EU 사이버 복원력법에 따른 지원 기간

지원 기간의 의미

‘지원 기간’이란 제조업체가 디지털 요소 제품의 취약점을 효과적으로 처리하고 부속서 I 제II부에 규정된 필수 사이버 보안 요구사항에 따라 취약점을 처리해야 하는 기간을 의미합니다.

규정(EU) 2024/2847 제3조 제20호

이 정의는 취약점 처리에 초점을 둡니다. 지원 기간 중 제조업체는 제품과 구성 요소의 취약점을 접수, 평가, 수정, 공개, 전달하는 프로세스를 계속 운영해야 합니다.

지원 기간

제2하위문단에 영향을 미치지 않는 범위에서 지원 기간은 최소 5년이어야 합니다. 디지털 요소가 있는 제품이 5년 미만 사용될 것으로 예상되면 지원 기간은 예상 사용 기간에 상응해야 합니다.

규정(EU) 2024/2847 제13조 제8항 제3하위문단

5년은 최소 기간이지 최대 기간이 아닙니다. 제13조 제8항은 제품이 사용될 것으로 예상되는 기간을 반영해야 한다고 규정합니다. 일반적으로 5년보다 오래 사용하는 제품에는 더 긴 지원 기간이 필요할 수 있습니다.

규정에 따라 제조업체는 다음 사항을 고려해야 합니다.

• 해당 유형의 제품에 대해 사용자가 합리적으로 기대하는 기간;
• 제품의 성격과 의도된 목적;
• 제품 수명을 정하는 관련 EU 법률.

제13조 제8항에 따라 제조업체는 다음 요소도 고려할 수 있지만 각 요소를 반드시 고려해야 하는 것은 아닙니다.

• 유사 제품의 지원 기간;
• 운영 환경의 예상 가용 기간;
• 핵심 기능을 제공하는 통합 타사 구성 요소의 지원 기간;
• ADCO 및 유럽위원회의 관련 지침.

이 요소들은 비례적으로 고려해야 합니다. 제조업체는 지원 기간을 정할 때 사용한 정보를 기술문서에 포함해야 합니다.

지원 기간이 더 짧을 수 있는 경우

제품을 5년 미만 사용할 것으로 예상되는 경우에만 5년보다 짧은 지원 기간을 설정할 수 있습니다. 이 경우 지원 기간은 예상 사용 기간과 일치해야 합니다.

유럽위원회 FAQ는 기간이 정해진 긴급 앱이나 구독 종료 시 이용을 중단하는 일부 구독 소프트웨어를 예로 듭니다. 상업적으로 짧은 지원 계획을 제공한다는 사실만으로는 충분하지 않습니다.

지원 기간 중 취약점 처리

부속서 I 제II부는 지원 기간 중 계속 수행해야 하는 작업을 설명합니다. 요구사항은 프로세스에 기반합니다. 제품이 시장에 출시된 후 지원 기간이 끝날 때까지 적용됩니다.

• SBOM의 최상위 종속성 이상을 포함해 취약점과 구성 요소를 식별하고 문서화;
• 제품에 미치는 위험에 따라 취약점을 처리하고 시정;
• 효과적이고 정기적인 보안 시험 및 검토 수행;
• 조정된 취약점 공개 정책과 신고 연락처 유지;
• 취약점을 적시에 수정하거나 줄일 수 있도록 업데이트를 안전하게 배포;
• 사용자 권고 정보를 포함해 보안 업데이트를 지체 없이, 일반적으로 무료로 제공.

보안 업데이트 지속 제공

제조업체는 지원 기간 중 사용자에게 제공한 부속서 I 제II부 제8호의 각 보안 업데이트를 배포한 뒤 최소 10년 또는 지원 기간의 남은 기간 중 더 긴 기간 동안 계속 이용할 수 있도록 해야 합니다.

규정(EU) 2024/2847 제13조 제9항

이 규칙은 지원 기간 중 사용자에게 제공한 보안 업데이트에 적용됩니다. 이미 배포된 수정 사항에 계속 접근할 수 있게 합니다. 모든 지원 기간이 10년이 되는 것은 아닙니다.