[사이버보안] EU 수출 기업 필독! 사이버복원력법(CRA)

작성자와이즈컴퍼니 관리자 작성일 조회6

EU 수출 디지털 제품, 2027년 12월 11일부터 CRA 미준수 시 출시 불가.

안녕하세요. 와이즈컴퍼니(주)는 변화하는 규제 요구사항에 대한 대응을 도와드리고 있습니다.

이번 포스팅에서는 EU 사이버복원력법(CRA)에 대해 소개해 드리겠습니다.

EU 사이버복원력법(CRA, Cyber Resilience Act)이란?

사이버복원력법(CRA)은 EU 법령입니다. EU 시장에 공급되는 디지털 요소 포함 제품의 사이버보안 요구사항을 규정합니다.

제조사의 의무는 넓습니다. 설계·개발 단계부터 출시 이후까지 사이버보안 위험을 관리해야 합니다. 취약점 처리 및 보안 업데이트 체계도 갖춰야 하죠. 그리고 제품이 CRA의 필수 사이버보안 요구사항을 충족해야 합니다.

구분 내용
법령 번호 Regulation (EU) 2024/2847
법령 성격 EU 전역에 직접 적용되는 규정
규제 대상 EU 시장에 공급되는 디지털 요소 포함 하드웨어·소프트웨어 제품
주요 의무자 제조업체, 수입업체, 유통업체, 유럽대리인
핵심 요구사항 Annex I 필수 사이버보안 요구사항
적합성 인증 적합성 평가, 기술문서, EU 적합성 선언서(DoC), CE 마킹

주요 시행 일정

CRA_timeline_(1)
2027년 12월 11일까지는 아직 멀었다고 생각하시나요? 이 날짜는 준비를 시작하는 날이 아닙니다. 준비가 끝나 있어야 하는 날입니다.

CRA 대응은 다음 단계로 진행됩니다.

적용 대상·등급 확인.
Annex I 사이버보안 시험.
SBOM·기술문서 수립.
적합성 평가.

준비 기간은 제품 특성에 따라 수개월이 소요될 수 있습니다. 부적합 발견 시 설계 변경과 재시험이 필요할 수도 있습니다.

💡 당사는 CRA Annex I 요구사항을 직접 기준으로 시험합니다. 요구사항별 시험 결과와 증적을 담은 보고서를 제공하죠. 제조사는 이를 기술문서 수립과 적합성 평가의 근거로 활용할 수 있습니다.

⚠️ 제품에 따라 인증기관(Notified Body) 평가가 필요할 수 있습니다. 조화표준의 개발 및 EU 관보 인용 현황도 변수입니다. 준비가 늦어질수록 비용과 설계 변경 부담이 커집니다. 그래서 제품 개발 단계부터 CRA 대응을 준비하는 것이 중요합니다.

위반 시 벌금 및 행정조치

구분 위반 유형 벌금 상한
1 Annex I 필수 사이버보안 요구사항, 제조자 의무 또는 보고 의무 위반 최대 1,500만 유로 또는 전 세계 연매출의 2.5% 중 높은 금액
2 기타 의무(기술문서, CE 마킹 등) 위반 최대 1,000만 유로 또는 전 세계 연매출의 2% 중 높은 금액
3 인증기관 또는 시장감시당국 요청에 부정확·불완전·오해 유발 정보 제공 최대 500만 유로 또는 전 세계 연매출의 1% 중 높은 금액

※ 위 금액은 규정상 상한입니다. 실제 제재는 회원국 시행 규정과 위반의 성격에 따라 결정됩니다. 행정 벌금과 별도의 시장 조치도 있습니다. 시정 명령, 출시 제한·금지, 회수·리콜 등이 함께 적용될 수 있습니다.

기존 출시 제품에 대한 적용

취약점·중대 보안 사고 보고 의무는 2026년 9월 11일부터 적용됩니다. CRA 적용 대상인 기존 출시 제품에도 해당할 수 있습니다. 따라서 EU 공급 중인 제조사는 보고 체계를 사전에 마련해야 합니다.

필수 사이버보안 요구사항, 적합성 평가, CE 마킹 의무는 다릅니다. 원칙적으로 2027년 12월 11일부터 적용됩니다. 기존 제품도 예외가 아닐 수 있습니다. 해당 날짜 이후 실질적인 변경(substantial modification)이 생기면 적용 대상이 될 수 있습니다.

우리 제품이 CRA 적용 대상인가요?

다음 조건을 충족하는 제품이라면 확인이 필요합니다.

✓

EU 시장에 상업적 활동의 일환으로 공급되는 제품.

✓

하드웨어 또는 소프트웨어에 디지털 요소가 포함된 제품.

