사이버보안 서류, 인허가 제출 후에 바뀌면 변경 허가를 다시 받아야 하나요?

결론부터 말씀드리면, 인허가 이후 사이버보안 관련 변경이 발생하더라도 모든 경우에 변경 허가를 다시 받아야 하는 것은 아니며, 해당 변경이 제품의 안전성, 성능, 사이버보안에 미치는 영향 수준에 따라 판단해야 합니다. 펌웨어 업데이트나 라이브러리 버전 변경으로 SBOM이나 침투 테스트 결과가 달라질 수는 있으나, 이러한 변경이 기능, intended use, 성능 또는 보안 수준에 중대한 영향을 주지 않는 경우에는 내부 변경 관리 절차를 통해 처리할 수 있습니다. 반면 기능 변경, 아키텍처 변화, 새로운 취약점 발생 등과 같이 제품의 안전성이나 사이버보안 수준에 영향을 줄 수 있는 경우에는 FDA 제출 또는 EU MDR 기준에 따른 Notified Body 보고 등 추가적인 인허가 절차가 필요할 수 있습니다. 따라서 모든 변경에 대해 일괄적으로 재허가 여부를 판단하기보다는, 변경 사항에 대한 영향도 분석과 리스크 평가를 선행하고, 그 결과에 따라 내부 관리 또는 인허가 변경 절차 진행 여부를 결정하는 것이 중요합니다. 또한 재허가 대상이 아닌 경우에도 SBOM 업데이트, 보안 테스트 재수행, 변경 이력 관리 등 관련 문서는 지속적으로 유지 및 관리해야 합니다.