EU 사이버 복원력법(CRA)에 따른 제조업체 보고 의무 9.11일부 적용, EU 지침 문서 발표(7.27)

사이버 복원력법(CRA)이란

사이버 복원력법(Cyber Resilience Act, Regulation (EU) 2024/2847)은 전세계적으로 하드웨어와 소프트웨어를 포괄한 사이버 공격이 증가하는 상황 속에서도 역내 통일된 사이버 보안 규칙이 부재하다는 문제 의식에서 출발되었다. 집행위원회는 2022년 9월 15일 디지털 요소가 포함된 다양한 제품 대상으로 EU 차원의 동일한 인증 제도를 도입하는 CRA를 최초 제안했으며, 이는 입법 절차를 거쳐 2024년 12월 10일 발효됐다.

CRA 대상 제품인 경우 제조업체는 적용 가능한 적합성 평가 절차를 수행하고 선언서를 작성해야 하며, CE 마킹을 부착해야 한다. 또한 제품의 지원기간을 명시하고, 제품 출시 전 위험성 평가도 의무화된다. 수입 및 유통업체는 제품의 EU 회원국 내 시장 출시를 위해 제품이 사이버 보안 요건을 준수했는지를 확인해야 하며, 위반 사항을 발견하거나 보안 문제가 발생할 경우 제조업체와 회원국 시장 감독기관에 보고해야 한다. 수입·유통업체가 자사 상표로 해당 제품을 시장에 출시하면 제조업체의 의무가 적용된다.

법안의 적용 시점은 2027년 12월 11일부터지만, 2026년 9월 11일에는 제조업체의 보고 의무가 먼저 시작된다. 이때부터 제조업체는 자사 제품에서 능동적으로 악용되는 취약점과 심각한 사고를 유럽연합 사이버보안청(ENISA) 및 사이버 침해사고 대응팀(CSIRT)에 신고해야 한다. 이 의무는 2027년 12월 11일 이전에 출시된 제품에도 적용된다.

이에 EU 집행위원회는 특히 초소형 기업 및 중소기업의 규정 준수를 돕기 위해 2026년 7월 27일 CRA 지침 문서(Guidance)를 발표했다. 이 문서를 통해 적용 제품 범위를 보다 구체화했으며, 적합성 평가의 기준이 되는 제품 분류 기준을 명확하게 설명하고 있다. 또 오는 9월부터 적용되는 보고 의무에 대해 보고 기한과 경로 등을 자세히 안내했다.

EU 사이버 복원력법 지침 문서의 주요 내용

*보다 구체적인 내용은 EU 집행위원회 자료 원문을 참고하여 주시기 바랍니다.

1. CRA 적용 범위

CRA는 시장에 출시된 디지털 요소를 포함한 하드웨어·소프트웨어 제품 중, 의도된 목적 또는 합리적으로 예견되는 사용 방법이 기기 또는 네트워크와의 직·간접적 데이터 연결을 포함하는 제품을 대상으로 한다. 지침 문서는 단순히 전기신호로 기능을 켜고 끄는 것으로는 부족하며, 해당 제품이 디지털 통신에 실제로 참여하는지가 관건이라고 설명했다. 문서상 예시로는 앱이나 프로그램 등 독립형 소프트웨어, 사물인터넷(IoT) 기기 및 노트북·태블릿, 집적회로, 메인보드·독립형 하드웨어, 별도 공급되지만 함께 작동하도록 의도된 하드웨어와 소프트웨어의 조합 등이 있다.

순수 클라우드 서비스만 제공하면 CRA 대상이 아니지만, 사용자 기기에 클라이언트 앱을 배포할 수 있거나 기기의 기능을 원격으로 지원하면 대상이 된다. 또한 프린터 드라이버나 웨어러블 기기 전용 스마트폰 앱처럼 제품이 의도된 기능을 수행하는 데 필요한 소프트웨어는 앱스토어나 별도의 다운로드 링크로 적용되어도 하드웨어와 동시에 출시된 제품으로 본다. 한편 자동차, 의료기기, 항공 제품 등 기존 EU 규정을 통해 사이버 보안 요건을 충족해야 하는 경우 규제 적용 대상에서 제외된다.

특히 지침 문서는 CRA의 적용 범위를 구별하는 주요 개념으로 실질적 변경(substantial modification)에 대해 자세히 설명하고 있다. 실질적 변경된 제품이 시장에 공급되면 신규 제품으로 취급돼 새로운 시장 출시로 간주되고, 변경된 부분에 대해 적합성 평가를 다시 진행해야 한다. 하드웨어와 소프트웨어별로 실질적 변경에 해당되는 경우와 그렇지 않은 경우는 아래 표와 같다. 다만 실무적으로는 제품별 특성을 반영한 사례별 판단이 필요하다.

