EU 사이버 복원력법에 따른 제품 분류
Sytance · 업데이트
CRA 제품 분류는 적용 범위에 포함된 디지털 요소 제품에 지정되는 범주입니다. 제품의 핵심 기능이 부속서 III의 중요 제품 범주나 부속서 IV의 핵심 제품 범주와 일치하지 않는 한 기본 범주에 해당합니다.
분류 결과
분류는 적용 범위를 확인한 뒤에 합니다. 먼저 제품이 디지털 요소가 있는 제품이고 EU 시장에 공급되며 제2조에 따라 제외되지 않는지 확인합니다. 그런 다음 핵심 기능에 맞는 CRA 범주로 제품을 분류합니다.
기본 범주
적용 범위에 포함되지만 부속서 III 또는 부속서 IV 범주의 핵심 기능을 갖지 않은 제품의 기본 범주입니다.
중요 제품 Class I
부속서 III Class I 범주는 중요 제품입니다. CRA는 이를 Class II와 구분합니다.
중요 제품 Class II
부속서 III Class II 제품은 더 엄격한 적합성 평가 경로를 따라야 하는 중요 제품입니다.
핵심 제품
부속서 IV 범주는 핵심 제품입니다. 부속서 III의 중요 제품과는 별도의 목록입니다.
핵심 기능
부속서 III에 정한 제품 범주의 핵심 기능을 갖춘 디지털 요소 제품은 중요 디지털 요소 제품으로 간주하며 제32조 제2항 및 제3항의 적합성 평가 절차를 따라야 합니다. 부속서 III 범주의 핵심 기능을 갖춘 디지털 요소 제품을 다른 제품에 통합했다는 사실만으로 통합된 제품에 제32조 제2항 및 제3항의 적합성 평가 절차가 적용되지는 않습니다.
규정(EU) 2024/2847 제7조 제1항
제7조와 제8조는 같은 원칙을 적용합니다. 제품은 목록에 있는 범주의 핵심 기능을 갖추어야 합니다. 평가는 전체 제품이 시장에 출시될 때 수행하도록 만들어진 기능을 기준으로 합니다. 제품에 목록에 해당할 수 있는 기능, 라이브러리, 반도체, 모듈이 포함된 것만으로는 충분하지 않습니다.
두 방향 모두에 적용됩니다. 추가 기능이 있더라도 주된 기능이 부속서 III 범주와 일치하면 중요 제품일 수 있습니다. 라우터에 방화벽 기능이 있어도 핵심 라우터 기능을 기준으로 분류할 수 있습니다. 반대로 다른 주된 목적을 가진 제품은 일부 같은 작업을 수행할 수 있다는 이유만으로 목록의 제품이 되지 않습니다.
통합된 구성 요소
브라우저 구성 요소를 내장했다는 이유만으로 뉴스 앱이 브라우저 제품이 되지는 않습니다. 보안 요소를 포함했다는 이유만으로 노트북이 보안 요소 제품이 되지도 않습니다.
기능의 중첩
SOAR 소프트웨어는 SIEM과 유사한 기능을 가질 수 있습니다. 하지만 핵심 기능이 다르면 유럽위원회 FAQ는 일반적으로 SOAR를 SIEM 범주에서 제외합니다.
부속서 III의 중요 제품
부속서 III은 중요 디지털 요소 제품을 열거하고 Class I과 Class II로 나눕니다. 규정 2025/2392는 각 범주의 기술 설명을 제공합니다. 분류 결과는 범주 판단이며 모든 사이버 보안 위험의 일반적인 순위를 뜻하지 않습니다.
Class I
관련 표준, 공통 사양 또는 인증 경로를 적용하는 경우 내부 관리를 사용할 수 있는 중요 제품입니다.
Class II
더 엄격한 적합성 평가 경로를 사용해야 하는 중요 제품입니다.
부속서 IV의 핵심 제품
부속서 IV는 핵심 디지털 요소 제품을 열거합니다. 부속서 III보다 목록이 좁으며 보안 박스, 스마트 계량기 게이트웨이, 안전한 암호 처리, 스마트카드, 보안 요소 기능을 가진 제품에 중점을 둡니다. 제8조에 따라 위임 법령이 채택되면 이러한 제품에 인증이 적용될 수 있습니다.
기술 설명 참조
유럽위원회 이행 규정(EU) 2025/2392는 부속서 III 및 부속서 IV 범주의 기술 설명을 제공합니다. 자세한 해석 규칙과 전체 설명은 「 규정 2025/2392 기술 설명」에서 확인할 수 있습니다.
분류와 적합성 평가
분류만으로 부속서 I 적합성이 입증되는 것은 아닙니다. 제조업체가 이용할 수 있거나 따라야 하는 제32조 평가 경로를 알려줍니다. 평가 경로 자체는 「 적합성 평가」에서 설명합니다.
분류와 위험 평가
유럽위원회 FAQ는 제품 분류와 제조업체의 사이버 보안 위험 평가를 구분합니다. 기본 제품, 중요 제품, 핵심 제품 모두 부속서 I 요구사항을 위험에 따라 적용해야 합니다.
두 제품이 같은 범주로 분류되어도 의도된 목적, 합리적으로 예측 가능한 사용, 사용 조건이 다르면 서로 다른 보안 조치가 필요할 수 있습니다. 분류는 적합성 평가 경로를 선택하고 위험 평가는 해당 제품과 제조업체의 프로세스가 CRA 요구사항을 충족하는 방법을 설명합니다.