24時間のニュースは簡単な部分です。『サイバーレジリエンス法』によって、ウォレットが法的にどのようなものかが変わりました。

見出しには日付と時刻が正しく書かれているが、時間帯が間違っている。2026年9月11日, EUサイバーレジリエンス法に基づく報告義務が必須となった圧縮された形で表示される情報――「暗号ウォレットは、ハッキングを報告するための24時間が与えられている」というものですが、実際に行動を起こす前に確認すべき点が2つあります。24時間というのは、3段階のプロセスのうちの最初のステップに過ぎず、全期間ではありません。また、その責任はウォレットを持つ人にあるのではなく、そのウォレットを作成した人にあるのです。

実際の数値を確認してください。見出しに書かれている数字は、実際の義務量を狭く表しているだけです。

見出しが平らになった梯子

サイバーレジリエンス法――正式名称規制（EU）2024/2847— 対象製品を製造するすべてのメーカーは、申請を行う必要がある。EU全体を対象としたプラットフォームで、各国のコンピュータセキュリティインシデント対応チームやENISAに情報を提供するものです。EUのサイバーセキュリティ機関です。重要なのは確認ではなく、知識です。製造業者がその基準に達したときに、「気付く」ということです。初期評価後の、合理的な確実性の度合い、すべての技術的な事実を待つことなく。

その瞬間から、時計は3つの段階に分かれて動くようになる。

• 24時間 — 予防的な情報を含む早期警告、そして悪意のある行為が疑われているかどうか;
• 72時間– 初期評価と対策措置を含む、より詳細な通知内容。
• 最終報告書– 積極的に悪用される脆弱性の場合は、対策が実施されてから14日以内に；深刻な事象の場合は、1ヶ月以内に。

つまり、「ハッキングを報告するのに24時間かかる」というのは事実ですが、不完全な状態です。24時間という時間は、完全な報告書を作成するのに必要な時間よりも少ないです。24時間後にようやく完全な報告書が届きますが、実際に対処できる内容、つまり修正や報告のための情報は、1ヶ月ほどかかることがあります。

また、スコープも正しく設定する必要があります。なぜなら、それは見出しで表現されている以上の範囲に及ぶからです。この規制は、デジタル要素を含む製品をEU市場に販売するすべてのメーカーを対象としています。その製造業者がどこに拠点を置いているかに関係なくカリフォルニアにある、ヨーロッパにも商品を販売している財布製造業者は、ここでは「製造業者」と呼ばれます。EUのコンタクト担当者を指定しなければならない。施行は明確に国境を越えるものです。また、特別な規定によって、リスクが高くなります。脆弱性の管理や報告に関する規定に違反すると、最大で罰金が科せられます。1500万ユーロ、つまり世界全体の年間売上高の2.5％に相当する。どちらかが高い方です。

これら二つの事実を並べてみると、その曖昧さが消え去ります。つまり、「今、あなたのウォレットが書類を処理する」というわけではありません。むしろ、「あなたのウォレットの製造者は、おそらく一度も関わったことがない規制機関に対して、法的に拘束力のある、外国領域に適用される、金額に基づく報告義務を負っている」ということです。

アイデンティティの切り替え

これは、ウォレット事業を運営している人や評価する人にとって重要な変化です。これはマーケティングの変化ではなく、法的な性質の変化です。以前と現在を2列に並べて示しましょう。

有効日までの間は。ウォレットとは、実際に実行されるコードのことです。「自分の鍵でも、自分の通貨でもない」というのは単なるスローガンではなく、実際の現実です。セキュリティはあなた自身の問題であり、メーカーの責任も、規制機関の管轄ではなく、製品の保証に関する問題です。非管理型ウォレットを使った場合、その影響はあなたの鍵に及びます。メーカーは民事法に従って対応し、EUのどの機関にも期限を守らずに対応します。

有効日から。対象となる製品に関しては、メーカーは規制対象の製品を製造する企業であり、対象の脆弱性が実際に利用されると、国家のCSIRTやENISAに対して24時間前の警告が必須となります。メーカーは報告義務を負い、違反した場合には罰金が科せられます。

この問題全体――つまり、実際にどれだけの費用がかかるかを決定するもの――は、「製造業者」の枠に属する人々.

