EU 사이버 복원력법 개요
Sytance · 업데이트
사이버 복원력법(Cyber Resilience Act, CRA)은 EU 시장에서 판매되는 디지털 요소가 있는 제품에 사이버 보안 요구사항을 부과합니다. 제조업체는 개발 과정에서 보안을 고려하고 취약점 처리와 업데이트를 통해 보안을 계속 유지해야 합니다. 또한 이 규정은 적합성 평가와 특정 취약점 및 사고의 보고 방법을 정합니다.
목적과 구성
CRA는 적용 조건을 충족하는 소비자 제품과 산업용 제품에 적용됩니다. 먼저 제품을 식별하고 제외 사항이 적용되는지 확인해야 합니다. 제조업체의 의무와 이용 가능한 적합성 평가 경로는 해당 업체의 역할과 제품 분류에 따라 달라집니다.
아래 주제별 페이지는 제품별 평가에 필요한 법적 정의, 사례, 출처를 바탕으로 이러한 질문을 각각 설명합니다.
핵심 개념
적용 범위
제품이 디지털 요소가 있는 제품인지, 상업 활동으로 EU 시장에 공급되는지, 필요한 데이터 연결을 갖추었는지, 제외 대상은 아닌지를 판단합니다.
역할
해당 주체가 제조업체, 수입업체, 유통업체, 공인 대리인, 오픈 소스 소프트웨어 관리자 중 어디에 해당하는지 판단합니다.
분류
분류는 적용 범위를 확인한 다음 진행합니다. 제품이 기본 범주, 중요 제품 또는 핵심 제품 중 어디에 해당하는지 판단합니다.
요구사항
부속서 I은 제품 보안 속성과 지원 기간 동안 운영해야 하는 취약점 처리 프로세스를 함께 규정합니다.
읽기 경로 선택
제품 책임자, 보안 엔지니어, 적합성 평가 담당자는 규정의 서로 다른 부분을 필요로 합니다. 다음 읽기 경로는 각자의 책임에 맞춰 구성했습니다.
- 제품 및 규정 준수 책임자: 공급하는 제품과 버전, CRA 적용 여부, 법적 역할, 제품 범주, 관련 적용 날짜를 확인합니다.
- 보안 및 엔지니어링 팀: 아키텍처, 자산, 신뢰 경계, 구성 요소, 업데이트 설계를 사이버 보안 위험 평가와 연결합니다.
- 취약점 처리 팀: 구성 요소 및 취약점 기록을 유지하고 제품 영향을 평가하며 해결책을 준비합니다. 관련 사실이 확인되는 즉시 제14조 보고 개시 조건도 평가합니다.
- 기술문서 및 평가 팀: 제품별 증거를 수집하고 적용 표준과 평가 경로를 확인하며 기술문서가 출시된 버전과 일치하도록 유지합니다.
예를 들어, 연결된 기기는 내장 펌웨어, 애플리케이션, 제조업체가 관리하는 원격 데이터 처리에 의존할 수 있습니다. 먼저 제품의 범위를 정의한 다음 위험 평가, 구성 요소 기록, 기술문서에서도 동일한 경계를 사용합니다.
제조업체를 위한 권장 읽기 순서
먼저 제품이 적용 범위에 포함되는지 확인합니다. 이어서 아래 페이지에서 책임 주체, 제품 범주, 적용 요구사항을 살펴봅니다. 보고 규칙은 별도로 확인해야 합니다. 제14조는 주요 제품 요구사항보다 앞선 2026년 9월 11일부터 적용됩니다.
- 우선 「 적용 대상 제품 」와 「 시장 출시 」를 확인합니다.
- 경제 운영자 역할은 「 역할과 의무 」에서 확인합니다.
- 「 제품 분류 」와 「 규정 2025/2392 기술 설명 」를 기준으로 제품을 분류합니다.
- 제품 및 프로세스 의무는 「 필수 사이버 보안 요구사항 」에서 살펴봅니다.
- 관련 표준은 「 표준 및 조화 표준 」와 「 범주별 제품 표준 」에서 확인합니다.
- 이어서 「 사이버 보안 위험 평가」, 「 기술문서 」, 「 사용자 정보와 지침」를 확인합니다.
- 「 취약점 보고 」와 「 제14조 보고 준비 」를 활용해 제14조 보고를 준비합니다.
- 주요 날짜를 확인하여 보고, 인증기관, 전환 규칙, 전체 적용 시점을 구분합니다.
적용 대상 제품
이 규정은 시장에 출시되는 디지털 요소가 있는 제품에 적용됩니다. 제품의 의도된 목적이나 합리적으로 예측 가능한 사용에 기기 또는 네트워크와의 직접적 또는 간접적인 논리적·물리적 데이터 연결이 포함되어야 합니다.
