CRA 필수 사이버 보안 요구사항

부속서 I의 구성

부속서 I은 두 부분으로 구성됩니다. 제I부는 제품에 관한 내용이고, 제II부는 제조업체의 취약점 처리 프로세스에 관한 내용입니다. 제6조는 두 부분을 연결합니다. 제품은 적용 가능한 제I부 요구사항을 충족하고 제조업체의 프로세스는 제II부를 충족해야만 시장에 출시할 수 있습니다.

제13조는 제조업체가 사이버 보안 위험을 평가하도록 요구합니다. 이 평가를 통해 제I부 요구사항이 제품에 적용되는 방식을 정합니다.

제I부: 제품 사이버 보안 속성

제I부는 제품의 전반적인 결과를 제시한 다음, 사이버 보안 위험 평가에 따라 그리고 적용 가능한 경우에 적용되는 보안 속성을 열거합니다. CRA가 다양한 유형의 소프트웨어, 하드웨어, 구성 요소, 제품 기능을 지원하는 원격 데이터 처리를 포괄하기 때문에 요구사항 목록의 범위가 넓습니다.

디지털 요소가 있는 제품은 위험에 따라 적절한 수준의 사이버 보안을 보장하도록 설계, 개발, 생산되어야 합니다.

규정(EU) 2024/2847 부속서 I 제I부 제1호

소비자 앱, 산업용 VPN, 재사용 가능한 하드웨어 구성 요소는 같은 문구의 요구사항이 적용되더라도 서로 다른 위험에 직면할 수 있습니다. 제조업체의 결론에 따라 요구사항을 적용하지 않는 경우, 위험 평가에서 해당 제품에 제I부 요구사항을 어떻게 적용했는지와 그 이유를 설명합니다.

제I부는 주로 제품이 다음을 수행할 수 있는지 묻습니다.

• 악용 가능한 알려진 취약점이 없고 안전한 기본 구성으로 시장에 출시될 수 있는가;
• 제품에 적합한 경우 자동 업데이트를 포함한 보안 업데이트를 통해 취약점에 대응할 수 있는가;
• 접근, 기밀성, 무결성, 가용성, 명령, 프로그램, 구성, 처리 데이터를 보호할 수 있는가;
• 공격 표면을 제한하고 사고의 영향을 줄일 수 있는가;
• 사용자의 수신 거부 기능을 포함해 관련 보안 활동을 기록하고 모니터링할 수 있는가;
• 사용자가 데이터와 설정을 안전하게 삭제할 수 있고, 전송 기능이 지원되는 경우 데이터를 안전하게 이전할 수 있는가.

이는 특정한 하나의 구현 방식을 규정하는 것이 아니라 제품의 속성에 관한 요구사항입니다. 같은 요구사항도 소비자 기기, 전문 네트워크 제품, SDK, 다른 제품에 통합될 펌웨어에 따라 서로 다른 기술적 선택으로 이어질 수 있습니다.

제II부: 취약점 처리

제II부는 제조업체의 프로세스를 다룹니다. 제품이 시장에 출시될 때부터 지원 기간 내내 적용됩니다. 제품에 포함된 구성 요소의 취약점도 대상이므로 구성 요소를 파악하고 상위 공급자와 소통하는 일이 중요합니다.

표준과 증거

관련 참조 정보가 유럽연합 관보에 게재된 경우에만 조화 표준이 적합성 추정을 뒷받침할 수 있습니다. 초안, 매핑, 부문별 표준도 유용한 증거가 될 수 있지만 제13조가 요구하는 제품별 위험 평가를 대체하지는 않습니다.

유럽위원회의 CRA 표준화 요청 M/606은 유럽 표준화 기구에 수평 표준과 수직 표준을 요청합니다. 이행 FAQ는 위험 기반 제품 체계, 제I부 제품 속성, 제II부 취약점 처리를 위한 수평 산출물과 중요 및 핵심 제품 범주를 위한 수직 표준을 설명합니다.

기술문서에는 선택한 표준이나 기타 기술 조치가 제품에 대해 식별된 위험에 어떻게 대응하는지 설명해야 합니다. 이어서 해당 조치가 제품 속성과 취약점 처리 프로세스에 어떻게 반영되었는지 보여줘야 합니다.

계획된 일반 보안 요구사항 표준의 최신 공개 자료는 「 prEN 40000-1-4 공개 자료 」이며 취약점 처리 표준 초안은 「 prEN 40000-1-3 취약점 처리 」에서 확인할 수 있습니다.