CRA 조화 표준과 적합성 추정
Sytance · 업데이트
조화 표준 적합성은 해당 표준이 다루는 요구사항에 대해서만 CRA 적합성 추정을 제공하며, 그 참조 정보가 관보에 게재된 경우에만 효력이 있습니다. 표준 초안, 작업 항목, M/606 계획 기록, 의견 수렴 문서는 엔지니어링 작업에 도움이 될 수 있지만 그 자체로 법적 적합성 추정을 만들지는 않습니다.
적합성 추정
디지털 요소 제품과 제조업체가 마련한 프로세스가 참조 정보가 유럽연합 관보에 게재된 조화 표준 또는 그 일부를 준수하면 해당 표준 또는 일부가 다루는 부속서 I의 필수 사이버 보안 요구사항을 준수하는 것으로 추정합니다.
규정(EU) 2024/2847 제27조 제1항
마지막 문구가 중요합니다. 표준이 별도 언급 없이 규정 전체를 다루는 것은 아닙니다. 관보에 게재된 참조 정보에 명시된 부속서 I 요구사항만을, 해당 표준의 범위에 속하는 제품과 프로세스에 한해 다룹니다.
조화 표준
자발적 기술 경로입니다. 참조 정보가 관보에 게재된 후에만 적합성 추정을 제공합니다.
공통 사양
제27조 제2항의 조건이 충족되고 해당 사양이 요구사항을 다루는 경우 유럽위원회가 사용할 수 있는 대체 경로입니다.
인증 제도
유럽 사이버 보안 인증서는 해당 제도가 다루는 요구사항에 대한 적합성을 뒷받침할 수 있습니다.
M/606 작업 프로그램
M/606은 유럽위원회가 CEN, CENELEC, ETSI에 보낸 요청입니다. 유럽위원회 표준화 페이지는 수평 표준과 수직 제품별 표준으로 나뉜 41개 요청 표준을 설명합니다. CEN, CENELEC, ETSI는 2025년 4월 3일 이 요청을 수락했습니다.
M/606 제1항과 제15항은 첫 번째 수평 원칙 표준과 수평 취약점 처리 표준을 다룹니다.
M/606 제16항부터 제41항까지는 브라우저, VPN 제품, 운영 체제, 라우터, 방화벽, 반도체, 스마트 홈 제품, 웨어러블, 보안 요소 등 중요 및 핵심 제품 범주를 다룹니다.
M/606 제2항부터 제14항까지는 안전한 기본 설정, 업데이트, 접근 통제, 기밀성, 무결성, 가용성, 공격 표면 축소, 모니터링, 데이터 삭제 등 제품 보안 속성에 대한 추가 수평 표준을 다룹니다.
수평 표준
수평 표준은 여러 제품 범주에 공통으로 활용되도록 마련됩니다. 공통 용어, 위험 관리, 제품 보안, 취약점 처리 구조를 정합니다. 제품별 표준은 이 구조를 기반으로 추가 요구사항을 정할 수 있습니다.
공통 용어는 수평 및 제품별 표준을 뒷받침합니다. 이 표준 자체를 제품 보안 통제 표준으로 취급해서는 안 됩니다.
현행 초안은 사이버 복원력 원칙, 위험 기반 제품 사이버 보안, 수명주기 활동을 설명합니다. 별도 페이지 「 prEN 40000-1-2 사이버 복원력 원칙」에서 다룹니다.
M/606은 부속서 I 제I부 제품 속성을 위한 일반 보안 요구사항과 통제를 요청합니다. 예정된 역할은 별도 페이지 「 prEN 40000-1-4 공개 자료」에서 설명합니다.
현행 초안은 부속서 I 제II부의 취약점 처리를 설명합니다. 별도 페이지 「 prEN 40000-1-3 취약점 처리」에서 다룹니다.
현재 공개된 1-2 및 1-3 문서는 표준 초안입니다. 계획 수립에는 유용하지만 해당 상태가 되기 전에는 최종 EN 표준이나 관보에 인용된 조화 표준이라고 설명해서는 안 됩니다.
제품 표준 참조
제품별 표준의 진행 상황은 「 범주별 제품 표준」에서 확인할 수 있습니다. 이 페이지에는 부속서 III 및 부속서 IV 범주의 후보 표준과 확인한 출처의 상태가 기재되어 있습니다.
표준의 요구사항 대응 방식 제시
관보에 인용되기 전의 표준도 엔지니어링 증거로 사용할 수 있지만 법적 적합성 추정과는 다릅니다. 기술문서에는 인용 표준, 공통 사양, 인증 제도, 기타 기술 솔루션이 어떤 요구사항을 다루는지 보여줘야 합니다.
수평 초안에 관한 별도 페이지는 다음과 같습니다: 「 prEN 40000-1-2 사이버 복원력 원칙 」 및 「 prEN 40000-1-3 취약점 처리」.