのサポート期間、年間の脆弱性件数、優先度判定の時間、修正率、試験の組み合わせ、公開・連絡、基盤、道具、保険の費用を見積もる。一時的な是正費用と年間の継続費用を分け、標準的な想定と厳しい想定に、供給網の重大な脆弱性や基盤の変更を加える。既存のEBITDAに含まれない人員不足分は、正常収益力の調整として検討する。

ソフトウェア部品表（SBOM）をファイルの有無で評価しない

ソフトウェア部品表（SBOM）は構成部品一覧だが、古いJSON又は表計算ファイルが一つあるだけでは脆弱性への対応能力を示さない。経済産業省が2024年8月29日に公表したソフトウェア部品表（SBOM）手引第2.0版の公式案内は、脆弱性管理手順、導入範囲、供給者との要求・責任・費用・権利を扱う。EU法の代替でなく、日本企業の買収前の詳細調査（DD）質問と契約設計に使う。

生成対象範囲

製品、ソースコードの保管場所、実行ファイル、コンテナ、機器制御用ソフトウェア、携帯端末向けの配布ファイル、クラウドサービス、外部の開発キット、生成用の道具のどこまでがソフトウェア部品表に含まれるかを確認する。直接の依存先だけでなく、その先の依存部品、バージョン、ハッシュ値、利用許諾、供給者、提供終了時期、生成時の構成も照合する。公開した実行ファイルから再生成し、申告された一覧との差を確認する。

脆弱性手順との接続

ソフトウェア部品表から、脆弱性情報、製品への該当性、問題箇所への到達可能性・悪用可能性、優先度、担当者、修正、試験、公開、顧客・当局への通知までを対応記録で追う。公表された脆弱性を持つ部品を使うだけで製品のリスクを断定せず、システム構成と実行経路を調べる。一方、誤検知が多いことを理由に検査を放置しない。

供給者との契約

供給者がソフトウェア部品表（SBOM）又は構成部品情報をいつ・どの形式で提供し、変更、脆弱性、修正、提供・サポート終了をどう通知するか、費用、秘密保持、監査、求償を確認する。買収後に供給者同意又は契約更新が必要なら、情報継続性と価格へ反映する。自由・公開ソフトウェア（FOSS） 構成部品は利用許諾だけでなく保守担当者・サポート・独自版の維持能力を見る。

技術文書と適合性評価の証拠

サイバーレジリエンス法の概要説明は、サイバーセキュリティのリスク評価と必須要件への対応を技術文書に含め、市場監視当局の求めに応じられるようにし、市場投入前に適合性評価、EU適合宣言、CE表示などを行う仕組みを説明する。買収前の調査では、ひな型や下書きがあるだけでなく、市場に出たビルドと一致するかを確認する。

文書一式

製品説明、意図した用途、システム構成、データの流れ、部品、リスク評価、管理策、試験、脆弱性への対応手順、サポート期間、利用者向け情報、適合性の確認方法、EU適合宣言、表示、バージョン履歴、変更時の評価を一つの索引にまとめる。文書の責任者、承認、日付、適用するビルド、言語、保管場所、保存期間を記録する。

ビルドとの一致

ソースコードのタグ、自動生成の工程、生成物のハッシュ値、公開の承認、ストア上の実行ファイル、端末の制御ソフト、クラウドへの配備、顧客向けの配布物を抽出して追跡する。文書が最新版でも、顧客が古いビルドを使う場合は旧版の文書を確認する。緊急修正、機能の有効・無効を切り替える設定、サーバー側の変更もリスク評価を通るか確認する。

適合経路の費用

自己評価が可能な製品と、第三者による評価などが必要な区分を専門家と分類し、利用できる規格、試験機関、認定機関の対応能力、是正、翻訳、再試験、公開の一時停止を日程に組み込む。2027年直前に需要が集中するリスクを厳しい想定に入れる。譲渡企業の予算に含まれるかも確認する。

サイバーレジリエンス法（CRA）の重大な変更

サイバーレジリエンス法の前文は、ソフトウェアの変更によって製品の意図した用途が変わり、その変更が当初のリスク評価で予見されていなかった場合や、危険の性質またはサイバーセキュリティのリスク水準を変える場合などに、重大な変更となる考え方を示す。一方、意図した用途を変えず、安全上のリスクを下げるための更新は、通常は重大な変更に当たらないとされる例がある。

M&A自体と変更行為を分ける

株式取得が起きた事実だけで全製品を「新製品」と断定しない。買い手がブランド、対象利用者、クラウド、本人認証、データ接続、AI、センサー、管理者、配布を変更する公開・配信を個別に評価する。事業譲渡で買い手名義へ再提供する場合も、役割と市場対応を専門家へ確認する。

