← 뒤로

KNOWLEDGE HUB

EU 사이버 회복력법(CRA)

디지털 요소가 포함된 제품에 설계 단계부터 보안을 의무화하는 EU 최초의 수평적 법률 — 핵심 마감일이 코앞입니다: 2026년 9월 11일.

무엇인가

사이버 회복력법(Cyber Resilience Act, 규정 (EU) 2024/2847)은 '디지털 요소가 포함된 제품' — 산업용 PLC부터 상업적으로 배포되는 오픈소스 라이브러리까지, 네트워크에 연결되는 사실상 모든 하드웨어·소프트웨어 — 에 의무적인 사이버보안 요구사항을 부과하는 EU 최초의 수평적 규정입니다.

2024년 12월 10일 발효되었습니다. 제품이 어디서 제조되는지는 중요하지 않습니다 — 제조사의 본사 위치와 무관하게 EU 시장에 출시하는 행위 자체가 의무를 발생시킵니다.

왜 중요한가 (그리고 왜 지금인가)

자발적 표준인 62443이나 특정 산업에 한정된 CIP와 달리, CRA는 EU 27개 회원국 전체에 직접 적용되는 법률이며 실제 벌금이 따릅니다. EU向け 산업 제품을 제조하거나 통합하는 사람이라면 반드시 기억해야 할 날짜가 있습니다: 2026년 9월 11일부터 활발히 악용되는 취약점과 심각한 사고를 ENISA와 관할 국가 CSIRT에 보고해야 하는 의무가 시작됩니다 — 조기 경보 24시간, 트리아지 보고서 72시간, 최종 보고서 14일의 기한이 적용됩니다.

OT/ICS 세계에서 이는 직접적으로 관련이 있습니다: EU에서 판매되는 PLC, HMI, 산업용 스위치는 의심의 여지 없이 '디지털 요소가 포함된 제품'입니다.

어떻게 구성되어 있는가

• 제품 수명 주기 전반에 걸친 의무: 설계 단계부터의 보안, 지속적인 취약점 관리, 명시된 지원 기간(최소 10년의 문서 보관 포함).
• 사고 보고(제14조): 활발히 악용되는 취약점과 심각한 사고를 ENISA의 단일 보고 플랫폼을 통해 보고 — 이미 시장에 출시된 제품을 포함해 2026년 9월 11일부터 적용됩니다.
• 적합성 평가 및 CE 마킹: 중요도가 높은 제품은 판매 전 공인 기관의 평가가 필요합니다.
• 전면 적용: 2027년 12월 11일 — 적합성 평가, EU 적합성 선언, 기술 문서를 모두 완료해야 하는 기한입니다.

모범 사례

• 2027년까지 기다리지 마라: 취약점 보고 의무는 시장에서 철수하지 않는 한 기존('레거시') 제품을 포함해 이미 2026년 9월부터 적용된다.
• 이미 알고 있는 62443 지식을 활용하라 — CRA의 조화 표준(2026년 3분기 예상, CEN/CENELEC/ETSI 경유)은 적합성 추정을 위해 IEC 62443-4-1과 4-2에 크게 의존할 것으로 예상된다. 이미 62443을 다루고 있다면 처음부터 시작하는 것이 아니다.
• 취약점 모니터링 프로세스와 SBOM 방식의 인벤토리를 지금 구축하라 — 이는 2026년 사고 보고와 2027년 완전한 준수 모두의 기반이 된다.

흔한 실수

• 회사가 EU에 본사가 없다는 이유로 CRA가 '나와 무관하다'고 생각하는 것 — 중요한 것은 공장의 위치가 아니라 EU 시장에 판매하는지 여부다.
• 2027년만 유일하게 중요한 날짜로 취급하고 사고 보고가 이미 2026년부터 의무화된다는 사실을 무시하는 것.
• 이미 시장에 출시된 제품은 영구적으로 면제된다고 가정하는 것 — 2027년 12월 이후의 실질적 변경은 적합성 의무를 다시 발생시킬 수 있다.