CRA 제14조 보고 준비

보고 전 준비

사고가 발생하기 전에 제조업체는 적용 대상 제품, 보고서를 제출할 수 있는 담당자, 보고를 접수할 조정 CSIRT, 제품이 공급된 회원국을 파악해야 합니다.

조정 CSIRT

제조업체의 EU 내 주된 사업장이 있는 회원국이 조정 기관으로 지정한 CSIRT의 전자 통지 엔드포인트를 사용해 통지를 제출해야 하며, 동시에 ENISA가 이에 접근할 수 있어야 합니다.

규정(EU) 2024/2847 제14조 제7항

EU 제조업체의 경우 주된 사업장은 제품 사이버 보안에 관한 결정을 주로 내리는 회원국입니다. 이를 판단할 수 없다면 제조업체의 EU 사업장 중 직원 수가 가장 많은 회원국을 기준으로 합니다.

EU 내 주된 사업장이 없는 제조업체는 제조업체가 확보한 정보를 사용하여 제14조 제7항에 따라 다음 순서로 조정 CSIRT가 있는 회원국을 결정해야 합니다.

1. 해당 제조업체의 제품을 가장 많이 대리하는 공인 대리인이 설립된 회원국.
2. 해당 제조업체의 제품을 시장에 가장 많이 출시하는 수입업체가 설립된 회원국.
3. 해당 제조업체의 제품을 시장에 가장 많이 공급하는 유통업체가 설립된 회원국.
4. 해당 제조업체 제품의 사용자가 가장 많이 위치한 회원국.

회원국별 제품 공급 정보

24시간 이내 조기 경보에는 영향을 받은 제품이 공급되었다고 제조업체가 알고 있는 회원국을 기재해야 합니다. SRP는 해당 제품을 이용할 수 있는 다른 회원국의 CSIRT에도 정보를 전달합니다.

• EU 내 직접 판매 및 유통업체 채널;
• EU 사용자가 이용하는 마켓플레이스, 앱 스토어, 다운로드 채널;
• 특정 회원국에서 제품을 출시하거나 공급하는 수입업체와 유통업체;
• 보고 내용에 영향을 미치는 제품 버전, 펌웨어 릴리스, 클라우드 종속 기능, 모델 변형.

보고 데이터 준비

ENISA는 SRP를 단일 접수 창구로 설명합니다. 제조업체가 한 번 제출하면 플랫폼에서 조정 CSIRT와 ENISA에 통지를 전달합니다. 보고서 제출을 위해서는 내부 제품 및 보안 데이터도 준비되어 있어야 합니다.

• 통지를 제출할 권한이 있는 담당자;
• 영향을 받는 제품, 버전, 구성 요소, 서비스 기능;
• 사건을 실제 악용 중인 취약점 또는 중대한 사고 중 무엇으로 판단하는지;
• 확인된 사실, 조사 중인 사항, 이용 가능한 완화 조치;
• 영향을 받을 수 있는 사용자 또는 회원국;
• 제14조에 따라 필요한 경우 영향을 받는 사용자에게 알릴 방법.

보고 대상 사건의 식별

의무 보고 조건은 「 취약점 보고」에서 설명합니다. 제조업체는 24시간 및 72시간 기한을 지킬 수 있도록 사건을 신속히 식별해야 합니다.