핵심 POINT
CRA의 주요 의무는 2027년 12월부터 적용되지만, 실제 악용 취약점과 중대 보안사고에 대한 제조사 보고 의무는 2026년 9월 11일부터 먼저 시작됩니다.
보고 기한은 ‘인지 시점’을 기준으로 움직입니다. 실제 악용 취약점과 중대 사고는 원칙적으로 24시간 이내 조기경보, 72시간 이내 본통지가 필요합니다.
국내 기업은 EU 판매 여부만 확인할 것이 아니라 제품 범위, 제조자 역할, 내부 인지 시점, 제품·버전·영향·완화조치 정보를 누가 모으고 누가 보고할지까지 운영 절차로 정리해야 합니다.
EU 사이버복원력법(Cyber Resilience Act, CRA)은 디지털 요소가 포함된 제품의 사이버보안을 제품 설계부터 지원 기간까지 관리하도록 요구하는 EU 규정입니다. CRA의 주요 의무는 2027년 12월 11일부터 본격 적용되지만, 제조사의 취약점·중대 보안사고 보고 의무는 이보다 앞선 2026년 9월 11일부터 적용됩니다.
국내 기업에도 중요한 이유는 CRA가 기업의 소재지보다 EU 시장에 어떤 디지털 제품을 제공하는지를 중심으로 적용 범위를 판단하기 때문입니다. EU 고객에게 자체 브랜드 소프트웨어나 연결형 하드웨어를 공급하는 기업이라면 제품 범위와 경제운영자 역할을 먼저 확인할 필요가 있습니다.
이번 글에서는 모든 취약점을 일괄적으로 신고하는 규정으로 오해하지 않도록 보고 대상과 24·72시간 기한을 구분하고, 실제 사고가 발생했을 때 제품보안·개발·고객지원·법무 조직이 무엇을 준비해야 하는지 실무 관점에서 정리합니다.
■ 9월 11일부터 먼저 시작되는 CRA 보고 의무
출처: AI(ChatGPT) 생성 이미지
이번에 먼저 시작되는 것은 CRA 제14조의 보고 의무입니다. 제조사가 제품에 포함된 실제 악용 취약점을 인지하거나 제품 보안에 중대한 영향을 주는 사고를 인지한 경우 ENISA가 운영하는 Single Reporting Platform(SRP)을 통해 신고해야 합니다.
중요한 점은 ‘CRA 전체가 2026년 9월 11일부터 전면 적용된다’는 의미는 아니라는 것입니다. 제품의 필수 사이버보안 요구사항과 적합성 관련 주요 의무는 2027년 12월부터 적용되지만, 보고 체계는 그보다 먼저 실제 운영할 수 있는 상태여야 합니다.
■ 모든 취약점이 아니라 ‘실제 악용’과 ‘중대 사고’를 구분
출처: AI(ChatGPT) 생성 이미지
CRA 보고 대상은 발견된 모든 보안 취약점이 아닙니다. 첫 번째 대상은 실제 악용 중인 취약점(Actively Exploited Vulnerability)입니다. 악의적 행위자가 실제로 해당 취약점을 악용했다는 신뢰할 수 있는 근거가 있는 경우가 여기에 해당합니다.
두 번째는 디지털 제품의 보안에 영향을 주는 중대 사고(Severe Incident)입니다. 제품이 중요 데이터나 기능의 가용성·진본성·무결성·기밀성을 보호하는 능력을 훼손하거나, 제품 또는 사용자 시스템에 악성코드가 유입·실행될 수 있는 정도의 사고라면 보고 대상 여부를 검토해야 합니다.
따라서 내부 취약점 관리 프로세스에서도 ‘취약점 발견’과 ‘실제 악용 확인’을 구분해 기록해야 합니다. 사고 대응 프로세스 역시 서비스 장애 자체만 보는 것이 아니라 제품 보안 기능과 사용자 환경에 미치는 영향을 함께 판단할 필요가 있습니다.
