제품 법률로서의 EU 사이버 복원력법

수평적 제품 법률

CRA는 기업 전반에 적용되는 일반적인 사이버 보안 법률이 아닙니다. 제품 법률입니다. 디지털 요소가 있는 제품을 EU 시장에 공급할 수 있는지, 각 의무를 어떤 주체가 부담하는지, 제품과 제조업체의 프로세스가 사이버 보안 요구사항을 충족하는지 판단합니다.

사이버 보안을 보장하기 위해 디지털 요소가 있는 제품을 시장에 공급하는 데 관한 규칙;

규정(EU) 2024/2847 제1조 (a)

법률의 정식 명칭은 이러한 규칙을 수평적 사이버 보안 요구사항이라고 부릅니다. 수평적이라는 것은 CRA가 특정 산업만을 대상으로 작성되지 않았다는 뜻입니다. 제품이 적용 범위에 포함되고 제외 사항이나 특별한 중복 적용 규칙에 따라 적용이 배제되지 않는다면 다양한 유형의 제품에 적용될 수 있습니다.

법률의 제정 배경

전문에서는 두 가지 주요 문제를 설명합니다. 첫째, 많은 디지털 요소 제품이 취약한 보안, 알려진 취약점, 불분명한 보안 업데이트를 가진 채 사용자에게 제공되었습니다. 둘째, 사용자는 제품을 안전하게 선택하고 사용할 정보가 충분하지 않은 경우가 많았습니다.

EU는 역내 시장의 규제 분절화를 줄이기 위해 제품 사이버 보안 요구사항에 관한 통일된 체계를 마련하고자 했습니다. 따라서 CRA는 다른 제품 법률, 네트워크 운영, 조직 보안에 관한 적용 가능한 EU 법률과 함께 사이버 보안을 제품의 시장 출시와 연결합니다.

CE 마킹 체계

CRA는 기존 CE 마킹 체계를 사용합니다. 새로운 사이버 보안 로고를 만들지는 않습니다. 이미 다른 EU 제품 법률에 따라 CE 마킹이 부착된 제품의 경우, CRA는 동일한 제품 적합성 문서에 사이버 보안 요구사항을 추가합니다.

CE 마킹에는 규정(EC) 제765/2008호 제30조에 명시된 일반 원칙을 적용합니다.

규정(EU) 2024/2847 제29조

Blue Guide는 CE 마킹의 의미를 설명합니다. 제조업체가 해당 마크를 요구하는 EU 법률을 제품이 충족한다고 선언하는 것입니다. CE 마킹은 품질 마크나 원산지 마크가 아니며, 모든 제품을 공공 기관이 시험했다는 뜻도 아닙니다.

제품 파일의 사이버 보안

CRA는 기존 제품 적합성 체계에 사이버 보안 요구사항을 추가합니다. 제조업체는 익숙한 법적 절차를 사용할 수 있지만, 관련 기술 내용을 추가해야 합니다.

• 부속서 I 제I부는 제품 자체의 사이버 보안 요구사항을 정합니다.
• 부속서 I 제II부는 제조업체의 취약점 처리 프로세스 요구사항을 정합니다.
• 기술문서에는 제품과 프로세스가 적용 가능한 요구사항을 어떻게 충족하는지 나타내야 합니다.
• 적합성 평가는 제품과 제조업체의 프로세스를 해당 요구사항에 비추어 확인합니다.
• EU 적합성 선언과 CE 마킹은 CRA 평가 결과를 일반적인 EU 제품 적합성 체계와 연결합니다.

다른 제품 법률과의 관계

CRA는 기존 제품 법률을 대체하지 않습니다. 연결된 기계류, 무선 제품, 완구, 산업용 제어기, 의료기기 액세서리는 이미 다른 EU 제도의 규제를 받을 수 있습니다. CRA도 적용된다면 제조업체는 다른 적용 법령과 함께 CRA를 이행해야 합니다.

CRA는 일부 중복 적용 문제를 직접 다룹니다. 다음 제품군에는 별도의 제외 또는 제한 규칙이 있습니다.

• 의료기기 및 체외진단 의료기기;
• 자동차 형식승인 대상 제품;
• 민간항공 체계에 따라 인증된 제품;
• 선박 장비;
• 동일한 예비 부품;
• 국가 안보 또는 국방 목적으로만 개발되거나 수정된 제품;
• 기밀 정보 처리를 위해 특별히 설계된 제품.

다른 중복 적용 문제는 다른 방식으로 처리됩니다. 제품과 규제 대상 위험에 따라 CRA는 다음과 같은 법률을 보완할 수 있습니다.

• 기계류 규정;
• 일반 제품 안전 규정;
• 무선 장비 지침;
• GDPR;
• 데이터법;
• AI법;
• NIS2.