안녕하세요. 현재 동일 제품으로 FDA 510(k)와 EU MDR 인증을 함께 진행 중인데, 사이버보안 요건이 두 곳이 달라서 서류를 아예 별도로 준비해야 하는지 궁금해서 문의드립니다. SBOM 형식이 FDA랑 EU MDR이 다르다고 하던데, 하나로 통일해서 쓸 수 있는 건지요?
결론부터 말씀드리면, 서류를 완전히 따로 만들 필요는 없습니다. 공통 기반으로 하나를 먼저 만들고, 각 기관 요건에 맞게 일부 보완하는 방식이 가장 효율적입니다. SBOM도 마찬가지입니다. SPDX나 CycloneDX 같은 표준 포맷으로 작성해두면 양쪽에 그대로 활용할 수 있습니다. 다만 두 기관이 보는 포인트가 조금 다릅니다. FDA는 기술적 상세 수준과 제출 요건이 명확하게 정해져 있고, EU MDR은 리스크 관리 파일, 사후 시판 감시(PMS)와 얼마나 잘 연계되어 있는지를 더 중요하게 봅니다. 그래서 현실적인 전략은 FDA 기준으로 핵심 문서를 먼저 완성하고, EU MDR 제출 시에는 리스크 관리 및 PMS 연계 부분을 보완하는 순서로 진행하는 것입니다.