✓

다른 장치나 네트워크와 직·간접 데이터 연결이 가능한 제품.

⚠️ 인터넷 연결 제품만 해당하는 것이 아닙니다. USB, 유선 통신, 소프트웨어 인터페이스를 통한 연결도 포함됩니다. 물리적·논리적 연결 모두 적용 여부 판단 시 고려해야 합니다.

CRA_targets

💡 우리 제품의 CRA 적용 여부가 궁금하신가요? 아래 CRA 준비도 진단에서 확인해 보세요. 적용 여부와 분류 근거를 예비 진단해 드립니다. 준비해야 할 기술 증거와 문서도 안내됩니다.

CRA 준비도 진단 · 와이즈컴퍼니

적용 대상이라면, 어느 등급에 해당하나요?

CRA는 제품을 위험 수준에 따라 네 등급으로 나눕니다. 등급에 따라 적합성 평가 방법이 달라지죠. 대부분의 제품은 기본 제품에 해당합니다. 다만 Annex III·IV에 열거된 제품은 다릅니다. Important Class I·II 또는 Critical로 분류됩니다. 이 경우 인증기관 평가나 EU 사이버보안 인증이 필요할 수 있습니다.

등급 제품 예시 적합성 평가
기본 제품 대부분의 IoT 기기, 앱, 소프트웨어 제조사 자가 적합 선언
Important Class I 라우터·스위치, 운영체제, 브라우저, VPN, 백신, 비밀번호 관리자, 스마트 도어록, 보안 카메라, 인터넷 연결 장난감, 웨어러블 조화표준 전체 적용 시 자가 선언, 아니면 인증기관 개입 평가
Important Class II 방화벽·IDS/IPS, 하이퍼바이저·컨테이너 런타임, 변조 방지 마이크로프로세서 인증기관 개입 평가
Critical 스마트미터 게이트웨이, 스마트카드, 보안 요소 등 Annex IV 해당 제품 인증기관 개입 평가

이미 시행 중인 취약점·사고 보고 의무

2026년 9월 11일부터 제조사에게 보고 의무가 생겼습니다. 대상은 두 가지입니다. 적극적으로 악용된 취약점(Actively Exploited Vulnerability). 그리고 중대 보안 사고(Severe Incident)입니다. ENISA 단일 보고 플랫폼(SRP)을 통해 보고해야 합니다.

1

조기 경보 (Early Warning).

인지 후 24시간 이내.

2

상세 통보 (Notification).

인지 후 72시간 이내.

3

최종 보고서 (Final Report).

악용된 취약점은 시정·완화 조치 제공 후 14일 이내. 중대 보안 사고는 상세 통보 후 1개월 이내.

CRA 제조사 의무 및 당사 지원 서비스

CRA 제조자 의무 당사 제공 서비스

1. CRA 부속서 I(Annex I)에 규정된 필수 사이버보안 요구사항 충족.

  • 알려진 악용 가능 취약점이 없는 상태로 출시.
  • 기본 보안 설정(Secure by Default) 적용.
  • 인증 및 접근 제어 기능 구현.
  • 데이터 및 통신 보호를 위한 암호화 적용.
  • 공격 표면 및 불필요한 기능 최소화.

근거 조항: 제13조 제1항, Annex I Part I.

CRA Annex I 요구사항별 사이버보안 시험.

  • CRA Annex I 요구사항을 직접 기준으로 시험 설계. 제품의 기능·인터페이스·위험평가 결과를 반영.
  • 인증·접근 제어, 데이터 보호, 공격 표면, 업데이트 보안 등 항목별 시험 수행.
  • 요구사항별 시험 항목, 시험방법, 판정 기준, 결과 및 증적을 매핑한 시험 보고서 제공.

2. 소프트웨어 구성요소 관리(SBOM).

  • 제품에 포함된 소프트웨어 구성요소를 식별하고 문서화.
  • 소프트웨어 자재명세서(SBOM) 작성·관리.
  • 시장감시당국의 정당한 요청에 대응할 수 있도록 관련 자료 준비.

근거 조항: 제13조 8·22·25항, Annex I Part II (1), Annex VII (2)(b)·(8).

기술문서 수립.

  • 소프트웨어 구성요소 명세서(SBOM) 준비 지원.

3. 보안 업데이트 및 지원 기간 설정.

  • 제품 특성 및 예상 사용 기간을 고려해 보안 지원 기간 설정. 최소 5년 원칙, 사용 기간이 짧으면 예외 적용.
  • 지원 기간 동안 확인된 취약점 처리 및 보안 업데이트 무료 제공.
  • 배포된 보안 업데이트는 배포 후 10년 또는 남은 지원 기간 중 더 긴 기간 동안 제공 가능 상태로 유지.