変更を評価する判断段階

公開申請に、意図した用途、新たな危険や危険の変化、リスクの増加、市場での提供状況、影響する商品管理単位、旧バージョンのサポート、文書化、適合性の確認方法を追加する。製品責任者だけで判断せず、開発、情報セキュリティ、安全、法務、品質、営業の各部門が承認する。緊急の安全対策更新は迅速化しつつ、理由と対象範囲を記録する。

統合相乗効果の隠れた費用

買い手側の一括認証への統合、共通クラウド、関連商品の販売、AI支援機能、稼働データの共用は相乗効果に見えるが、意図した用途やリスクを変え得る。相乗効果の価値から、追加のリスク評価、文書化、試験、顧客通知、適合性の確認、サポートに必要な費用と遅延の影響を差し引く。取引完了前の事業計画に、公開前の審査工程を組み込む。

一般製品安全規則（GPSR）の消費者向け製品範囲

一般製品安全規則（GPSR） 第3条の製品定義は、消費者向けの物品だけでなく、意図されていなくても合理的に予見可能な条件で消費者が使用する可能性がある物品を含む。前文は、専ら業務用途向けに設計されたものが後に消費者市場へ移った場合も対象となり得ると説明する。B2B契約とウェブサイト表示だけで一律に対象外としない。

XR利用者の実態

企業研修、博物館、施設型の娯楽サービス、学校、運動支援、住宅設計、貸出し、共用端末では、契約者が法人でも実利用者は一般の自然人である場合がある。意図した用途、販売経路、説明書、年齢、サポート対応記録、家庭利用、再販売、貸与、催事を確認する。専ら業務用途で消費者利用が合理的に予見されない事実も同じ精度で記録する。

製品とサービスの境界

一般製品安全規則（GPSR）は消費者向け製品の安全性を対象とし、サービスそのものを全て同じように扱うわけではない。ただしサービス提供の中で消費者へ供給又は利用させる製品は対象範囲候補になる。VR 遊戯施設が端末を運営する場合、輸送サービスの特定除外等と混同せず、端末、付属品、衛生管理、ソフトウェアの更新、運営者管理を個別に専門家へ確認する。

他EU法との補完

一般製品安全規則（GPSR） 第2条は、同じ目的の個別規定がEU 法令にあるリスクについて適用範囲を調整する。頭部装着型ディスプレー（HMD）、無線、充電器、電池、玩具、医療、機械等の適用法令とリスク区分を対応付けする。「CE 表示があるから一般製品安全規則（GPSR）不要」又は「一般製品安全規則（GPSR）だけ見れば十分」とせず、不足を埋める横断的な安全網として検討する。

一般製品安全規則（GPSR）の製品安全評価をXRへ当てはめる

一般製品安全規則の第5条は、事業者が安全な製品だけを市場へ投入・提供する一般安全要件を定め、第6条は、設計、技術的特徴、相互接続、表示、説明、消費者の区分、サイバーセキュリティ、進化・学習する機能などを評価要素にする。XRでは、物理面、デジタル面、人の行動に関する要因が、一つの利用体験の中で作用する。

物理面とデジタル面を結ぶ

装着用の帯、電池、熱、操作機器、充電、ケーブル、利用範囲の境界表示、外部映像の透過表示、位置追跡の喪失、遅延、誤った重ね合わせ表示、更新、通信の切断、外部コンテンツが安全に与える影響を具体的な場面として整理する。一般的なVR酔いの解説へ話を広げず、対象会社がリスク評価、警告、代替動作、稼働データ、事故記録から何を証明できるかを見る。

特に配慮が必要な消費者

子ども、高齢者、障害のある人など、利用者の区分によるリスクを考慮する。営業上の対象年齢、ストアの年齢区分、説明書、実際の利用者、利用のしやすさ、保護者や運営者による管理を確認する。法人顧客が現場教育を担う契約でも、製造者による製品安全の証拠が不要になるとは限らない。

相互接続と学習

外部機器、センサー、パソコン、ネットワーク、クラウド、追加機能、AIモデル、コンテンツは製品の動作に影響する。更新や学習で機能が変わる場合は、検証、元の状態への復元、監視、警告を確認する。顧客が独自のコンテンツを入れる製品では、基盤上の制限、審査、隔離された実行環境、責任、予見できる誤使用をリスク管理台帳に記載する。

自社名・商標・デジタル変更

一般製品安全規則（GPSR） 第13条は、自然人又は法人が自らの名称又は商標で製品を市場へ置く場合、製造者とみなされ義務を負うことを定める。また製造者以外の者が製品を実質的に変更する場合、影響部分又は安全に影響すれば全体について製造者義務を負う構造を示す。M&A後のブランド変更と統合を事前に評価する。