■ 24시간과 72시간, 사고 발생 후 정보를 모으면 늦을 수 있습니다
CRA 제14조에 따르면 제조사는 실제 악용 취약점이나 중대 사고를 인지한 뒤 지체 없이, 원칙적으로 24시간 이내 조기경보를 제출해야 합니다. 이어 72시간 이내에는 제품 정보, 취약점 또는 사고의 성격, 현재까지 확인된 영향, 이미 적용한 조치와 사용자가 취할 수 있는 완화조치 등을 포함한 보다 구체적인 통지가 필요합니다.
실제 악용 취약점은 시정 또는 완화조치가 제공된 후 14일 이내 최종 보고가 필요하고, 중대 사고는 72시간 통지 후 1개월 이내 최종 보고가 요구됩니다. 제조사는 필요한 경우 영향받은 사용자에게 취약점이나 사고 사실과 사용자가 적용할 수 있는 완화·시정조치도 안내해야 합니다.
실무적으로 가장 중요한 값은 ‘언제 알게 되었는가’입니다. 보안팀이 침해 징후를 처음 확인한 시점, 외부 연구자나 고객이 실제 악용 사실을 제보한 시점, 공급망 파트너로부터 통보받은 시점이 뒤섞이면 24시간 기한을 계산하기 어렵습니다. 사고 티켓이나 관리 시스템에 최초 인지 시점을 명확히 남기는 절차가 필요합니다.
■ EU에 디지털 제품을 공급한다면 제품 범위와 제조자 역할부터 확인
CRA는 EU 시장에 제공되는 ‘디지털 요소가 포함된 제품’을 대상으로 합니다. 소프트웨어 또는 하드웨어와 원격 데이터 처리 솔루션 등이 포함될 수 있으며, 제품이 네트워크나 다른 기기와 직접 또는 간접적으로 연결되는 경우 적용 범위 검토가 필요합니다.
제조자는 일반적으로 제품을 자신의 이름이나 상표로 EU 시장에 제공하는 자연인 또는 법인을 의미합니다. 따라서 국내 기업이라도 EU 고객에게 자체 브랜드 소프트웨어나 연결형 하드웨어를 공급하는 경우 CRA 적용 가능성을 살펴봐야 합니다.
다만 실제 적용 여부는 제품 유형, 경제운영자 역할, 다른 EU 법령과의 관계, 적용 제외 여부 등에 따라 달라질 수 있습니다. ‘EU에 판매한다’는 사실만으로 적용을 단정하기보다 제품·유통 구조를 기준으로 법무·컴플라이언스와 함께 범위를 확인하는 것이 바람직합니다.
■ 오늘부터 점검할 CRA 보고 대응 체크포인트
• EU 시장에 제공되는 디지털 제품 목록과 제품별 버전·지원 기간을 정리합니다.
• 우리 회사가 해당 제품의 제조자인지, 수입자·유통자 등 다른 역할인지 구분합니다.
• PSIRT·SOC·개발·고객지원·법무가 ‘실제 악용’ 또는 중대 사고를 인지했을 때 누구에게 즉시 에스컬레이션하는지 정합니다.
• 최초 인지 시각을 기록하고 24시간·72시간 기한을 계산할 수 있도록 사고 티켓 필드를 준비합니다.
• 제품명·버전·영향 범위·취약점 성격·현재 조치·사용자 완화조치 정보를 빠르게 수집할 수 있는 보고 템플릿을 만듭니다.
• ENISA SRP 제출 담당자와 백업 담당자를 정하고 EU Login과 MFA 등 접근 준비 상태를 확인합니다.
• 외부 라이브러리나 서드파티 구성요소에서 실제 악용 취약점이 발생했을 때 공급업체 통보를 내부 제품 영향 판단으로 연결하는 절차를 확인합니다.
• 보고와 별도로 영향받은 사용자에게 어떤 기준과 승인 절차로 보안 안내를 전달할지 준비합니다.