근거 조항: 제13조 8·9항, Annex I Part II (2)(7)(8).

출시 후 보안 관리 지원.

  • 보안 업데이트 및 취약점 관리 체계 수립 지원.
  • 제품 변경에 따른 보안 재시험 및 문서 갱신 지원.
  • 제품의 실질적 변경 여부 검토 지원.
  • 취약점 대응 절차 및 보안 지원 기간 관리 지원.
  • 필요에 따라 ISO/IEC 27001 기반 정보보호 관리체계와 연계 지원.

4. 취약점 관리 및 보고 체계 구축.

  • 조정된 취약점 공개(CVD) 정책 수립.
  • 취약점 신고 채널 마련.
  • 취약점 식별·분석·조치 절차 수립.
  • 지원 기간 동안 취약점 대응 및 후속 조치 수행.

근거 조항: 제13조 7·8·17항, 제14조, 제16조, Annex I Part II (1)~(6).

기술문서 수립.

  • 취약점 관리 절차 및 CVD 정책 수립 지원.

출시 후 보안 관리 지원.

  • 보안 업데이트 및 취약점 관리 체계 수립 지원.
  • 취약점 대응 절차 및 보안 지원 기간 관리 지원.

취약점 및 보안 사고 보고 지원.

  • CRA 보고 대상 취약점 및 중대 보안 사고 해당 여부 검토 지원.
  • 보고 자료 작성 및 제출 준비.
  • ENISA 단일 보고 플랫폼(SRP)을 통한 보고 업무 지원.
  • 후속 조치 및 최종 보고 자료 준비 지원.

※ CRA 상 보고 의무자는 제조사입니다. 제조사의 위임을 받은 범위에서 보고 업무를 지원합니다.

5. 기술문서 작성 및 적합성 입증.

  • 사이버보안 위험 평가 수행 및 문서화.
  • CRA 부속서 VII(Annex VII)에 따른 기술문서 수립.
  • 적합성 선언(EU Declaration of Conformity).
  • 기술문서와 적합성 선언서를 출시 후 10년 또는 지원 기간 중 더 긴 기간 동안 보관.

근거 조항: 제13조 2·3·4·12·13항, 제28조, 제31조, Annex V·VII.

CRA 적용 범위 및 사전 진단.

  • 제품 정보 기반 CRA 적용 대상 여부 검토.
  • 제품 유형 및 분류 근거 검토.
  • 예상 적합성 평가 경로 안내.

기술문서 수립.

  • 사이버보안 위험 평가 자료 작성.
  • 소프트웨어 구성요소 명세서(SBOM) 준비.
  • CRA Annex VII 기반 기술문서 수립.
  • 취약점 관리 절차 및 CVD 정책 수립 지원.
  • EU 적합성 선언서 작성에 필요한 자료 검토.

EU 대리인 선임 및 규제기관 의사소통(요청 시).

  • 기술문서 보관(출시 후 10년 또는 지원기간) 및 당국 요청 시 제출.
  • 시장감시당국의 시정조치·위험 제거 요청에 대한 협조.
  • 대리인 소재국 CSIRT 보고 창구 및 후속 문의 대응 지원.
  • EU 적합성 선언서에 대리인 명칭·주소 기재.
  • 라벨·동봉문서에 EU 연락처 추가 표기.

6. 적합성 평가 및 CE 마킹.

  • 제품 유형 및 분류에 맞는 적합성 평가 경로 확인.
  • 해당되는 경우 자체 적합성 평가 또는 제3자 적합성 평가 수행.
  • 적합성 인증 후 EU 적합성 선언서 작성 및 CE 마킹 부착.

근거 조항: 제13조 12항, 제14조 7항, 제18조, 제28~32조, Annex VIII.

CRA 적용 범위 및 사전 진단.

  • 제품 정보 기반 CRA 적용 대상 여부 검토.
  • 제품 유형 및 분류 근거 검토.
  • 예상 적합성 평가 경로 안내.

적합성 평가 대응.

  • 제품 분류 및 적합성 평가 경로 검토.
  • 자체 적합성 평가 가능 여부 및 제3자 평가 필요성 검토.
  • 필요한 경우 인증기관(Notified Body) 평가 대응 지도.
  • 평가 결과에 따른 기술 자료 보완.

ISO/IEC 17025 기반 사이버보안 시험 역량

당사는 CRA Annex I 요구사항 자체를 시험 기준으로 삼습니다. 제품별로 시험 항목을 설계하고 요구사항별 결과를 보고합니다.

