EU CRA: prEN 40000-1-2 사이버 복원력 원칙

Sytance · 업데이트 2026년 10월 6일

이 페이지에서는 사이버 복원력 원칙을 다루는 수평 표준 초안 prEN 40000-1-2:2025의 2025년 10월 질의용 본문을 설명합니다. 이 초안은 위험에 근거해 적절한 수준의 사이버 보안을 갖춘 제품을 설계, 개발, 생산하기 위한 부속서 I 제I부의 수명주기 활동을 다룹니다.

초안 상태

여기서 설명하는 본문은 2025년 10월 질의용으로 제출되었습니다. 이 설명은 해당 초안의 특정 버전을 다루며, 질의가 아직 진행 중이거나 이것이 최신 본문이라는 뜻은 아닙니다. 이후 버전에서 요구사항이 변경될 수 있습니다. 이 초안 자체는 CRA에 따른 적합성 추정을 제공하지 않습니다.

M/606 제1항은 디지털 요소가 있는 제품이 위험에 따라 적절한 수준의 사이버 보안을 보장하도록 설계, 개발, 생산하는 유럽 표준을 요청합니다. 해당 항목의 M/606 기한은 2026년 8월 30일입니다.

부속서 I와의 관계

디지털 요소가 있는 제품은 위험에 따라 적절한 수준의 사이버 보안을 보장하도록 설계, 개발, 생산되어야 합니다.
규정(EU) 2024/2847 부속서 I 제I부 제1호

prEN 40000-1-2는 제I부의 일반 요구사항에 가장 직접적으로 대응합니다. 프로세스 및 수명주기 표준입니다. 부속서 I 제I부 제2호 (a)부터 (m)까지의 더 구체적인 제품 보안 요구사항을 대체하지 않으며, 취약점 처리 표준도 아닙니다.

사이버 보안 원칙

2025년 10월 초안 제5항은 제품의 계획, 설계, 구현, 생산, 유지관리 단계에 적용되는 네 가지 원칙을 설명합니다. 위험 기반 접근, 설계 단계 보안, 안전한 기본 설정, 투명성입니다.

위험 기반 접근

제품 위험, 의도된 목적, 합리적으로 예측 가능한 사용을 기준으로 보안 조치를 선택하고 검토합니다.

설계 단계 보안

제품이 완성된 후 보안을 추가하는 것이 아니라 제품 설계와 개발에 사이버 보안을 내재화합니다.

안전한 기본 설정

제품은 의도된 용도와 운영 환경에 적합한 안전한 구성으로 시작합니다.

투명성

관련 이해관계자가 제품 보안을 달성하고 유지하는 데 도움이 되도록 접근하기 쉽고 활용 가능한 사이버 보안 정보를 제공받습니다(제5.5항).

위험 관리 구조

초안은 위험 관리를 일회성 양식 작성이 아니라 반복되는 제품 활동으로 다룹니다. 같은 소프트웨어나 하드웨어도 사용 사례에 따라 다른 위험을 일으킬 수 있으므로 제품 맥락을 먼저 정합니다.

제품 맥락

위험 기준과 방법

위험 평가와 처리

모니터링과 검토

수명주기 활동

초안은 이어서 원칙을 수명주기 활동으로 구체화합니다. 다양한 개발 모델에 이러한 활동을 적용할 수 있습니다. 핵심은 보안 작업을 계획하고 수행하고 확인하며 최신 상태로 유지하는 것입니다.

제품 사이버 보안 계획;
제품 사이버 보안 요구사항;
사이버 보안 아키텍처와 설계;
보안 구현;
사이버 보안 검증과 유효성 확인;
안전한 생산과 유통;
사이버 보안 문제 관리;
제품 모니터링;
안전한 폐기 계획;
타사 구성 요소의 사이버 보안 관리.

다른 표준과의 경계

prEN 40000-1-2는 원칙 및 수명주기 위험 표준입니다. 취약점 처리는 「 prEN 40000-1-3 취약점 처리」에 해당합니다. 제품별 표준은 브라우저, 라우터, 방화벽, 보안 요소, 기타 중요 또는 핵심 제품에 범주별 요구사항을 추가할 수 있습니다.

CRA 표준화 프로그램은 「 표준 및 조화 표준」에서 설명합니다.