EU Cyber Resilience Act (CRA) Compliance Cost & Sizing Estimator

見積もり対象の製品variants productVariants

組織が見積もり対象に含めると決めた製品variants数です。法的な製品分類は判定しません。

variantあたりのrepositories repositoriesPerVariant

範囲を定めたengineering見積もりでvariantごとに含めるrepositories数です。

repositoryあたりの一時engineering時間 engineeringHoursPerRepository

repositoryごとに必要と見積もる一時engineering工数（時間）です。

variantあたりの一時governance/documentation時間 governanceHoursPerVariant

予算に含めることを選んだ製品単位のdocumentation、coordination、governance工数です。

variantあたりの継続security作業時間 monthlySecurityHoursPerVariant

チームが範囲を定めた活動にvariantあたり毎月必要な時間です。例：vulnerability受付、patch対応、release documentation。

実施期間 implementationMonths

一時的なengineeringとgovernance作業を実施する月数です。平均FTE負荷の計算に使います。

諸経費込みengineering時給 loadedHourlyRateGbp

含めたい労務費を含む、GBP建ての時間あたり人件費です。

variantあたりの外部assessment費用 externalAssessmentGbpPerVariant

variantあたりの第三者assessment/testing予算です。予定がなければ0を入力します。

Repositories = 製品variants × variantあたりrepositories。一時工数 = repositories × repositoryあたりengineering時間 + variants × variantあたりgovernance時間。一時費用 = 工数 × 諸経費込み時給 + 外部assessment費用。月間support費用 = variants × variantあたり月間時間 × 時給。初年度見積もり = 一時費用 + 12 × 月間support費用。平均implementation FTE = 一時工数 ÷ (実施月数 × 月あたり160時間と仮定)。

• 活動一覧と工数見積もりは、自分たちが定めたproject範囲として扱ってください。CRAの適用性、製品分類、役割、期限は有資格の法律・compliance専門家に確認してください。
• repository作業を選択したwork package（例：SBOM inventory、vulnerability intake、patch/release process、security testing、documentation）に分解し、共有基盤を二重計上しないようにします。

• 出力をCRAの法的判定や、列挙した活動がすべての製品に必須である証拠として扱うこと。
• 共有repositoryやplatformの作業が本当に共有費用か確認せず、製品variantごとに重複計上すること。
• 一時的な導入費用だけを比較し、継続的なvulnerability/security作業を忘れること。