重大な変更の判断基準

物理面又はデジタル面の変更が安全へ影響し、初期リスク評価で予見されない方法で製品を変え、危険の性質変化、新危険又はリスク水準増加があり、消費者自身又はその依頼による私的変更でない等の判断基準を確認する。大規模なバージョンという社内表示だけで自動判定しない。

他社ブランドで提供する事業の買収

対象会社が他社機器へ自社ブランドとXR ソフトウェアを付けて販売する場合、誰が製品を市場へ置き、誰の名称が表示され、リスク評価、技術文書、苦情、回収を誰が持つかを調べる。供給者保証だけに依存せず、対象会社が製造者として扱われる可能性を法務確認する。

買い手ブランドへの変更

取引完了後に買い手のブランドへ統一する計画では、表示、説明書、ウェブサイト、EU内の責任を担う事業者、リスク評価、事故の受付窓口、回収、保険を公開・販売の条件に含める。商標の貼り替えだけに見えても法令上の役割に影響し得るため、相乗効果を実現する日程と規制対応の作業を連動させる。

事故・苦情・回収を一つの証拠線にする

製品安全買収前の詳細調査（DD）では、事故台帳だけを検索すると兆候を見落とす。サポート対応記録、返金、返却、保証、アプリの利用者レビュー、病院報告、保険、再販売業者電子メール、事故につながりかねない事象、不具合、安全対策事故、現場の保守サービスを同じ期間・商品管理単位（SKU）で照合する。「酔った」「転倒」「映像が消えた」「境界がずれた」「発熱」「誤った指示」といった表現が正式事故分類に入っていないことがある。

兆候の検知

検索語だけでなく、同じ顧客からの繰り返しの連絡、同じビルド、同じ付属品、重大性、医療処置、休業、物損、データ破損、脆弱性の悪用を集計する。重複した問い合わせは一件にまとめつつ、複数の利用者へ影響が広がっている事実を消さない。顧客の秘密と個人情報を保護し、情報を隔離して扱う担当チームが分析する。

判断の記録

誰がいつ製品安全や情報セキュリティの担当へ報告し、リスクをどう評価し、更新、警告、販売停止、流通からの撤去、回収、当局・顧客・保険会社への通知を決めたかを追う。対応しなかった事案も理由と証拠を確認する。売上や公開期限が判断へ不当に影響していないか、意思決定の議事録を見る。

M&Aの取引完了時の再確認

契約締結後から取引完了までに、新たな事故や脆弱性が発生し得る。通常業務としての対応、買い手への通知基準、文書の閲覧、当局への連絡、回収の判断、費用、重大な悪影響を扱う条項との関係を契約で定める。取引完了時の確認書では「重大事故なし」とするだけでなく、未解決の事案一覧と対応状況を更新する。

改正製造物責任指令（PLD）の目的・時期・国内法化

改正製造物責任指令（PLD） 第1条は、欠陥製品により自然人が被った損害について経済事業者の責任と賠償の共通規則を定める。これはEU 規則ではなく加盟国へ向けた指令であり、各国が国内法を整備する。欧州委員会の製造物責任公式ページも法令と国内法化の入口になる。

適用日の読み方

加盟国の国内法化期限は2026年12月9日で、指令第2条は同日より後に市場投入された又は使用開始された製品へ適用すると定める。2026年12月9日以前の製品には旧指令が引き続き関係する経過構造がある。取引完了日付だけでなく、各製品・バージョンの市場対応を国別に確認する。

国別差を残す

指令は共通ルールを求めるが、裁判手続き、損害額の算定、保険、時効、証拠、各国が選べる制度などの実装・実務を、一文で同じものとして扱わない。対象会社の主な販売国、事故発生国、顧客所在地、保険の対象地域を特定し、リスクに応じて現地弁護士による調査を配分する。

法令などへの対応と責任を分ける

CE、サイバーレジリエンス法（CRA）、一般製品安全規則（GPSR）へ適合していることは重要だが、個別請求の欠陥の有無又は因果関係へ自動的な免責を与えるとは限らない。反対に文書不足が直ちに全製品の欠陥を意味するとも限らない。M&A 報告では規制上の不適合、製品の欠陥申立て、請求リスクへのさらされ方、保険対象範囲を別欄にする。

ソフトウェア・SaaS・関連サービス

改正製造物責任指令の前文は、基本ソフト、機器制御用ソフトウェア、プログラム、アプリ、AIシステムなどのソフトウェアが、端末への保存、ネットワーク・クラウド経由の利用、クラウド型サービスを含め、提供・利用の形態にかかわらず製品になり得ると説明する。一方、情報やソフトウェアのソースコードそのものとは区別される。XR会社の調査対象を機器の販売者だけに限定しない。

