Proven by Intelligence
보이지 않는 안전을 인텔리전스로 증명하다.
기술 인사이트를 만나보세요.
이번글에서는 EU 사이버 복원력법(CRA): 2026년 이후를 대비하는 컴플라이언스 가이드 (1)에 대해 안내해 드리겠습니다. 글 시작에 앞서 핵심 요약을 하면,
✅ 사이버 복원력법(Cyber Resilience Act, CRA)은 2024년 12월 10일에 발효되었으며, EU 내에서 판매되는 거의 모든 “디지털 요소를 포함한 제품”에 적용됩니다.
✅ 취약점 및 사고 보고 의무는 2026년 9월 11일부터 시작됩니다. 제조사는 24시간 이내에 조기 경보를, 72시간 이내에 정식 통보를 제출해야 합니다.
✅ CE 마킹 및 적합성 평가를 포함한 전면적인 규정 준수는 2027년 12월 11일부터 의무화됩니다.
✅ 규정을 준수하지 않을 경우, 최대 1,500만 유로 또는 전 세계 연간 매출액의 2.5% 중 더 높은 금액에 해당하는 과장금이 부과될 수 있습니다.
✅ CRA는 기계 판독이 가능한 소프트웨어 자재 명세서(SBOM), 설계 단계부터의 보안 내재화(secure-by-design), 협력적 취약점 공개, 그리고 제품의 예상 수명 기간 동안의 보안 업데이트 제공을 의무화합니다.
✅ EU 외부에 소재한 제조사라도 제품이 EU 시장에 유통된다면 적용 대상이 됩니다.
사이버 복원력법이란 어떤건가요?
사이버 복원력법(CRA)은 유럽연합(EU) 시장에 출시되는 모든 “디지털 요소를 포함한 제품”에 대해 구속력 있는 사이버보안 요구사항을 규정하는 EU 규정입니다.
이는 설계 단계부터 지원 종료에 이르기까지 제품의 전체 수명주기 동안 하드웨어와 소프트웨어의 보안에 대해 책임을 제조사에 부여하는 EU 최초의 수평적 법률입니다.
CRA는 유럽연합 관보에 규정(EU) 2024/2847로 게재되었으며, 2024년 12월 10일에 발효되었습니다.
이 법은 기존 물리적 제품에 적용되던 안전 규제와 유사한 형태로 사이버보안에 대해 CE 마킹 제도를 도입하며, 그동안 연결형 제품에 적용되어 온 국가별로 제각각이던 사이버보안 기준을 대체하여 27개 회원국 전체의 규칙을 일원화합니다.
쉽게 말해, 제품이 네트워크와 통신할 수 있거나, 소프트웨어를 구동하거나, 그 자체가 연결형 소프트웨어이면서 EU에서 판매된다면 CRA가 적용됩니다.
그림 1. CE인증 마크
누가 사이버 복원력법을 준수해야 하나요?
CRA는 디지털 요소를 포함한 제품(PDE)의 제조사, 수입사, 유통사에 적용됩니다.
디지털 요소를 포함한 제품이란, “의도되고 예측 가능한 사용이 장치 또는 네트워크와 지간접적인 데이터 연결을 포함하는” 모든 하드웨어 또는 소프트웨어 제품을 의미합니다.
이 정의는 의도적으로 폭넓게 설정되어 있습니다.
적용 대상 제품에는 다음이 포함됩니다.
🔍 연결형 하드웨어 :
라우터, 스마트홈 기기, 웨어러블, 산업용 컨트롤러, 의료용 IoT, 커넥티드 카(이미 분야별 규정으로 다뤄지지 않는 경우)
🔍 독립형 소프트웨어 :
운영체제, 모바일 앱, 데스크톱 애플리케이션, 백신 도구, ID 관리자
🔍 모든 연결형 장치에 탑재된 임베디드 펌웨어
🔍 클라우드 백엔드를 포함하여, 제품 작동에 필수적인 원격 데이터 처리 솔루션
이 규정은 제조사의 본사 소재지와 관계없이 적용됩니다.
독일에 판매하는 미국 소재 SaaS 기업, 프랑스로 제품을 출하하는 일본 IoT 공급사, 네덜란드에서 상용 지원 계약을 제공하는 오픈소스 재단 모두 CRA의 적용을 받습니다.
다만 제한적인 예외가 있습니다.
의료기기, 완성차, 항공 시스템, 특정 선박 장비 등 특별법(lex specialis)의 규율을 이미 받는 제품은 기존 체계를 그대로 따릅니다.
비상업적 오픈소스 소프트웨어 개발자 또한 CRA 과징금 대상에서 제외되지만, “오픈소스 소프트웨어 관리주체(stewards)”(OSS 프로젝트를 상업화하거나 체계적으로 지원하는 조직)는 보다 가벼운 수준의 의무를 부담합니다.
그림 2. ‘누가 CRA를 따르는가’ 다이어그램
사이버 복원력법은 언제부터 시행되나요?