ハードウェアウォレットは明確な例です。デジタル要素を含む物理的な装置で、EUで販売されています。明らかにデジタル要素が含まれた製品です。それを市場に出す側の企業は、製造業者です。これは明らかなことであり、新しいことでもありません。こうした企業は、既にセキュリティ認証を行っています。

収益化されているソフトウェアウォレットも同様です。アプリストアを通じて配布され、手数料を得るか、高級サービスを提供するようなウォレットは、商業活動の一環として提供されるものであり、ソフトウェアもデジタル要素を持つ製品です。

オープンソースの範囲こそが、明確な境界線となります。配布や利用のために提供される無料でオープンソースのソフトウェアです。金銭化されていない、利益を得る意図もない— これは核心的な範囲外です。しかし、テストの対象となるのは「商業的な活動」であり、それは不安定なものです。ウォレットが価格を設定したり、収益化する意図を示したり、コストを超える寄付を受けた瞬間に、その範囲に入ってしまいます。「コミュニティの割当」というのは、「商業的活動を行わない」という状態とは異なります。この免除措置によって、純粋な分散型モデルが保護されるのです。それ以上のものではありません。

そして、法律の前提条件に合致しないものもあります。CRAは、配送される製品が更新され、定められたサポート期間を経るという条件の下で機能する製品のために作成されています。スマートコントラクトや完全にチェーン上での保管方式のコードには、更新ボタンが存在しません。これこそが、更新可能性を前提とした法律の下での本当の問題点です。委員会の実施ガイドラインではどう対処されているのか…7月に出版されました。そして、明確に拘束力のないものです。この法律の解釈全体が、衝突という要因に依存しているのです。

それがお金に与える影響

ドラマや経済的な側面を見れば、それはコンプライアンスコストの問題に過ぎない。そして、財布におけるコンプライアンスコストというのは、単位あたりの固定費に過ぎない。

24時間体制の報告業務、脆弱性対処の義務、サポート期間における義務、そして準拠性に関する作業が求められている。2027年12月に完全な適用性を実現するすべての場合、EU内での小売業務のコストが上昇する。資金力のある大規模な企業——例えば、認証コストを負担できるハードウェアベンダーや、既に規制を受けているプラットフォーム内のウォレットサービス提供業者——にとっては、そのコストは負担しなければならない。一方、小規模な自動管理型プロジェクトにとっては、EU市場から排除されるか、他の方法で提供されることになる。この非対称性は、規制によって、資源を持つサプライヤーがユーザーあたりで比較的安価になり、一方で小規模なプロジェクトは比較的高コストになるという利点となる。

2つの注意点が、この情報の信頼性を保つための基準となっています。第一に、米国で登録されている企業の数は少ないです。大手ハードウェアメーカーは私企業であり、登録されている企業もEUの規制を超えるコストとして捉えられているだけで、独立した要因とは言えません。これは長期的なコストや障壁に関する問題であり、単一の株価上昇ではありません。第二に、上述の2つの疑問点――オープンソースウォレットが商業的な活動とみなされるかどうか、そしてネットワーク上のスマートコントラクトウォレットが更新可能であるかどうか――はまだ解決されていません。非拘束的なガイダンスは法律ではなく、また最終的なものでもありません。

ブレーク条件

一つだけ事実を記録しておきましょう。もし、委員会の最終的な指針が、ソフトウェアのみで、収益性のないオンチェーンウォレットが「デジタル要素を持つ製品」とは別のものであると正式に定めるならば——つまり、分散型セグメントにとってはコストや防衛壁を低減するほどの特例となるならば——その場合、集中化の論点は早急な判断ではなく、間違いでもありません。市場におけるハードウェアや収益性のあるソフトウェアの部分は、どちらの場合でも対象となります。

それまでの間は、このチェーンは安定しており、正常に機能している。日付は2026年9月11日であり、報告義務も実施されている。報告期間は24時間から72時間、あるいは1ヶ月間である。罰金額は1500万ユーロや全世界の売上高の2.5％に相当し、EU内で対象製品を販売するすべてのメーカーが適用される。見出しにはその数字が記載されている。また、どの人がその義務を負うかも明記されている。最初の数字が自分の財布に与える影響、または注目している企業に与える影響であるかを判断する前に、2番目の列を読んでみてください。