単独で機能するソフトウェア

パソコン向けVRアプリ、携帯端末向けARアプリ、開発キット、映像配信ソフト、端末側の常駐ソフト、機器制御用ソフトウェア、クラウド経由で提供するソフトウェアを一覧に加える。商業活動で供給する自由・公開ソフトウェアの組み込み、追加機能、顧客向けの改修も確認する。自由・公開ソフトウェアに関する特定の除外は、事業上の位置付けや組み込みの実態を見ずに一律適用しない。

関連サービス

指令は、製品へ統合又は相互接続され、それがなければ一つ以上の機能を果たせないデジタルサービスを関連するサービスとして扱う。XRではクラウド描画、追跡修正、案内データ、本人認証、表示内容連続配信、健康監視等が候補になり得るが、一般インターネットアクセスそのものとは区別される。機能依存関係を失敗試験で示す。

SaaS契約と製品責任

定期契約でサービスと呼んでいるだけでは、ソフトウェアが製品に当たることを否定できない。契約条件、システム構成、提供方法、更新、管理、顧客の利用実態、損害が生じる場面を確認する。同時に、クラウド型サービスで業務用データが失われた場合のすべてが、指令に基づく賠償対象になるわけでもないため、適用範囲と損害を別の段階で判断する。

製造者による管理と更新責任

改正製造物責任指令（PLD）は製造者による管理について、製造者自身又は第三者へ権限を許可する／同意して構成部品、ソフトウェアの更新・機能向上を統合・接続・供給する場合、製品変更を行う場合、又は更新を自ら若しくは第三者経由で供給できる場合等を定義する。買収後に誰が公開・配信鍵、配信ストア、サーバー側の処理基盤、更新サーバーを支配するかが責任分析へ関係する。

第三者製の構成要素

開発エンジン、XR SDK、機器の動作用ソフト、公開ソース方式ライブラリー、端末機器制御ソフト、クラウド API、AI モデルを誰が選び、承認し、製品の一部として表示し、更新するかを確認する。単に技術上の統合が可能又は特定ブランドを推奨しただけで同意とされるとは限らないという前文上の留保も踏まえ、契約と実際の管理を専門家が判断する。

必要な安全対策更新の不提供

指令第11条の構造では、製造者による管理下にある関連するサービス、ソフトウェアの更新・機能向上、安全性維持に必要な更新の欠如、重大な変更等が責任適用除外へ影響する。指令自体が全製品へ一般的な更新義務を新設するという単純な説明は避け、他法令・契約と合わせて評価する。

M&A後の管理移管

電子署名の鍵、ソースコード、開発・配信基盤、ストア、クラウド、稼働データ、顧客連絡先を譲渡企業や供給者が保持すると、買い手は更新を提供できず、責任だけを引き継ぐリスクがある。取引完了時の引渡物、移行支援契約、ソースコードの第三者預託、利用許諾、供給者の同意、従業員の継続勤務、ソフトウェアの再生成、鍵の更新を、一連の管理権限の移転試験として確認する。

損害・欠陥の有無・データ損害

改正製造物責任指令の第6条は、死亡や人身傷害、一定の物損、業務目的で使われないデータの消失や破損などを、賠償対象の損害として扱う。業務用データ、純粋な経済的損失、プライバシー侵害や差別そのものを、同じ損害の区分へ混ぜない。他の法制度や契約に基づく救済が、別に関係し得る。

XRの損害想定

追跡又は重ね合わせ表示の誤りで転倒・誤操作が起きる、過熱で人身傷害・財産損害が起きる、更新で消費者の非業務データが破壊される、関連するサービス停止で製品が安全機能を失う、といった想定を製品別に作る。可能性を断定せず、予見できる利用、警告、代替動作、証拠、保険を確認する。

欠陥の有無の評価要素

指令の第7条は、製品の提示方法、表示、設計、技術的特徴、説明書、合理的に予見できる使用方法、学習や新たな機能、相互接続される製品、市場投入時点や製造者の管理が終わる時点などを考慮する。広告上の主張、安全性の約束、サポート終了、更新、既知の脆弱性、顧客の設定を同じ資料で確認する。

データ違反とデータ破損を分ける

前文は、データの消失・破損と、データ漏えいやデータ保護違反を区別する。XR利用者の保存データが消えた事案と、個人データへ不正にアクセスされた事案では、事実が重なる場合でも法的な分析は同じではない。事故の分類、保険会社への通知、顧客への救済、当局への報告をそれぞれ確認する。

株式譲渡・事業譲渡・事業の切り出し

取引の構造によって、法人、契約、市場で使う名称、製品の管理権限、証拠、保険の移り方が変わる。株式譲渡では対象法人が同じでも、買い手ブランドへの統合、グループ共通のクラウド、新たな更新、EU内の法人の変更が、新しい役割やリスクを生み得る。事業譲渡では、製品、契約、ソースコード、技術文書、報告履歴、サポート、責任を担う法人を列挙して移転する。