ENISA는 초기 SRP에서 제조사의 의무 보고를 지원하며, 초기 공개 시점에는 대량 제출용 API가 제공되지 않는다고 안내하고 있습니다. 내부 데이터 수집과 승인 흐름은 자동화할 수 있어도 실제 제출 단계의 담당자와 절차를 별도로 정해두는 편이 안전합니다.
■ 규제 대응보다 먼저 필요한 것은 ‘제품 보안 운영’ 연결
CRA 보고 기한은 보안팀만의 속도로 맞추기 어렵습니다. 실제 악용 여부는 보안 또는 PSIRT가 판단하고, 영향 제품과 버전은 개발·제품팀이 확인하며, 고객 영향은 서비스·고객지원 조직이 파악해야 합니다. 법무·컴플라이언스는 보고 의무와 제출 범위를 검토해야 합니다.
핵심은 새로운 보고서를 하나 만드는 것이 아니라 기존 취약점 관리와 사고 대응, 제품 자산관리, 공급망 관리, 사용자 커뮤니케이션을 하나의 시간표로 연결하는 것입니다. 24시간 조기경보에 필요한 최소 정보와 72시간 통지에 필요한 추가 정보를 미리 구분해 두면 실제 사고가 발생했을 때 조사와 보고를 병행하기가 수월해집니다.
현재 EU에 제품을 공급하고 있다면 ‘우리 제품이 CRA 대상인가?’ 다음 질문은 ‘실제 악용 사실을 오늘 오전 알게 됐을 때 내일 오전까지 누가 무엇을 제출할 수 있는가?’가 되어야 합니다. 이 질문에 답하기 어렵다면 지금이 내부 보고 체계를 점검할 시점입니다.
■ 자주 묻는 질문
Q1. 제품에서 발견된 모든 취약점을 24시간 안에 보고해야 하나요?
A. 아닙니다. CRA 제14조의 의무 보고 대상은 제조사가 인지한 ‘실제 악용 중인 취약점’과 제품 보안에 영향을 주는 ‘중대 사고’입니다. 발견만 된 취약점과 실제 악용이 확인된 취약점을 내부 프로세스에서 구분할 필요가 있습니다.
Q2. 2026년 9월 11일부터 CRA 전체 의무가 적용되는 건가요?
A. 아닙니다. 보고 의무가 2026년 9월 11일부터 먼저 적용되고, CRA의 주요 제품 사이버보안 의무는 2027년 12월 11일부터 적용됩니다.
Q3. EU 법인이 없는 국내 기업도 확인해야 하나요?
A. CRA는 EU 시장에 제품을 제공하는지를 중심으로 적용 범위를 판단합니다. EU 내 주된 사업장이 없는 제조사를 위한 보고 CSIRT 결정 규칙도 마련돼 있습니다. 다만 실제 적용 여부는 제품과 유통 구조, 회사의 역할에 따라 달라질 수 있어 개별 검토가 필요합니다.
Q4. 2027년 이전에 이미 판매한 제품도 보고 대상이 될 수 있나요?
A. 유럽연합 집행위원회와 ENISA 안내에 따르면 CRA 범위에 해당하며 EU 시장에 제공된 디지털 제품의 보고 의무는 기존에 출시된 제품에도 적용될 수 있습니다. 다만 세부 적용 범위는 제품 상황을 확인해야 합니다.
Q5. SRP 보고를 API로 자동화할 수 있나요?
A. ENISA는 조직 내부의 보고 워크플로 자동화는 가능하지만 SRP 초기 공개 시점에는 제출용 API가 제공되지 않는다고 안내하고 있습니다. 따라서 내부 데이터 수집·승인 자동화와 플랫폼 최종 제출 절차를 구분해 설계하는 것이 좋습니다.
[콘텐츠 출처]
European Commission, Cyber Resilience Act - Reporting obligations
European Commission, The Cyber Resilience Act - Summary of the legislative text
EUR-Lex, Regulation (EU) 2024/2847, Article 14
ENISA, CRA Single Reporting Platform Frequently Asked Questions