* 자료 : 집행위원회 문서 토대로 KOTRA 브뤼셀무역관 정리

2. 제품 등급 구분 기준과 적합성 평가 방법

CRA는 사이버 보안 위험도별로 제품군을 분류해 위험도가 높을수록 보다 엄격한 사이버 보안평가 절차를 따르도록 하고 있다. 제품 등급은 △일반 제품(default), △중요 제품 Ⅰ, △중요 제품 Ⅱ, △핵심 제품(critical)으로 나뉘며, 등급별 디지털 제품 유형의 상세 내용은 2025년 12월 21일부터 발효된 이행 규정(Implementing Regulation (EU) 2025/2392)을 통해 확인할 수 있다. 지침 문서는 제품의 등급과 그에 따른 적합성평가 절차를 결정하는 기준으로 핵심 기능(core functionality)을 제시했으며, 한 제품은 하나의 핵심 기능만 가질 수 있다. 제조업체는 사용 설명서나 홍보·판매 자료 및 명세서, 기술 문서에 핵심 기능을 명시해야 한다.

<이행규정 (EU) 2025/2392 부속서에 따른 등급 구분별 제품 유형>

* 자료 : EU 관보

** 주 : 해당 제품 유형은 예시일 뿐 디지털 요소가 포함된 제품을 모두 망라하지 않음

일반 제품의 경우 스마트 홈 기기, 프린터, 스피커 등 디지털 가전을 포함하며 약 90%의 제품이 일반 제품으로 분류될 것으로 예상된다.

제품 적합성 평가 방법에는 △자가 평가(모듈 A), △EU 형식 검사(모듈 B), △내부 생산 통제(모듈 C), △전체 품질보증(모듈 H)의 네 가지가 있으며, 모듈 A가 가장 부담이 적고 모듈 H가 가장 엄격한 평가 방식이다. 일반 등급 제품의 경우 유일하게 모듈 A만으로 적합성 평가를 수행할 수 있다. 중요 제품 Ⅰ 등급은 관련 조화표준(harmonized standard)*의 모든 적용 가능한 요구 사항을 충족하고, 해당 표준의 적용 범위가 핵심 기능과 관련된 모든 사이버 보안 위험을 포괄할 경우 모듈 A 사용이 가능하다. 그렇지 않으면 제3자 평가를 거쳐야 한다.

* (참고) 2026년 8월 기준 CRA에 따른 조화표준은 확정되지 않았으며, 아직 초안 단계임

한편 중요 제품 Ⅱ와 핵심 제품의 경우 제3자가 참여하는 적합성 평가 절차가 필수다. 구체적으로 모듈 B와 C를 함께 사용해, 인증기관이 제품의 설계·형식 인증서를 발급하고 실제 설계·생산 과정이 해당 인증서와 일치하는지를 제조업체가 관리하는 방식을 쓸 수도 있고, 모듈 H를 통해 인증기관이 제조업체의 설계·생산 전 과정의 품질시스템을 승인·감독하도록 할 수도 있다. 이 외에도 유럽 사이버보안 인증 규정(Regulation (EU) 2019/881)에 따른 중간(substantial) 단계 인증을 받는 것으로도 적합성 평가가 가능하다. 다만 해당 인증을 받는 것 역시 인증기관의 참여가 필요하다.

3. 위험성 평가 방법 및 소비자 지원기간 결정

2027년 12월 11일부터는 제품 적합성 평가와 적합성 선언 외에도, 제품 출시 전 위험성 평가와 제품 지원기간 명시가 의무화된다. 위험성 평가(cybersecurity risk assessment)는 제조업체가 자사 제품의 사이버보안 위험을 식별하고 이를 적절한 조치로 다루는 절차다. 위험성 평가 진행 시 중요한 것은 제품의 의도된 목적과 합리적으로 예견되는 사용 방식에 비추어 적절한 보안 수준을 확보했는지다. 제조업체가 일정 정도의 위험을 감수한다는 식의 내부 의사결정은 위험성 평가에 영향을 주지 않는다.

제조업체는 위험성 평가 진행 시 CRA 부속서 Ⅰ의 요구사항 중 자사 제품에 어떤 것이 적용되며 이를 어떻게 이행할지를 판단해야 한다. 부속서 Ⅰ은 디지털 요소를 포함한 제품의 속성과 관련된 사이버 보안 요구 사항(파트 1)과 취약점 처리 요구 사항(파트 2)으로 구분된다. 평가 결과 위험성이 식별된 경우 제조업체는 기술적 보호 조치나 기능 제한 및 조정 등을 통해 이를 해결해야 한다. 보안에 무관한 차이(색상, 크기 등)가 있는 제품군의 경우 하나의 위험성 평가로 묶어서 처리 가능하다.