株式譲渡

対象会社の製造者名義、EU 輸入者、適合宣言、保険、業務用サイトアカウントが継続するかを確認する。支配権の変更で供給者、販売者、認定代理人、保険会社が解除又は同意を求めないかを見る。買い手が直ちにブランドを変更しない場合も、取締役会・事故判断・資金の確保・サポート対応資源を取引完了初日から確保する。

事業譲渡

譲渡資産の明細には、ソースコードと商標だけでなく、技術文書、リスク評価、ソフトウェア部品表、試験設備、証明書、適合宣言、表示の版下、当局とのやり取り、事故、苦情、回収、保険金請求、サポートの約束、EU内で責任を担う事業者との契約を含める。移転できない文書や証明書は、再取得費用と販売停止の可能性を検討する。

事業の切り出し

共用の製品セキュリティ対応組織、監視センター、開発・配信基盤、ソフトウェア部品表の作成ツール、品質管理システム、試験機関、サポート用サイト、EU内の法人、保険、供給者との契約から、対象製品を切り離す。移行支援契約が報告、安全対策の更新、技術文書の閲覧、当局対応を含むか、契約終了時に買い手だけで24時間以内の判断と公開・配信ができるかを模擬する。

証拠中心の資料共有室を作る

資料共有室は「法令」「情報セキュリティ」「製品」のフォルダーに分けるだけでなく、商品管理台帳から各証拠へ直接たどれる索引を作る。すべての文書に、製品、バージョン、国、役割、日付、責任者、承認、対応状況、秘密性、更新期限を付ける。証明書や方針だけを先に見せ、対象となる製品群が不明なまま結論を出さない。

最低限の証拠群

EU 売上・ダウンロード・有効化、製品表示・資料一式・説明書、配信ストア・ウェブサイト、契約・再販売業者、EU 法人、意図した用途、リスク評価、システム構成、ソフトウェア部品表（SBOM）、脆弱性、事故、苦情、返却、回収、技術文書一式、試験、適合宣言、CE、サポート期間、公開・配信、更新、保険を要求する。不存在は理由と代替証拠を付ける。

相互照合

請求書の商品管理単位と技術文書、ストア上のビルドとソフトウェア部品表、サポートの約束と予算、事故と保険、表示上の製造者と契約、EU内の提供国と言語、公開日とリスク評価を、抽出した事例で結び付ける。文書の題名が同じでもハッシュ値やバージョンが異なる場合、どれが市場に出たビルドに対応するかを確認する。

開示を安全にする

未修正の脆弱性、悪用方法の詳細、顧客の事故、個人情報、営業秘密、当局とのやり取りは閲覧者を限定する。情報を隔離して扱う担当チーム、外部弁護士、閲覧のみの権限、必要箇所の伏せ字、業務上必要な範囲への限定、ダウンロード記録、透かし、破談時の削除を活用する。安全対策上の機微情報をすべての買収候補へ一括開示し、新たなリスクを作らない。

規制是正費の評価モデル

EU向けXR M&Aの規制負債調整額は、`未整備商品管理単位（SKU）の一時是正費 + 保有期間中の追加継続的な費用水準 + 既販品サポート現在価値 + 事故・回収・請求の確率加重損失 + 販売停止の逸失粗利 + 不測の事態への備え`として分解できる。罰金上限をそのまま期待損失へ置かず、事実、適用、発見、執行、是正、保険、求償を案件別に評価する。

一時費用

適用範囲・役割に関する専門家の見解、商品管理台帳、リスク評価、システム構成・技術文書、ソフトウェア部品表、プログラムの是正、侵入試験・安全試験、第三者評価、翻訳・表示、EU内の法人、報告用サイト、研修、供給者との契約変更、保険、顧客通知、旧環境からの移行にかかる費用を見積もる。社内の人件費も、必要な対応能力を確保する費用として含める。

継続的な費用水準

製品セキュリティ対応組織、監視センター・脅威情報、脆弱性の優先度判定、ソフトウェア部品表の作成、試験用端末・試験機関、公開・配信、サポート、報告、EU内の連絡窓口、品質管理、監査、保険料、クラウド・ツールの利用料を年間費用に換算する。譲渡企業が創業者の働きや無給の残業で賄っていた作業を、通常必要な費用に置き直す。

厳しい想定と期間

販売停止、ストアからの削除、顧客による契約終了、返金、回収、機器交換、事故対応、請求への防御、保険料の上昇、評判への影響、重要な従業員の確保、遅延について、楽観・標準・厳しい想定を置く。是正に6～18か月かかる場合は、売上の開始が遅れる影響と運転資金を反映する。それぞれの前提に証拠、責任者、更新日を付ける。