규정(EU) 2024/2847 제2조 제1항
디지털 요소가 있는 제품에는 소프트웨어, 하드웨어, 별도로 시장에 출시되는 소프트웨어 또는 하드웨어 구성 요소, 제품의 원격 데이터 처리 솔루션이 포함될 수 있습니다. 원격 처리가 제품의 일부가 되려면 제조업체가 이를 설계·개발했거나 그 책임을 져야 하며, 해당 처리가 없으면 제품의 기능 중 하나를 수행할 수 없어야 합니다.
CRA가 모든 디지털 서비스를 디지털 요소가 있는 제품으로 분류하는 것은 아닙니다. 제조업체의 제품 책임 범위 밖에 있는 웹사이트나 클라우드 서비스는 제품 작동에 필요한 원격 처리와 다릅니다. 명시적인 제외 사항은 적용 범위 페이지에서, 제품 법률에 관한 일반적인 배경은 기본 페이지에서 다룹니다.
역할과 제품 범주
같은 제품에 대해 제조업체, 수입업체, 유통업체가 각각 의무를 부담할 수 있습니다. 제품 분류는 어떤 적합성 평가 경로를 이용할 수 있거나 이용해야 하는지라는 별도의 질문에 답합니다. 중요 및 핵심 제품 범주는 제품의 핵심 기능에 따라 결정됩니다.
- 기본 제품도 CRA 적용 대상이지만, 일반적으로 내부 관리 적합성 평가 경로를 이용합니다.
- 중요 제품은 부속서 III에 열거되어 있으며 Class I과 Class II로 나뉩니다.
- 핵심 제품은 부속서 IV에 열거되어 있으며 인증 또는 더 엄격한 제3자 평가 경로의 대상이 될 수 있습니다.
- 유럽위원회 이행 규정(EU) 2025/2392는 중요 및 핵심 제품 범주에 대한 기술 설명을 제시합니다.
제품에 목록에 있는 범주의 구성 요소가 포함되어 있다는 이유만으로 중요 제품이나 핵심 제품이 되는 것은 아닙니다. 해당 제품 전체가 그 범주의 핵심 기능을 갖추었는지가 기준입니다.
필수 요구사항과 표준
제6조는 제품과 제조업체의 취약점 처리 프로세스 모두가 부속서 I을 충족하도록 요구합니다. 부속서의 두 부분은 이 요구사항을 각각 별도로 규정합니다. 참조 정보가 관보에 게재된 조화 표준은 해당 표준이 다루는 요구사항에 대해 적합성 추정을 제공할 수 있습니다.
상세 페이지에서 부속서 I의 구성과 표준을 통해 적합성을 입증하는 방법을 설명합니다. 관련 주제는 「 필수 사이버 보안 요구사항 」 및 「 표준 및 조화 표준」에서 확인할 수 있습니다.
보고와 취약점 처리
취약점 처리는 수명주기 전반의 의무입니다. 보고는 특정 사건이 발생했을 때만 시작되는 더 좁은 의무입니다. 2026년 9월 11일부터 제조업체가 제품에서 실제 악용 중인 취약점이나 제품 보안에 영향을 미치는 중대한 사고를 인지하면 제14조가 적용됩니다.
단일 보고 플랫폼을 통한 보고
보고는 ENISA가 구축한 CRA 단일 보고 플랫폼(Single Reporting Platform)을 통해 제출합니다. 제조업체는 보고와 함께 제품에 미치는 영향을 조사하고, 관련 수정 또는 완화 조치를 제공하며, 영향을 받는 사용자에게 알려야 합니다.
- 조기 경보: 제조업체가 인지한 후 24시간 이내.
- 통지: 제조업체가 인지한 후 72시간 이내. 관련 정보를 이미 제출한 경우는 제외합니다.
- 실제 악용 중인 취약점의 최종 보고서: 시정 또는 완화 조치를 이용할 수 있게 된 날부터 늦어도 14일 이내.
- 중대한 사고의 최종 보고서: 72시간 이내 사고 통지 후 1개월 이내.
주요 날짜
CRA는 2024년 11월 20일 관보에 게재되었고 2024년 12월 10일 발효되었습니다. 단계별로 적용되므로 보고 의무와 적합성 평가 기관 관련 날짜가 전면 적용보다 먼저 도래합니다.
제4장 제35조부터 제51조까지의 적용이 시작됩니다. 이 규칙은 통지 당국과 인증기관을 다룹니다.
제14조에 따라 보고해야 하는 경우 제조업체는 실제 악용 중인 취약점과 제품 보안에 영향을 미치는 중대한 사고를 보고해야 합니다.
이 날짜부터 CRA의 제품, 적합성 평가, 문서화, 시장 관련 의무가 주로 적용됩니다.
이 날짜 전에 시장에 출시된 제품은 중대한 변경이 있는 경우에만 CRA 적용 대상입니다. 다만 제14조 보고 의무는 이미 시장에 출시된 적용 대상 제품에도 계속 적용됩니다.
일부 EU 형식 검사 인증서와 다른 EU 조화 법률에 따른 승인 결정은, 더 일찍 만료되거나 해당 법률에 달리 규정되지 않는 한 이 날짜까지 유효합니다.