또한 CRA에 따른 제품의 지원기간은 최소 5년이다. 예상 사용 기간이 더 짧은 경우 지원기간은 5년 미만이 될 수 있으며, 더 오래 사용될 경우 제조업체는 더 긴 지원기간을 두어야 한다. 제조업체는 사용자의 제품 구매 시점에 종료일을 명시하고, 기술적으로 가능한 경우 종료 시 알림을 표시해야 한다. 한편 제품 대상 실질적 변경이 이뤄질 때마다 지원기간은 새롭게 업데이트되나 변경 사항이 사용기간 결정 요인에 영향을 주지 않는 경우 원래의 지원기간이 유지된다. 예컨대 하드웨어 플랫폼 교체 등으로 제품을 기존 예상 대비 더 오래 사용할 수 있으면 지원기간을 다시 계산해야 한다.

4. 취약점 및 사고 보고 방법

오는 9월부터 제조업체는 시장에 출시된 모든 자사 제품 대상(지원 기간이 종료된 제품 포함)으로 능동적으로 악용되는 취약점이나 제품 보안에 영향을 준 심각한 사고를 ENISA와 CSIRT 코디네이터에 동시 통지해야 한다. 지침 문서는 취약점 및 심각사고 보고 기한이 언제부터 시작되는지를 분명히 하기 위해 제조업체의 인지(becoming aware) 기준을 제시했다. 문서상 인지란, 의심이 가는 이벤트를 즉시 초기 평가하여, 취약점이 능동적으로 악용되고 있거나 심각사고가 발생해 제품 보안이 침해되었다는 합리적인 확실성을 확보한 시점이다. 2026년 9월 11일 이후 인지한 취약점에 대해서 소급하여 보고할 필요는 없다.

인지 후 24시간 내에는 제한된 정보가 포함된 조기 경보를 제출해야 하며, 72시간 내에는 추가 정보를 제출해야 한다. 완전 보고서는 취약점의 경우 시정 또는 완화 조치가 마련된 후 14일 내에, 심각한 사고의 경우 추가 정보 제출 후 1개월 이내에 제출해야 한다. 제조업체는 인지 후 영향받은 사용자(필요시 전체 사용자)에게 관련 내용을 통지해야 하나, 민감하거나 필수적인 환경에서 사용되는 제품의 경우 관련 사용자에게 제한적으로 정보를 공개할 수 있다.

우리 기업 대응 방안

사이버 복원력법에 따른 규정 미준수 시 회원국의 시장 당국은 해당 제조업체에게 위반 사항을 시정하도록 요구할 수 있다. 상황이 지속될 경우 회원국 및 시장 감시 기구는 관련 기업에 벌금 부과 및 해당 제품의 역내 출시 제한, 금지, 시장 회수 등을 명령할 수 있다.

제조업체가 ①ENISA와 CSIRT에 능동적으로 악용되는 취약점 및 심각한 사고를 보고하지 않았거나, ②2027년 11월부터 적용되는 제조업체의 일반 의무를 이행하지 않을 경우 최대 1,500만 유로 또는 직전 회계연도 전세계 총매출액의 2.5% 중 더 높은 금액을 물 수 있다. 또한 ①제조업체의 일반 의무·보고 의무 이행 시 요구사항을 충분히 준수하지 않았거나 ②수입·유통업체 또는 인증기관이 의무를 소홀히 한 경우에는 최대 1,000만 유로 또는 전세계 총매출액의 2% 중 높은 금액의 벌금 부과가 가능하다. 마지막으로 제조업체가 인증기관이나 시장 감시 기구에 제대로 정보를 제공하지 않으면 최대 500만 유로 또는 전세계 총매출액의 1% 중 높은 금액을 부담할 수 있다.

우리 기업이 먼저 챙겨야 할 것은 올해 9월 11일부터 시작되는 보고 의무다. 자사 제품에서 취약점이 악용되거나 심각한 보안 사고가 생기면 EU 당국에 정해진 기한 내 신고해야 하므로, 관련 내부 절차를 정리해 두는 것이 좋다. 반면 적합성 평가, 위험성 평가 등 제조업체 일반 의무는 2027년 12월부터 적용되고, 적합성 평가에 중요한 관련 조화표준도 아직 미정인지라 관련 동향을 꾸준히 지켜보는 것이 바람직하다.

다만 앞으로 EU 시장에 제품을 납품할 계획이라면, 자사 제품이 CRA 대상인지, 그 위험 등급은 어느 정도인지를 미리 확인해두어야 하며 CE 마킹 대응체계도 미리 준비해야 한다. 만일 제품 등급 상 중요·핵심 제품으로 판별될 경우 적합성 평가 과정에서 제3자 인증기관의 개입이 필수적이므로, 인증 소요 기간을 고려해 여유를 두고 준비를 시작할 필요가 있다.

출처: EU 집행위원회 사이버 복원력법 지침 문서, EU 관보, 브뤼셀무역관 보유자료