EU 사이버 복원력법에 따른 시장 출시

시장 관련 용어

‘시장 출시’란 디지털 요소가 있는 제품을 EU 시장에 최초로 공급하는 것을 의미합니다.

규정(EU) 2024/2847 제3조 제21호

‘시장에 공급’이란 대가를 받는지 여부와 무관하게 상업적 활동 과정에서 EU 시장에서 유통 또는 사용하도록 디지털 요소가 있는 제품을 공급하는 것을 의미합니다.

규정(EU) 2024/2847 제3조 제22호

시장 출시는 제품을 EU 시장에 처음 공급하는 것입니다. 시장에 공급하는 행위는 더 넓은 개념입니다. 최초 공급 이후 유통 또는 사용을 위해 이루어지는 후속 공급도 포함합니다.

가격은 판단 기준이 아닙니다. 무료 제품도 상업적 활동의 일부로 공급되면 시장에 공급된 제품일 수 있습니다. 제조업체가 자체 사용만을 위해 만든 제품은 다릅니다. 단지 존재한다는 이유만으로 시장에 출시된 것은 아닙니다.

개별 제품의 출시 날짜

‘시장에 공급’과 마찬가지로 ‘시장 출시’의 개념은 제품 유형이 아니라 개별 제품에 적용되며, 해당 제품이 단일품으로 제조되었는지 연속 생산되었는지는 중요하지 않습니다. 따라서 EU 시장 출시는 EU 전체에서 개별 제품마다 한 번만 발생하며 각 회원국에서 반복해서 발생하지 않습니다. 새로운 의무 요구사항을 정하는 EU 조화 법률이 발효되기 전에 제품 모델이나 유형이 공급되었더라도, 해당 새 요구사항의 적용이 시작된 뒤 시장에 출시되는 같은 모델 또는 유형의 개별 제품은 새 요구사항을 충족해야 합니다.

EU 제품 규정 이행을 위한 Blue Guide 2022, 제2.3절

유럽위원회 FAQ는 이 원칙을 CRA에 적용합니다. 한 제품 유형이 먼저 출시되었다고 해서 같은 유형의 후속 제품 전체가 적용 대상에서 제외되지는 않습니다. 각 개별 제품마다 별도의 시장 출시 날짜가 필요합니다.

재고와 반복 수입에 중요한 차이입니다. 라우터 제품 일부가 2027년 12월 11일 전에 시장에 출시되었다면 최종 사용자에게 나중에 도착하더라도 그 제품이 전면 CRA 체계에 들어가지는 않습니다. 같은 모델의 다음 제품이 2027년 12월 11일 또는 그 이후 EU 시장에 출시되면 다른 제품으로 취급합니다.

2027년 12월 11일 전에 출시된 제품

2027년 12월 11일 전에 시장에 출시된 디지털 요소 제품은 해당 날짜부터 중대한 변경을 거친 경우에만 이 규정의 요구사항을 적용받습니다.

규정(EU) 2024/2847 제69조 제2항

이 조 제2항의 예외로, 제14조의 의무는 2027년 12월 11일 전에 시장에 출시된 제품 중 이 규정의 적용 범위에 속하는 모든 디지털 요소 제품에 적용됩니다.

규정(EU) 2024/2847 제69조 제3항

전환 규칙에 따라 2027년 12월 11일 전에 이미 시장에 출시된 제품에는 그 날짜부터 중대한 변경이 발생하지 않는 한 CRA 전체 요구사항이 적용되지 않습니다. 이후에 시장에 출시된 신규 제품에는 이 보호가 적용되지 않습니다.

제14조 보고는 별도입니다. 이 의무는 더 일찍 시작하며 2027년 12월 11일 전에 시장에 출시된 적용 대상 제품에도 적용됩니다.

소프트웨어 버전별 날짜

유럽위원회의 2026년 7월 지침에 따르면 독립형 소프트웨어는 제조 단계가 완료되고 상업적 활동으로 EU 시장에서 유통 또는 사용을 위해 최초 공급될 때 시장에 출시됩니다. 동일 소프트웨어의 사본은 같은 출시 날짜를 갖습니다. 구성 요소, 구성, 활성화된 기능이 다른 변형 버전은 이 목적상 별도의 제품으로 취급합니다.

같은 버전의 후속 다운로드는 일반적으로 동일한 소프트웨어 제품을 후속 공급하는 것입니다. 이후 버전이 중대한 변경에 해당하면 그 버전에는 새로운 시장 출시 날짜가 적용됩니다.

이 해석은 디지털 방식으로 공급되는 독립형 소프트웨어에 해당합니다. 물리적 매체로 소프트웨어를 공급하면 물리적 제품도 고려해야 합니다. 하드웨어 제품이 기능을 수행하는 데 소프트웨어가 필요한 경우, 소프트웨어를 나중에 다운로드하더라도 하드웨어와 소프트웨어가 하나의 제품을 구성할 수 있습니다.

중대한 변경

‘중대한 변경’이란 디지털 요소가 있는 제품의 시장 출시 후 발생한 변경으로서 해당 제품이 부속서 I 제I부에 규정된 필수 사이버 보안 요구사항을 준수하는 데 영향을 미치거나, 해당 제품이 평가받은 의도된 목적을 변경하는 것을 의미합니다.

규정(EU) 2024/2847 제3조 제30호

중대한 변경의 정의에는 두 가지 경로가 있습니다. 변경이 부속서 I 제I부의 제품 사이버 보안 요구사항 준수에 영향을 미치면 중대한 변경일 수 있습니다. 제품이 평가받은 의도된 목적을 변경하는 경우에도 중대한 변경일 수 있습니다.

시장 출시 후 변경을 검토할 때는 중대한 변경의 정의를 적용합니다. 해당 변경이 필수 사이버 보안 요구사항 준수에 영향을 미치는지, 또는 제품이 평가받은 의도된 목적을 바꾸는지 확인합니다. 수리나 보안 업데이트도 이 조건에 비추어 판단해야 합니다.

• 취약점을 수정하고 의도된 목적을 변경하지 않는 보안 업데이트는 일반적으로 중대한 변경이 아닙니다.
• 제품의 의도된 기능을 바꾸는 기능 업데이트는 중대한 변경일 수 있습니다.
• 새 인터페이스, 데이터 흐름, 외부 종속성, 또는 이전에 다루지 않은 공격 시나리오를 추가하는 작은 기능도 중요할 수 있습니다.
• 2027년 12월 11일 전에 시장에 출시된 제품도 그 날짜부터 중대한 변경을 거치면 CRA 전체 체계의 적용 대상이 됩니다.

변경 후 책임

제21조에 따라 수입업체 또는 유통업체가 자체 명칭이나 상표로 제품을 시장에 출시하거나 이미 출시된 제품에 중대한 변경을 하면 제조업체로 간주됩니다.

제22조는 같은 원칙을 더 넓게 적용합니다. 제조업체, 수입업체, 유통업체가 아닌 사람도 중대한 변경을 하고 변경된 제품을 시장에 공급하면 제조업체로 간주될 수 있습니다.

일반적인 시점 사례