안녕하세요. 저희 제품은 출시 이후 펌웨어 업데이트가 구조적으로 불가능한 기기입니다. 그런데 사이버보안 서류에 패치 및 업데이트 계획을 작성하라는 요건이 있어서요. 업데이트 기능 자체가 없는 경우에도 이 항목을 채워야 하는 건지, 아니면 해당 없음으로 처리해도 되는 건지 여쭤봅니다.
결론부터 말씀드리면, 업데이트 기능이 없는 경우에도 해당 항목을 단순히 “해당 없음(N/A)”으로 처리하는 것은 권장되지 않으며, 그에 대한 사유와 대체 통제 방안을 함께 명확히 기술하시는 것이 필요합니다. FDA 및 EU MDR 모두 사이버보안 취약점 대응(패치 및 업데이트)을 중요한 요소로 보고 있기 때문에, 실제 업데이트 기능이 없더라도 “어떻게 위험을 관리할 것인지”에 대한 설명은 반드시 요구됩니다. 따라서 구조적으로 업데이트가 불가능한 경우에는 그 사유와 설계 제한을 명확히 설명하고, 이에 따른 사이버보안 리스크를 평가해야 하며, 네트워크 차단, 물리적 통제, 사용 환경 제한, 제품 회수·교체 등과 같은 대체 대응 방안을 포함하여 취약점 발생 시 관리 전략을 문서화하는 것이 중요합니다.