EU 사이버 복원력법에 따른 적합성 평가

Sytance · 업데이트 2026년 10월 6일

CRA 적합성 평가는 적용 대상 제품과 제조업체의 프로세스가 부속서 I을 충족한다는 점을 입증하는 법적 절차입니다. 제품 범주에 따라 이용할 수 있거나 요구되는 평가 경로가 결정됩니다.

평가 대상

제조업체는 디지털 요소가 있는 제품과 제조업체가 마련한 프로세스에 대해 적합성 평가를 수행하여 부속서 I의 필수 사이버 보안 요구사항이 충족되었는지 확인해야 합니다.
규정(EU) 2024/2847 제32조 제1항

제32조는 부속서 I의 두 측면을 모두 다룹니다. 제품은 제I부의 제품 사이버 보안 요구사항을 충족해야 합니다. 제조업체의 취약점 처리 프로세스는 제II부를 충족해야 합니다.

긍정적인 평가 결과는 기술문서, EU 적합성 선언, CE 마킹을 뒷받침합니다. 제품 범주를 변경하지는 않습니다. 어떤 평가 경로를 이용할 수 있는지는 제품 범주에 따라 결정됩니다.

제32조는 네 가지 경로를 제시합니다. 적절한 경로는 주로 제품 범주, 조화 표준 또는 공통 사양의 사용 여부, 적용 가능한 사이버 보안 인증 제도를 이용할 수 있는지에 따라 결정됩니다.

내부 관리. 제조업체가 제품을 평가하고 자체 책임으로 적합성을 선언합니다.

인증기관이 형식을 검사합니다. 이후 제조업체는 해당 형식에 따라 생산을 관리합니다.

완전한 품질 보증. 인증기관이 적용 대상 제품에 대한 제조업체의 품질 시스템을 평가합니다.

제27조 또는 제8조에 따라 해당 경로를 이용할 수 있는 경우, 적용 가능한 유럽 사이버 보안 인증 제도를 사용할 수 있습니다.

기본 제품에는 내부 관리 경로를 사용할 수 있습니다. 중요 제품과 핵심 제품에는 더 엄격한 평가 경로가 적용됩니다. 적용 요구사항이 관련 표준, 공통 사양 또는 인증으로 전부 다뤄지지 않는 Class I 제품도 이에 포함됩니다.

기본 제품

중요 제품 Class I

중요 제품 Class II

핵심 제품

중요 자유 및 오픈 소스 소프트웨어

제27조는 표준, 공통 사양, 사이버 보안 인증이 적합성 평가를 뒷받침하는 방식을 설명합니다. 이들은 서로 다른 수단이며 법적 효과도 모두 같지는 않습니다.

조화 표준은 참조 정보가 관보에 게재되고 해당 표준이 부속서 I 요구사항을 다루는 범위에서만 적합성을 추정하게 합니다.
공통 사양도 그 사양이 다루는 요구사항에 대해 적합성을 추정하게 할 수 있습니다.
유럽 사이버 보안 인증서는 해당 인증서가 다루는 요구사항에 대해 적합성을 추정하게 할 수 있습니다.
제27조 제9항에 따른 위임 법령에 명시된 인증서로 보증 수준이 최소한 substantial인 경우, 해당 요구사항에 대한 제3자 평가를 면제할 수 있습니다.

제품을 시장에 출시하기 전에 제조업체는 기술문서와 EU 적합성 선언을 작성합니다. 선언서는 적용 가능한 부속서 I 요구사항을 충족했음을 확인합니다. 지원 기간 중 적절한 시점에 기술문서를 업데이트해야 합니다.

기술문서에는 제품과 프로세스가 부속서 I을 충족한다는 점을 입증하는 데 사용되는 자료나 세부 정보가 포함됩니다.
EU 적합성 선언은 부속서 V의 양식을 따릅니다. 해당하는 경우 부속서 VI의 간소화된 절차를 사용할 수 있습니다.
제품을 시장에 출시하기 전에 CE 마킹을 부착해야 합니다. 소프트웨어의 경우 CE 마킹은 적합성 선언서나 소프트웨어 제품을 제공하는 웹사이트에 표시할 수 있습니다.
모듈 H를 사용하는 경우 CE 마킹 뒤에 인증기관 식별번호를 표시합니다.