CRA 기술문서 체크리스트

문서화 의무

기술문서에는 디지털 요소가 있는 제품과 제조업체가 마련한 프로세스가 부속서 I의 필수 사이버 보안 요구사항을 준수하도록 제조업체가 사용한 수단에 관한 모든 관련 자료 또는 세부 정보가 포함되어야 합니다. 최소한 부속서 VII에 명시된 항목을 포함해야 합니다.

규정(EU) 2024/2847 제31조 제1항

제31조에 따라 기술문서에는 제품과 제조업체의 프로세스가 부속서 I을 준수하는 방법을 설명해야 합니다. 따라서 릴리스 후 취약점 처리를 위한 제품 설계와 조치가 모두 포함됩니다.

작성 시점과 업데이트

기술문서는 디지털 요소가 있는 제품을 시장에 출시하기 전에 작성해야 합니다. 필요한 경우 지원 기간 중 지속적으로, 최소한 적절한 시점에 업데이트해야 합니다.

규정(EU) 2024/2847 제31조 제2항

기술문서는 제품을 시장에 출시하기 전에 작성해야 합니다. 그 후 지원 기간 중 중요한 변경 사항이 있으면 최신 상태로 유지해야 합니다.

• 제품 설계, 아키텍처, 소프트웨어 버전, 업데이트 방식의 변경으로 업데이트가 필요할 수 있습니다.
• 사이버 보안 위험 평가의 변경으로 업데이트가 필요할 수 있습니다.
• 새로운 취약점 정보로 업데이트가 필요할 수 있습니다.
• 재설계되거나 재평가된 제품 문서에는 변경된 버전이 식별되어야 합니다.

부속서 VII의 내용

부속서 VII은 최소 포함 항목을 정합니다. 표 양식이 아니라 증거 범주로 이해하는 것이 적절합니다. 정확한 세부 정보는 제품에 따라 달라집니다.

제품 릴리스용 부속서 VII 체크리스트

다음 색인은 부속서 VII의 8개 항목을 따릅니다. 정보 구성 방법의 예시이며 정해진 폴더 구조나 별도 파일 8개를 내보내야 한다는 요구사항은 아닙니다. 각 참조 기록은 적용되는 제품과 버전을 식별해야 합니다.

1. 제품 설명: 목적, 적합성에 영향을 미치는 소프트웨어 버전, 관련 하드웨어 이미지와 표시, 부속서 II 사용자 정보.
2. 설계 및 프로세스: 아키텍처와 구성 요소 관계, 취약점 처리, SBOM, 공개 정책, 신고 연락처, 안전한 업데이트, 생산, 모니터링, 프로세스 검증.
3. 사이버 보안 위험 평가: 제품 위험과 부속서 I 제I부 요구사항의 적용 여부에 대한 근거.
4. 지원 기간: 지원 기간을 결정할 때 사용한 정보.
5. 표준 및 기술 솔루션: 적용 조항, 상태 및 사용 범위, 해당 표준이 다루지 않는 요구사항에 사용한 솔루션.
6. 검증 보고서: 제품 및 취약점 처리 프로세스가 적용 가능한 필수 요구사항을 충족하는지 시험한 결과.
7. EU 적합성 선언: 평가한 제품에 해당하는 선언서.
8. 당국 요청 시 SBOM: 시장 감시 당국이 이유를 명시하여 요청하고 부속서 I 준수 여부 확인에 필요한 경우 적용되는 SBOM.

가상의 제어기 릴리스 1.2라면 색인에서 해당 릴리스의 설명, 아키텍처 개정판, 위험 평가, SBOM, 업데이트 시험, 사용자 지침을 참조할 수 있습니다. 최신 위험 평가와 이전 펌웨어 시험 보고서를 함께 사용하는 경우 시험된 통제가 여전히 적용되는지 설명해야 합니다.

적용 가능한 부속서 VII 정보와 평가 대상 제품 버전을 기준으로 완전성을 확인합니다. 문서 색인을 사용하면 검토자가 각 결론의 분석과 결과를 찾을 수 있으며, 여전히 누락된 정보도 확인할 수 있습니다.

증거 연결

위험 평가는 선택한 보안 조치를 설명하고, 구성 요소 기록은 해당 조치가 보호하는 소프트웨어를 식별하며, 취약점 처리 기록은 새로운 문제가 발견되었을 때의 조치를 보여줍니다. 다음 페이지는 각 기록의 내용과 사용 방법을 설명합니다.

위험 평가

제13조 제4항은 사이버 보안 위험 평가를 기술문서에 포함하도록 합니다. 위험 평가에서는 부속서 I이 제품에 적용되는 방법을 설명하며, 제조업체가 특정 제품 속성 요구사항을 관련 없는 것으로 판단한 경우 그 이유도 설명합니다.

유럽위원회 FAQ에 따르면 제품이 EU 내에서 또는 EU 외부에서 생산되었는지와 관계없이 시장에 출시될 때 기술문서를 사용할 수 있어야 합니다. 이후 재설계 및 재평가도 기술문서에 반영해야 합니다.

적합성 평가와 당국의 활용

기술문서는 주로 적합성 평가와 시장 감시에 사용됩니다. 유럽위원회 FAQ에 따르면 일반적으로 고객이나 일반 대중에게 공개할 필요는 없습니다.

FAQ에서 설명하는 주요 공개 예외는 제32조 제5항의 자체 평가 경로를 사용하는 일부 중요 자유 및 오픈 소스 소프트웨어 제품에 관한 것입니다.