CRA는 단계적(phased) 시행 일정을 따릅니다.
규정 준수 계획을 세울 때 중요한 날짜는 세 가지 입니다.
📌 2026년 6월 11일 :
적합성 평가 기관의 통보에 관한 규정이 적용되기 시작합니다. 이 시점부터 각국 당국은 고위험(high-criticality) 제품을 인증할 기관을 지정할 수 있습니다.
📌 2026년 9월 11일 :
제조사는 실제로 악용되고 있는 취약점과 심각한 보안 사로를 ENISA(유럽 사이버보안청)과 각국 CSIRT에 보고하기 시작해야 합니다. 보고 기한은 엄격합니다. 24시간 이내 조기 경보, 72시간 이내 정식 통보, 악용된 취약점의 경우 패치 제공 후 14일 이내 최종 보고서, 심각한 사고의 경우 1개월 이내 최종 보고서를 제출해야 합니다.
📌 2027년 12월 11일 :
나머지 모든 의무가 적용됩니다. 설계 단계부터의 보안 내재화 요구사항, 적합성 평가, 기술 문서, CE 마킹, SBOM 생성, 취약점 처리 프로세스, 그리고 지원 기간 전반에 걸친 보안 업데이트 제공 의무가 여기에 포함됩니다.
2027년 12월 11일 이후부터는 CE 마킹과 그에 부합하는 CRA 적합성을 갖추지 못한 제품은 EU 시장에 합법적으로 출시될 수 없습니다.
그림 3. CRA 단계적 시행 일정
CRA의 핵심 요구사항은 무엇인가?
CRA의 실질적 의무는 Annex I(필수 사이버보안 요구사항)과 부속서 II(사용자를 위한 정보 및 안내)에 걸쳐 규정되어 있습니다.
이는 여섯 가지 범주로 나뉩니다.
01.
Secure-by-Design 및 Secure-by-Default
제품은 “위험에 기반하여 적절한 수준의 사이버보안을 보장하는 방식으로 설계, 개발, 생산”되어야 합니다.
이는 곧 안전한 기본 설정으로 제품을 제공하고, 공격 표면을 최소화하며, 데이터의 기밀성과 무결성을 보호하고, 안전한 업데이트 매커니즘을 갖추는 것을 의미합니다.
인증, 접근 제어, 무단 변경에 대한 보호는 사후에 덧붙이는 것이 아니라 처음부터 제품에 내제되어 있어야 합니다.
02.
SBOM
CRA는 디지털 요소를 포함한 모든 제품에 대해 SBOM을 의무화합니다.
제조사는 다음을 수행해야 합니다.
✔️ 최소한 제품의 최상위(top-level) 종속성을 식별하고 문서화해야 합니다.
✔️ 널리 사용되는 기계 판독 가능 형식으로 SBOM을 생성해야 합니다. 규정이 특정 형식을 지정하지는 않지만, 사실상의 표준은 SPDX와 CycloneDX입니다.
✔️ 제품의 지원 기간 전반에 걸쳐 SBOM을 최신 상태로 유지해야 합니다.
✔️ 요청이 있을 경우 시장 감시 당국이 열람할 수 있도록 제공해야 합니다.
중요한 점은, CRA가 제조사에게 SBOM을 일반에 공개하도록 요구하지는 않는다는 것입니다.
SBOM은 규제 당국에 제공되어야 하며, 점차 조달 과정의 일부로 이를 요구하는 기업 고객에게도 제공되어야 합니다.
그림 4. SBOM
03.
취약점 처리
제조사는 전체 지원 기간 동안 문서화된 취약점 관리 프로세스를 운영해야 합니다. CRA가 기대하는 바는 다음과 같습니다.
🔍 명확한 연락 창구를 갖춘 협력적 취약점 공개(coordinated vulnerability disclosure) 정책
🔍 외부 연구자가 보고한 취약점을 접수, 분류(triage), 처리할 수 있는 매커니즘
🔍 무료이면서 시의적절한 보안 업데이트로, 명확하게 안내되고, 적절한 경우 가급적 자동으로 제공되며, 권고 정보(advisory)를 함께 제공
🔍 서드파티 구성 요소를 포함한 제품 보안에 대해 지속적인 테스트와 검토
04.
사고 및 악용된 취약점 보고
2026년 9월 11일부터 제조사는 다음을 보고해야 합니다.
🔧 제품에서 실제로 악용되고 있는 모든 취약점
🔧 제품 보안에 영향을 미치는 모든 심각한 사고
보고는 ENISA가 각국 CSIRT와 협력하여 운영하는 단일 EU 보고 플랫폼을 통해 이루어집니다.
주기는 고정되어 있습니다.
24시간 이내 조기 경보 → 72시간 이내 통보 → 사안에 따라 14일 또는 1개월 이내 최종 보고서입니다.
05.
적합성 평가 및 CE 마킹
CRA는 제품을 네 가지 위험 등급으로 분류합니다.
