EU 사이버 복원력법에 따른 역할과 의무

역할은 제품에 따라 달라짐

CRA는 제품 법률상의 역할을 사용합니다. 누가 코드를 작성했는지, 저장소를 소유했는지, 서비스를 운영하는지만으로 의무를 정하지 않습니다. 먼저 디지털 요소가 있는 제품이 EU 시장에 공급되는지 확인한 다음, 해당 주체가 제품과 관련해 어떤 일을 하는지 판단합니다.

CRA는 제조업체, 공인 대리인, 수입업체, 유통업체, 그 밖의 일부 의무 대상자를 경제 운영자라고 부릅니다. 이 용어는 역할을 시장 활동과 연결한다는 점에서 유용합니다. 코드만 기여하거나 저장소를 호스팅하거나 관련 없는 지원을 제공하는 사람은 그 사실만으로 모든 CRA 역할을 맡지 않습니다.

제조업체가 중심 역할

‘제조업체’란 디지털 요소가 있는 제품을 개발 또는 제조하거나, 해당 제품을 설계·개발·제조하게 하여 자체 명칭이나 상표로 판매하는 자연인 또는 법인을 의미하며, 유상, 수익화 또는 무상 여부는 관계없습니다.

규정(EU) 2024/2847 제3조 제13호

정의에는 두 부분이 있습니다. 해당 주체는 직접 또는 다른 당사자를 통해 제품의 개발이나 제조에 관여해야 하며 자체 명칭이나 상표로 제품을 판매해야 합니다. 원래 소프트웨어를 작성한 사람이 항상 제조업체인 것은 아닙니다. 브랜드 소유자가 제품 개발을 의뢰하고 자체 제품으로 판매한다면 제조업체가 될 수 있습니다.

따라서 주요 CRA 의무는 제조업체에 부과됩니다. 제조업체는 제품 설계, 개발, 적합성 평가, 사용자 정보, 지원 기간, 취약점 처리, 제13조 및 제14조에 따른 보고 의무를 책임지는 주체입니다.

수입업체와 유통업체는 공급망 역할

수입업체는 EU에 설립되어 있고 EU 외부에 설립된 사람의 명칭이나 상표가 부착된 디지털 요소 제품을 EU 시장에 출시합니다. EU 외부의 제조업체가 EU 시장 통제의 직접적인 적용을 받기 어려울 수 있으므로 수입업체 역할이 존재합니다.

유통업체는 제조업체나 수입업체가 아닌 공급망 내 주체로, 제품의 속성을 바꾸지 않고 EU 시장에 제품을 공급합니다. 유통업체는 제품을 설계·개발하거나 자체 제품으로 판매하는 주체가 아니므로 제조업체보다 역할 범위가 좁습니다.

수입업체와 유통업체는 적합성 표시와 제조업체 및 수입업체 정보를 확인합니다. 규정 준수에 문제가 있다고 의심할 이유가 있는 제품의 공급 보류, 시장 감시 당국과의 협조도 의무에 포함됩니다.

공인 대리인은 위임에 따라 활동

공인 대리인은 EU에 설립되어 있으며 제조업체가 서면으로 위임한 경우에만 제조업체를 대리합니다. 위임장에는 업무가 명시되어야 합니다. 공인 대리인을 선임해도 제조업체 역할 자체가 이전되지는 않습니다.

실무에서 중요한 구분입니다. 공인 대리인은 시장 감시 당국에 문서를 제공하거나 시정 조치에 협조하는 등 지정된 업무에 대해 EU 내 연락 창구가 될 수 있습니다. 제품을 설계, 개발, 생산하고 적합성을 유지하는 데 따른 핵심 의무는 계속 제조업체에 있습니다.

오픈 소스의 서로 다른 두 개념

자유 및 오픈 소스 소프트웨어가 언제나 CRA 적용 대상에서 제외되는 것은 아닙니다. 상업 활동으로 자유 및 오픈 소스 디지털 요소 제품을 자체 명칭이나 상표로 시장에 출시하는 사람은 해당 제품의 제조업체가 될 수 있습니다.

CRA는 시장에 공급되지 않고 공개된 오픈 소스 소프트웨어에 대해 별도의 역할도 만듭니다. 이를 오픈 소스 소프트웨어 관리 주체라고 합니다.

‘오픈 소스 소프트웨어 관리 주체’란 제조업체가 아닌 법인으로서, 상업 활동을 위해 개발되는 자유 및 오픈 소스 소프트웨어에 해당하는 특정 디지털 요소 제품의 개발을 지속적으로 지원하고 해당 제품의 존속 가능성을 보장할 목적이나 목표를 가진 법인을 의미합니다.

규정(EU) 2024/2847 제3조 제14호

따라서 관리 주체라는 역할은 모든 유지관리자나 기여자를 지칭하는 명칭이 아닙니다. 특정 자유 및 오픈 소스 소프트웨어에 대해 프로젝트를 지속적으로 지원하고 제품의 존속 가능성을 보장하는 법인이 해당 제품의 제조업체가 아닌 경우에 적용됩니다. 유럽위원회는 관리 주체 제도가 제조업체 제도보다 맞춤형이고 부담이 가볍다고 설명합니다.

개별 소스 코드 기여자는 또 다르게 취급됩니다. 자신이 책임지지 않는 자유 및 오픈 소스 소프트웨어에 소스 코드를 기여하는 자연인 또는 법인에는 CRA가 적용되지 않습니다.

역할의 변경

다른 사람의 제품을 단순히 공급하던 주체가 CRA상 제조업체 활동으로 간주되는 방식으로 제품을 표시하거나 변경하면 역할이 달라질 수 있습니다.

수입업체 또는 유통업체가 자체 명칭이나 상표로 디지털 요소 제품을 시장에 출시하거나 이미 출시된 디지털 요소 제품에 중대한 변경을 하면 이 규정의 목적상 제조업체로 간주되며 제13조 및 제14조의 적용을 받습니다.

규정(EU) 2024/2847 제21조

같은 원칙은 수입업체와 유통업체 외의 주체에도 적용됩니다. 제조업체, 수입업체, 유통업체가 아닌 사람이 중대한 변경을 하고 변경된 제품을 시장에 공급하면 제조업체로 간주됩니다. 해당 사람에게는 영향을 받은 제품 부분에 제조업체 의무가 적용됩니다. 변경이 제품 전체의 사이버 보안에 영향을 미치면 제품 전체에 의무가 적용됩니다.

중대한 변경은 모든 업데이트, 수리, 지원 활동을 의미하지 않습니다. CRA의 정의에 따르면 시장 출시 후 변경이 필수 사이버 보안 요구사항 준수에 영향을 미치는지, 또는 제품이 평가받은 의도된 목적을 바꾸는지가 기준입니다. 위험만 낮추는 보안 업데이트는 일반적으로 역할 변경에 해당하지 않습니다. 의도된 목적을 바꾸거나 사이버 보안 위험을 높이는 기능 변경은 역할 변경에 해당할 수 있습니다.

이 규칙은 흔한 경계를 설명합니다. EU에 설립된 주체가 EU 외부 브랜드 제품을 EU 시장에 출시하면 일반적으로 수입업체입니다. 변경되지 않은 제품을 공급하는 공급망 주체는 일반적으로 유통업체입니다. 자체 명칭이나 상표를 사용하거나 제품을 중대하게 변경하고 공급하는 주체는 제조업체가 될 수 있습니다.