EU CRA: prEN 40000-1-3 취약점 처리

Sytance · 업데이트 2026년 10월 6일

prEN 40000-1-3은 취약점 처리를 위한 수평 표준 초안입니다. 부속서 I 제II부를 뒷받침하기 위해 취약점 접수, 검증, 시정, 릴리스, 릴리스 후 활동을 제조업체의 구조화된 프로세스로 정합니다.

초안 상태

여기서 다루는 문서는 CEN 질의에 제출된 유럽 표준 초안입니다. 취약점 처리 계획의 기반을 제공하지만, 초안 자체는 CRA에 따른 적합성 추정을 만들지 않습니다.

M/606 제15항은 디지털 요소가 있는 제품의 취약점 처리에 관한 유럽 표준을 요청합니다. 해당 항목의 M/606 기한은 2026년 8월 30일입니다.

부속서 I 제II부와의 관계

부속서 I 제II부는 제조업체의 프로세스를 다룹니다. 취약점 발견과 문서화, 구성 요소 파악, 시정, 시험, 공개, 보안 업데이트 제공, 보안 업데이트가 준비된 후의 사용자 정보 제공을 포함합니다.

prEN 40000-1-3은 이 프로세스를 바탕으로 설계되었습니다. 제14조 보고가 필요한지는 결정하지 않습니다. 제14조 보고는 제품 보안에 영향을 미치는 실제 악용 중인 취약점 및 중대한 사고에 관한 별도의 법적 의무입니다.

취약점 처리 프로세스

초안은 수명주기 모델을 사용합니다. 제조업체가 정책, 연락 경로, 구성 요소 정보, 업데이트 메커니즘을 미리 마련해야 하므로 신고가 접수되기 전부터 프로세스가 시작됩니다.

준비

신고 전

정책, 공개 경로, 안전한 통신, 제품 식별 정보, 구성 요소 정보, 시험 계획, 업데이트 배포를 준비합니다.

접수

신고 접수

제조업체가 신고를 접수하고 제품이나 구성 요소에 영향을 주는 취약점에 대해 내부 및 외부 출처를 모니터링합니다.

검증

분류

제조업체가 신고의 타당성, 제품 영향 여부, 취약점의 심각도를 확인합니다.

시정

수정 또는 완화

제조업체가 시정 방안을 결정하고 수정 또는 완화 조치를 개발한 뒤 릴리스 전에 시험합니다.

릴리스 및 릴리스 후

사용자 조치

제조업체가 보안 업데이트를 릴리스하고 명확한 정보를 공개하며 효과를 모니터링하고 프로세스를 개선합니다.

구성 요소

초안은 기존 취약점 표준을 기반으로 합니다. 취약점 공개, 취약점 처리, 다자간 조정 공개 개념을 활용한 뒤 이를 디지털 요소 제품과 CRA 지원 기간 모델에 맞게 조정합니다.

공개 정책

공개된 신고 경로를 통해 연구자와 사용자가 잠재적 취약점 신고 방법을 알 수 있습니다.

구성 요소 파악

취약점이 발견되었을 때 소프트웨어와 하드웨어 구성 요소 정보가 영향 분석을 뒷받침합니다.

업데이트 릴리스

안전한 업데이트 배포와 명확한 권고문을 통해 사용자는 수정 사항을 설치하고 필요한 다른 조치를 취할 수 있습니다.

위험에 따른 추가 통제

초안에는 요구사항 강화 조치가 포함됩니다. 제품 위험 평가에서 더 엄격한 대응이 필요하다고 나타나는 경우 이러한 추가 조치를 적용합니다.

안전한 통신

SBOM 완전성

구성 요소 해시

기계 판독 가능한 권고문

보고와의 경계

취약점 처리는 제품에 계속 적용되는 프로세스입니다. 제14조 보고는 법적 개시 조건이 충족될 때 발생하는 별도의 통지 의무입니다. 취약점이 제14조 보고 대상이 아니더라도 처리 프로세스에 따라 대응할 수 있습니다. 보고 대상 취약점은 처리 프로세스에 따라 시정하고 관련 정보를 전달해야 합니다.

prEN 40000-1-3은 취약점 처리 프로세스를 구성하는 방법을 설명합니다.
제14조는 제품 보안에 영향을 미치는 실제 악용 중인 취약점과 중대한 사고의 보고 조건을 정합니다.
지원 기간에 따라 취약점 처리를 지속해야 하는 기간이 결정됩니다.

제14조의 보고 조건은 「 취약점 보고」에서 설명합니다.