価格・代金の一部留保・業績などに応じた追加対価へ落とす

規制不足の全てを取引完了前に直すのは難しい。リスクが金額化できれば価格の減額、運転資本・実質的な負債調整、個別の引当て・備えへ、完了を客観判定できれば代金の一部留保又は達成基準に応じた支払いへ、将来EU売上と対応完了が連動するなら業績などに応じた追加対価へ配分する。二重控除と譲渡企業・買い手の操作可能性を避ける。

価格の減額

既存EBITDAに不足していた年間法令などへの対応人員・道具・サポートを正常な水準へ調整し、一時的な是正費用は事業価値から株式価値への換算調整表又は個別調整で扱う。承継不能商品管理単位（SKU）の将来キャッシュフローを除き、販売停止期間をDCFへ反映する。罰金の上限額だけを買収価格から控除する単純法は使わない。

代金の一部留保

重要な商品管理単位のリスク評価、ソフトウェア部品表の対象範囲、技術文書、EU内で責任を担う事業者、報告の机上演習、第三者評価の予約、顧客同意など、客観的に確認できる成果物を公開・販売の条件とする。単に「法令遵守を達成」とすると、適用範囲、当局の解釈、将来の変更により争いになり得る。文書、バージョン、試験、確認者、期限、不備の是正を定義する。

業績などに応じた追加対価

EU売上達成だけを条件にすると、買い手が安全上必要な販売停止・更新を行いにくくなる。法令などへの対応確認段階を優先し、譲渡企業の協力、買い手の通常の統合、会計、製品提供終了、規制上の変更、情報権利、紛争専門家を定める。安全又は報告義務を妨げる報奨を作らない。

株式譲渡契約（SPA）の表明保証・誓約・補償

「すべての適用法令を遵守する」という一般的な表明保証だけでは、製品、バージョン、役割、報告、文書に関する事実を開示しにくい。商品管理明細、EUでの提供状況、責任を担う事業者、事故、脆弱性、技術文書、ソフトウェア部品表、サポート、請求、保険を、個別の表明保証に分ける。譲渡企業が知っている範囲、重要性、遡って確認する期間、開示、責任の存続期間、上限額を、取引全体の条件と整合させる。

事実に関する表明

EUで提供した製品一覧の完全性・正確性、表示・ブランド・役割、適用される適合宣言・技術文書、サポートの約束、既知の脆弱性・事故、当局の照会、販売停止・回収、顧客の苦情、保険会社への通知、自由・公開ソフトウェアや供給者の情報を扱う。法的な結論だけでなく、基礎となる事実と証拠を開示する設計が有用である。

契約締結から取引完了の誓約

通常業務で行う安全対策の更新、新しい商品管理単位・提供国・ブランド、サポート終了、重大な変更、事故・脆弱性、当局との連絡、回収、技術文書の変更、重要な従業員の退職を買い手へ通知する。第14条の適用開始をまたぐ場合は、9月11日前の準備と当日以降の提出への協力、統一報告基盤のアカウント、未解決の警報を明記する。

特別補償と保険

既知の事故、未報告疑義、脆弱性のある特定バージョン、不足している適合性の証拠、既販品是正、回収候補には特別補償、第三者への預託又は譲渡企業是正を検討する。保険契約の対象地域、製品、サイバーリスク、回収、保険期間中の請求を基準とする方式、遡及日、支配権の変更、通知、免責額、事業終了後の補償を保険仲介者・専門家と確認する。

取引完了初日の報告・製品安全管理

取引完了初日には、すべてのツールや製品の統合を急がず、兆候の受付、24時間・72時間以内の判断、安全対策の更新、販売停止、回収、当局・顧客・保険会社への連絡を途切れさせない。対象会社の既存手順を維持・監視し、その上に買い手の管理を加える。旧ドメイン、対応記録、業務用サイト、多要素認証、電子署名の鍵、EU内の連絡先、サポート電話を引き継ぐ。

最初の24時間

未解決の脆弱性、事故、苦情、当局の要請、公開・配信、回収、顧客からの上位対応要請を引き継ぎ、日時と担当者を確認する。製品セキュリティ対応組織、製品安全、法務、経営陣、広報、EU内の責任者、外部弁護士の連絡網を試す。重大な兆候があれば、取引の成立を祝う前に優先度を判定して対応する。

最初の7日

商品管理台帳、EU内の提供国、役割、サポート、技術的な証拠、業務用サイトへの接続権限、保険、供給者の連絡先を照合する。新たな市場投入、ブランド変更、大規模な更新、提供終了の判断は、変更を審査する会議へ一時的に集約する。第14条の適用開始後であれば、机上演習だけでなく、統一報告基盤を実際に使える準備と受領記録の保管を確認する。