기본(default), 중요 등급 I(Important Class I), 중요 등급 II(Important Class II), 핵심(Critical) 입니다.
등급이 높을수록 적합성 평가가 더 엄격해집니다.
🌍 기본 제품은 자가 증명(self-attest)이 가능합니다.
🌍 중요 등급 I 제품은 자가 평가를 위해 조화된 표준(harmonized standards)을 활용하거나, 통보 기관(notified body)에 의존할 수 있습니다.
🌍 중요 등급 II 제품(예: 방화벽, 키 관리자, EDR)은 서드파티 평가가 필요합니다.
🌍 핵심 제품은 종국적으로 유럽 사이버보안 인증이 요구될 수 있습니다.
적용 대상이 되는 모든 제품은 EU 시장에 출시되기 전에 CE 마킹을 부착해야 합니다.
그림 5. 위험 등급별 적합성 평가
06.
문서화, 수명주기 지원, 투명성
제조사는 규정 준수를 입증하는 기술 문서를 작성하고, 명시적인 지원 기간(통상 최소 5년)을 정의하며, 명확한 사용자 안내를 제공하고, 지원이 종료될 때 사용자에게 통지하여 사용자가 정보에 입각한 위험 판단을 내릴 수 있도록 해야 합니다.
CRA는 디지털 요소를 포함한 제품을 어떻게 분류하나요?
네 가지 위험 등급은 제조사가 어떤 적합성 평가 경로를 따라야 하는지를 결정합니다.
📌 기본(Default) 등급 : 전체 제품의 약 90%를 차지합니다. 자가 평가(Self-assessment)가 허용됩니다.
예) 스마트 스피커, 피트니스 웨어러블, 모바일 게임.
📌 중요 등급 I (Important Class I) : 사이버보안 기능이나 위험 수준이 높은 제품입니다.
예) 독립형 키 관리자, 네트워크 관리 시스템, 스마트홈 허브, 핵심 애플리케이션에 사용되는 마이크로컨트롤러
📌 중요 등급 II (Important Class II) : 침해될 경우 심각한 시스템적 영향을 초래할 수 있는 제품입니다.
예) 하이퍼바이저, 컨테이너 런타임, 방화벽, 침입 탐지/방지 시스템, 공개키 기반구조(PKI) 발급자
📌 핵심 (Critical) : 장애 발생 시 필수 서비스를 중단시킬 수 있는 소수의 제품입니다.
예) 하드웨어 보안 모듈(HSM), 스마트미터 게이트웨이, 보안요소 기능에 사용되는 스마트카드
올바른 등급을 판단하는 것은 CRA 준수 프로그램이 초기에 내리는 가장 중요한 결정 중 하나입니다.
이 결정이 향후 수년 간의 테스트, 문서화, 인증 경로를 좌우하기 때문입니다.
마치며
CRA는 더 이상 “언젠가 다가올 규제”가 아닙니다.
2027년 12월까지의 시간은 생각보다 짧고, 대부분의 조직은 규정이 요구하는 엔지니어링/문서화/보고 체계를 갖추는 데 18~24개월이 필요합니다.
핵심은 결국 세 가지로 압축됩니다.
내 제품이 무엇으로 이루어져 있는지(SBOM), 그것이 검증되었다는 증거(테스트와 취약점 관리), 그리고 규제 당국이 감사할 수 있는 대응 기록(문서화)입니다.
CRA 준수는 한 번의 이벤트가 아니라, 코드와 함께 버전 관리되고 감사 가능한 형태로 유지되어야 하는 지속적인 체계입니다.
준비는 다음 순서로 시작할 수 있습니다.
적용 대상 제품을 식별하고, 위험 등급을 분류하고, 정확한 SBOM을 생성하고, 취약점 관리와 공개 프로세스를 세우고, 사고 보고 체계를 마련하고, secure-by-design을 개발 프로세스에 내재화하고, 기술 문서를 구축/유지하는 것입니다.
규정 미준수의 대가는 최대 1,500만 유로 또는 전 세계 매출의 2.5%에 달하는 과징금만이 아닙니다.
제품 회수나 EU 시장 퇴출, 그리고 수치로 환산되지 않는 평판 손상까지 이어질 수 있습니다.
반대로 지금 체계를 갖춘 기업에게 CRA는 부담이 아니라, 고객과 파트너에게 보안 역량을 증명하는 기회가 됩니다.
지금 시작하는 것이, 2027년에 쫓기지 않는 가장 확실한 방법입니다.
출처 : Mend.io
지금부터 준비하고 싶으신가요?
MDS인텔리전스는 OneKey, Labrador, Mend와 같은 SBOM/취약점 관리 솔루션을 공급하고 있습니다.
CRA가 요구하는 SBOM 생성, 취약점 관리, 적합성 평가 증빙에 필요한 도구를 지금 확인해 보세요 😊
📧 mend@mdsit.co.kr ✍️ 문의남기기
