EU Cyber Resilience Act (EU CRA)

1. 개요

Cyber Resilience Act(CRA)는 EU Regulation (EU) 2024/2847로 제정된 사이버보안 법률로, 유럽연합(EU) 시장에서 판매되는 디지털 요소(Products with Digital Elements, PDE)를 포함하는 모든 제품에 대해 공통적인 사이버보안 요구사항을 규정한 법이다.

EU CRA는 2024년 10월 23일 채택되었으며 2024년 12월 10일부터 발효되었고, 2027년 12월 11일부터 전면 적용된다.

EU CRA는 기존의 CE 마킹 제도처럼 사이버보안을 제품의 필수 안전요건으로 규정하고 있으며, CRA의 요구조건을 만족하는 제품은 CE마킹을 하고 판매하게 된다. EU에 진입하기 위한 CE나 RoHS 등에서 요구하는 전기안전, 전자파 적합성, 환경과 인체안전 등과 비슷하게 CRA의 요구사항도 EU 시장 진입을 위한 필수 요건이 된다.

 

CRA의 핵심 목표는 다음과 같다.

a. 하드웨어와 소프트웨어 제품이 취약점이 적은 상태로 시장에 출시되도록 보장하고, 제조업체가 제품의 수명 주기 전반에 걸쳐 보안을 진지하게 고려하도록 하여 디지털 요소가 포함된 안전한 제품 개발 조건을 조성

b. 사용자가 디지털 요소를 포함한 제품을 선택하고 사용할 때 사이버 보안을 고려할 수 있는 조건을 만드는 것.

 

이에 따른 다음의 4가지 목표가 제시된다.

a. 제조업체가 설계 및 개발 단계부터 전 생애 주기 전반에 걸쳐 디지털 요소를 갖춘 제품의 보안을 향상시키도록 보장

b. 하드웨어 및 소프트웨어 제조업체의 준수를 촉진하는 일관된 사이버보안 프레임워크를 보장

c. 디지털 요소를 포함한 제품의 보안 특성 투명성을 강화

d. 기업과 소비자가 디지털 요소가 포함된 제품을 안전하게 사용할 수 있도록 지원

 

CRA법에는 규제뿐 아니라, EU내 소기업에 대한 보호, 규제 샌드박스, EU 외 국가의 시험기관 등에 대한 상호인증이 가능하도록 규정하고 있다.

 

2. 적용 대상

CRA는 Products with Digital Elements(PDE, 디지털 요소를 가진 모든 제품)을 대상으로 하며, 다음과 같은 제품이 포함된다.

 

컴퓨터, 서버, 운영체제, 응용 소프트웨어, IoT 기기, 스마트 가전, 산업용 제어장치

PLC, 로봇, 드론, 자동차 전장부품, 의료기기 소프트웨어, 네트워크 장비, 산업용 센서

클라우드와 연계되는 임베디드 제품 등

단, 국가안보 목적의 일부 제품, 특정 의료기기·항공·자동차 등 다른 EU 법령에서 동일한 수준 이상의 사이버보안 요구사항을 받는 분야는 일부 예외 또는 중복 조정이 적용된다.

 

 

출처 www.digi.com

 

3. 제조자의 주요 의무

CRA는 제조자(Manufacturer)의 책임을 제품 출시 이전뿐 아니라 제품의 전체 생애주기(Lifecycle)로 확대하고 있으며, 주요 의무는 다음과 같다.

 

(1) Secure by Design

제품 개발 초기부터 보안을 고려하여 설계해야 하며, 최소 권한 원칙, 안전한 기본설정(Secure by Default), 안전한 인증, 암호화, 접근통제, Secure Boot 등을 설계단계부터 적용해야 한다.

 

(2) 취약점 관리(Vulnerability Management)

제품 출시 후에도 취약점 수집, 분석, 위험평가, 패치 제공 등을 지속적으로 수행해야 한다.

이는 "판매 후 책임 종료"가 아니라 지속적인 보안 유지 의무를 의미한다.

(3) 보안 업데이트

제품의 예상 사용기간 또는 최소 법령상 요구기간 동안 보안 업데이트를 제공해야 한다.

사용자는 업데이트 가능 여부와 지원 기간에 대한 정보를 제공받아야 한다.

 

(4) 기술문서 작성

제조자는 제품 설명, 위험분석, 보안설계, 시험결과, 취약점 대응 정책, 소프트웨어 구성 정보(SBOM 등), 적합성 선언(EU Declaration of Conformity) 등의 기술문서를 준비해야 하고, 시장감독기관의 요청 시 제출할 수 있어야 한다.

 

4. 필수 사이버보안 요구사항

CRA Annex I에서는 제품이 충족해야 하는 필수 보안 요구사항을 제시하며, 다음의 내용을 포함한다.

알려진 취약점 없이 제품 제공, 기본 보안 설정 적용, 불필요한 공격면 최소화, 강력한 인증 기능, 데이터 보호, 안전한 저장, 안전한 통신, 무결성 보호, 접근 권한 관리, 이벤트 로그, 보안 업데이트, 취약점 관리 프로세스 운영 등

이것은 즉, 제품 자체뿐 아니라 개발·운영·유지보수 체계 전체를 평가 대상으로 삼는 것을 의미한다.

 

5. 적합성 평가(Conformity Assessment)

제품을 EU 시장에 판매하려면 CRA 적합성 평가를 수행해야 하는데, 평가 방법은 제품 위험도에 따라 달라진다.

대표적으로

내부 생산관리(Self Assessment), EU Type Examination, Full Quality Assurance 등의 절차가 사용된다.

평가가 완료되면 EU Declaration of Conformity 작성, CE Marking 부착이 가능해진다.

 

6. 경제주체(Economic Operators)의 책임

CRA는 제조사뿐 아니라 공급망 전체에 책임을 부여하는데, 제조자(Manufacturer), 제품 개발, 보안설계, 기술문서, 취약점 관리, 업데이트 제공, 수입업체(Importer), 적합성 확인, 필요한 문서 확보, 비적합 제품 유통 방지, 유통업체(Distributor), CE 마킹 확인, 문서 확인, 문제 발생 시 판매 중지를 포함하는데 이것은 즉 공급망 전체가 공동으로 책임을 지는 것을 의미한다.

 

7. 사고 및 취약점 보고

CRA의 중요한 특징 중 하나는 보고 의무이다.

제조자는 적극적으로 악용되는 취약점, 심각한 보안사고 등을 인지한 경우 ENISA(유럽연합 사이버보안청)의 지정 체계를 통해 24시간 이내 초기 보고를 해야 한다. 이후 추가 분석과 최종 보고를 제출하는 절차가 요구된다. 이 보고 의무는 2026년 9월부터 먼저 적용된다.

 

8. 벌칙

CRA 위반 시 상당한 행정벌이 부과될 수 있다.

주요 위반 사항은 필수 보안요구사항 미충족, 허위 적합성 선언, 보고 의무 미이행, 시장감독 협조 거부 등이며, 최대 제재는 1,500만 유로 또는 전 세계 연간 매출의 2.5% 중 더 큰 금액까지 부과될 수 있으며, 위반 유형에 따라 차등 적용된다.

 

9. 시행 일정

CRA의 주요 일정은 다음과 같다.

2024년 10월 CRA 채택, 2024년 12월 10일 법률 발효, 2026년 6월 11일 적합성평가기관 관련 규정 적용, 2026년 9월 11일 취약점·사고 보고 의무 적용, 2027년 12월 11일 CRA 전면 적용

​

출처 scythe-studio.com