止める条件

管理されていない電子署名、重大で未修正の悪用可能な脆弱性、EU内の提供対象の実態不明、EU内の責任事業者の失効、重大事故の未評価、安全でない製品の疑い、報告経路の不通、技術文書と市場に出たビルドの不一致がある場合、対象製品の公開・販売を誰が止められるかを定める。停止、顧客連絡、旧状態への復元、修正、再開の権限を文書化する。

100日PMIと模擬報告・回収訓練

一般的な統合方針は地域XR事業承継の契約・端末・運用実務とVR会社の売却準備完全ガイドへ譲り、本稿では製品規制上の管理に限定する。100日で全技術文書一式を完成させると約束するより、優先商品管理単位（SKU）、証拠不足、報告、サポート、変更確認段階を持続可能な管理責任者へ移す。

0～30日

商品管理単位、バージョン、国、役割の調査対象を確定し、第14条に関する責任分担、事故報告の期限管理、EU内の連絡先、保険、未解決事案を整理する。リスクの高い証拠不足、サポート対象外のバージョン、ブランドの不一致、供給者への依存、2026年12月9日以降の提供開始を優先する。取締役会へ期限、費用、停止の判断基準を報告する。

31～60日

リスク評価・技術文書・ソフトウェア部品表の不足分析、サポート費用の確認、一般製品安全規則に基づく事故・苦情対応の整備、製造物責任指令の国別整理、供給者との契約是正を行う。代表的な商品管理単位で、実行ファイルから文書への追跡、旧ビルドの再生成、安全対策の更新、顧客通知を試験する。統合後の公開・配信は、重大な変更に当たるかの審査を通す。

61～100日

現に悪用されている脆弱性を想定し、24時間・72時間以内の報告について机上演習を行う。同じ週に、製品安全事故と回収の演習を別の想定で実施する。所要時間、判断、報告用サイト、事故対応組織、EUサイバーセキュリティ機関、顧客、保険会社、供給者、取締役会との連携、証拠保全を評価する。失敗を研修完了として終わらせず、担当者、期限、再試験を定める。

モデル案件とよくある質問

以下は実在する会社又は法的結論を示すものではない。取引構造、製品、国、時点により結果が変わるため、論点抽出の仮定例として使う。数値や分類を自社案件へ転用せず、公式法令と専門家確認へ戻す。

モデルA：EU売上3%だが旧バージョンが多い

対象会社はPC接続型VR 研修ソフトウェアを5年前からEUへ提供し、売上比率は3%だが稼働中の顧客が多く、旧開発エンジン・SDKを使う。評価ではEU当期売上ではなく、バージョン母集団、サポートに関する約束、ビルド再現、構成部品脆弱性、第14条報告対象候補、顧客移行費を置く。未対応ビルドを即時終了した場合の解約と、旧版への修正の反映人員の厳しい想定を比較する。

モデルB：他社ブランドでの提供頭部装着型ディスプレー（HMD） セット販売

対象会社は、他社の頭部装着型ディスプレーへ自社アプリと商標を付け、EUの販売代理店を通して販売する。機器供給者のCE資料だけでは、対象会社の名義、ソフトウェア・クラウド、リスク評価、サポート、一般製品安全規則の第13条、サイバーレジリエンス法上の役割を説明できない。供給者への求償、EUの輸入者、表示、技術文書、事故・脆弱性の受付窓口を整理し、買い手ブランドへ変更して公開・販売する際は別に判断する。

モデルC：B2Bだが家庭利用がある

法人契約の運動用XRが従業員へ貸与され、家庭でも使われる。法人宛ての請求書だけで、一般製品安全規則上の消費者向け製品に当たることを否定せず、意図した用途、説明書、合理的に予見できる使用方法、子どもの利用可能性、使用空間、相互接続、安全上の警告を確認する。業務専用で使われている事実があれば、同様に証拠として残す。

Q1. 9月11日より前に売った製品は第14条対象外ですか。

欧州委員会のサイバーレジリエンス法（CRA） 要約は、報告義務が2027年12月11日より前に市場へ出たものを含む、EU市場で提供された対象デジタル要素を含む製品へ適用すると説明する。個別対象範囲、役割、事実は専門家へ確認し、旧商品管理単位（SKU）を管理台帳から自動除外しない。

Q2. EU売上がゼロなら調査不要ですか。

請求書売上ゼロでも、無料PoC、試験提供、配信ストア配布、セット販売、再販売業者、SDK、EU向けオンライン提供の提案、既存顧客サポートがあり得る。商業活動と市場利用可能性の事実を確認する。実際にEU提供がなく、将来計画もなければ対象範囲調査を限定できる可能性があるが、証拠を残す。

Q3. 株式譲渡なら製造者は変わりませんか。

対象法人が同じという事実は重要だが、それだけで全論点は終わらない。支配権の変更、EU 法人、ブランド、輸入者、供給者、買収後更新・統合・ブランド変更を分ける。M&A自体だけで一律に新たな製造者になるとも、何も変わらないとも断定しない。