시험은 미국 공인 ISO/IEC 17025 시험소의 역량을 바탕으로 수행합니다. 시험방법·판정 기준·결과를 명시한 시험성적서를 제공하죠. 인정 범위 내 항목은 공인 시험성적서로 발급할 수 있습니다.

시험 분야 주요 시험 내용 Annex I 시험 기준
하드웨어 보안 펌웨어 무결성, 디버그 인터페이스, Secure Boot, 물리 접근 보호 I (2)(d), (f), (j), (k)
웹·API 보안 인증·세션 관리, 입력값 검증, 접근통제 I (2)(d), (e), (j), (k)
모바일 앱 보안 앱 저장소, 인증, 통신 보호, 앱 위변조 I (2)(d), (e), (f)
클라우드·원격 처리 통신 암호화, API 접근통제, 서비스 가용성 I (2)(d), (e), (h), (i)
취약점 평가 CVE, 구성요소 취약점, SBOM 분석 I (2)(a), II (1)~(3)
업데이트 보안 업데이트 서명 검증, 배포 보안, 변조 방지 I (2)(c), II (7)

※ CRA Annex I 요구사항은 제품 시험 및 문서·절차 검토로 확인합니다. 시험성적서는 적합성 평가와 기술문서의 근거자료로 활용할 수 있습니다. 단, 시험성적서가 CRA 적합성 인정이나 CE 마킹을 보장하지는 않습니다.

맺음말

사이버복원력법(CRA)은 EU 디지털 제품 수출 기업의 필수 확인 규정입니다. 대응 절차는 체계적으로 준비해야 합니다. 적용 여부 확인부터 시험, 기술문서, 적합성 평가까지 이어지죠. 제품 특성에 따라 절차와 소요 기간이 달라질 수 있습니다.

⚠️ 대응이 늦어질수록 준비 기간이 부족해집니다. 추가 비용 발생 가능성도 높아지죠. 출시 직전 준비는 설계 변경이나 재시험으로 이어질 수 있습니다. 제품 개발 초기부터 CRA 요구사항을 반영하는 것이 중요합니다.

제품별 CRA 적용 여부와 분류 근거가 궁금하신가요? 적합성 평가 경로와 준비 문서도 미리 확인할 수 있습니다. 아래 CRA 준비도 진단에서 확인해 보세요. 대응 방향을 미리 파악하면 보다 체계적으로 준비할 수 있습니다.

이상으로 사이버복원력법(CRA)에 대한 정리였습니다. 감사합니다.

CRA 적용 여부 확인부터 Annex I 시험, 기술문서 수립까지. 도움이 필요하시다면 언제든지 문의해 주세요. 성심성의껏 답변하고 도움드리겠습니다.

핵심 요약

  • EU 사이버복원력법(CRA)에 따라 2027년 12월 11일부터 필수 사이버보안 요구사항을 충족하고 CE 마킹을 받지 못한 디지털 요소 포함 제품은 EU 시장에 출시할 수 없으며, 취약점·중대 보안 사고 보고 의무는 2026년 9월 11일부터 이미 적용되고 있습니다. 위반 시 최대 1,500만 유로 또는 전 세계 연매출의 2.5% 중 높은 금액의 벌금과 출

#사이버보안#사이버복원력법#CE마킹#CRA#EU사이버보안규제#SBOM

자주 묻는 질문

CRA는 언제부터 적용되나요?

취약점·중대 보안 사고 보고 의무는 2026년 9월 11일부터 이미 적용되고 있습니다. 필수 사이버보안 요구사항, 적합성 평가, CE 마킹 의무는 2027년 12월 11일부터 적용되며, 이 날짜 이후에는 CRA를 준수하지 않은 제품을 EU 시장에 출시할 수 없습니다.

인터넷에 연결되지 않는 제품도 CRA 적용 대상인가요?

네, 해당할 수 있습니다. CRA는 EU 시장에 상업적으로 공급되는 디지털 요소 포함 하드웨어·소프트웨어 중 다른 장치나 네트워크와 직·간접 데이터 연결이 가능한 제품에 적용됩니다. 인터넷뿐 아니라 USB, 유선 통신, 소프트웨어 인터페이스를 통한 연결도 포함됩니다.

CRA를 위반하면 벌금은 얼마인가요?

Annex I 필수 요구사항이나 제조자·보고 의무를 위반하면 최대 1,500만 유로 또는 전 세계 연매출의 2.5% 중 높은 금액이 부과될 수 있습니다. 기술문서·CE 마킹 등 기타 의무 위반은 최대 1,000만 유로 또는 2%, 당국에 부정확한 정보를 제공한 경우는 최대 500만 유로 또는 1%입니다. 벌금과 별도로 시정 명령, 출시 금지, 회수·리콜 조치도 받을 수 있습니다.

함께 보면 좋은 글