Q4. サイバーレジリエンス法（CRA）主要義務は2027年なので買収前の詳細調査（DD）を後回しにできますか。

第14条は2026年9月11日からで、基準日から20日後である。主要義務のリスク評価、技術文書一式、ソフトウェア部品表（SBOM）、サポート、供給者、適合性準備にも長い期間が必要になる。買収後の固定費と公開・配信実施計画へ影響するため、現在の成熟度を評価する。

Q5. 一般製品安全規則（GPSR）は消費者機器だけですか。

一般製品安全規則（GPSR）の製品定義と個別の EU 法令との関係を個別に読む必要がある。消費者向け又は合理的に予見可能な消費者利用を含む物品が中心で、サービス・ソフトウェア・接続された機能の扱いを一律に簡略化しない。XR セット販売と実利用を専門家へ示す。

Q6. 改正製造物責任指令（PLD）は個人情報の保護違反の損害も同じように補償しますか。

指令は、業務目的で使われないデータの消失や破損を一定の損害として扱う一方、前文はプライバシー侵害やデータ漏えいと区別する。他のデータ保護、契約、不法行為の制度が関係し得るため、事故の事実と損害の区分を分ける。

Q7. ソフトウェア部品表（SBOM）があればサイバーレジリエンス法（CRA）準備は完了ですか。

完了ではない。ソフトウェア部品表の対象範囲、市場に出たビルドとの一致、脆弱性の該当性、修正、試験、報告、サポート、技術文書、供給者の対応手順へつながる必要がある。古い一覧ファイルがあるだけでは、かえって誤った安心感を与える。

Q8. 既存の安全対策記事と重複しませんか。

本稿では、一般的なアクセス管理、暗号化、操作記録の説明を繰り返さず、サイバーレジリエンス法・一般製品安全規則・製造物責任指令の日付、商品管理単位・役割、報告期限、技術的な証拠、規制対応の費用、株式譲渡契約に論点を絞る。一般的な管理体制はVR/XRの権利・技術買収前の詳細調査（DD）を参照し、公開前に既存本文との類似を再監査する。

参考資料・相談先・免責

以下は2026年8月22日に確認したEU法令、欧州委員会及び日本政府の一次・公式資料である。法令の改正を反映した統合版、欧州委員会手引き、加盟国実装、業務用サイト運用は更新される。記事公開日、契約締結、取引完了、製品公開・配信で最新版を再確認し、要約又は手引きを法令本文より優先しない。

EUの法令・公式資料

• EU法令データベース：規則（EU）2024/2847（サイバーレジリエンス法） — 対象範囲、義務、経過、第71条の適用日。
• 欧州委員会：サイバーレジリエンス法の法文要約 — 製品、役割、サポート、報告、主要義務の公式整理。
• 欧州委員会：サイバーレジリエンス法の報告義務 — 2026年9月11日、24／72時間、最終報告、統一報告基盤（SRP）。
• 欧州委員会：サイバーレジリエンス法の手引きC(2026)5252 — 2026年7月27日公表。適用範囲、遠隔処理、変更、サポート、報告などを扱う。法的拘束力がない旨の明記あり。
• 欧州法令データベース：EU規則2023/988（一般製品安全規則） — 消費者向け製品、安全、経済事業者、第13条、2024年12月13日適用。
• EU法令情報サイト：指令（EU）2024/2853（改正製造物責任指令） — ソフトウェア、関連するサービス、管理、損害、国内法化と適用境界。
• 欧州委員会：欠陥製品に対する責任 — 改正製造物責任指令（PLD）と各国実装の公式入口。

日本政府の補助資料

• 経済産業省: ソフトウェア部品表（SBOM）導入手引第2.0版公表資料 — 2024年8月29日。脆弱性管理、対象範囲、供給者との契約モデル。EU法の代替ではない。

相談と免責

EU向けXR M&Aの相談では、会社概要だけでなく、商品管理単位（SKU）・バージョン・提供国・日付・商標・経済事業者・接続・消費者利用・サポート・事故・実施計画を先に整理する。VR業界の関連コラム一覧はM&Aコラム、サイト全体の相談入口はVR M&A総合センターから確認できる。

本稿は一般的な情報提供であり、個別製品又は取引についてサイバーレジリエンス法（CRA）、一般製品安全規則（GPSR）、改正製造物責任指令（PLD）その他EU・各国法の適用、法令などへの対応、報告、適合性、製品安全性、欠陥の有無、責任、企業価値、保険、税務又は会計上の結論を示さない。法令本文、最新の公式手引き、加盟国法令、契約、技術的な証拠を確認し、EU法・製品安全・情報セキュリティ・XR技術・保険・会計・税務の専門家へ相談する。