본문
QnA & 공지사항
시험 및 인증에 대한 Q&A와
신규 공지사항을 알려드립니다.
SCROLL
[CE] CRA의 Single Reporting Platform은 언제부터 운영되며, 어떤 내용을 보고할 수 있나요?
CRA Single Reporting Platform은 2026년 9월 11일부터 운영을 시작했으며, CRA Article 14에 따른 보고 의무도 같은 날부터 적용되고 있습니다. 현재 제조자는 해당 플랫폼을 통해 제품에서 발생한 적극적으로 악용되는 취약점(Actively Exploited Vulnerability) 및 심각한 보안 사고(Severe Incident)를 의무적으로 보고해야 합니다.
Open-source Software Steward의 경우 Article 24(3)에 따른 동일한 보고 의무가 2027년 12월 11일부터 적용됩니다.
한편, Article 15에서는 Voluntary Reporting(자발적 보고) 제도를 규정하고 있습니다. 이는 의무 보고 대상에 해당하지 않더라도 제품의 취약점, 사이버 위협, 보안 사고 또는 사고로 이어질 수 있었던 상황(Near Miss) 등을 ENISA에 자발적으로 보고할 수 있도록 하는 제도입니다.
현재 Single Reporting Platform에서는 Article 14에 따른 의무 보고 기능만 지원하고 있으며, Voluntary Reporting 기능은 향후 추가될 예정입니다.
[CE] CRA에서는 제품에 모든 취약점이 없어야 하나요?
CRA는 제조자에게 제품의 모든 취약점(Vulnerability)을 완전히 제거할 것을 요구하지 않습니다. CRA Annex I에서는 제조자가 제품을 시장에 출시하는 시점에 Cybersecurity Risk Assessment 결과를 바탕으로, 해당되는 경우 제품에 알려진 악용 가능한 취약점(Known Exploitable Vulnerability)이 없도록 해야 한다고 규정하고 있습니다.
여기서 Exploitable Vulnerability란 단순히 존재하는 취약점이 아니라, 실제 제품의 운영 환경에서 공격자가 현실적으로 악용할 가능성이 있는 취약점을 의미합니다. 따라서 이론적으로만 악용할 수 있거나 실험실·시뮬레이션과 같은 제한적인 조건에서만 재현 가능한 취약점은 실제 운영 환경에서 악용 가능한 취약점으로 판단되지 않을 수 있습니다. 따라서 악용 가능 여부는 제품의 사용 환경, 접근 조건, 취약한 코드의 실제 실행 여부, 기존 보안 조치 등을 고려해 제품별로 판단해야 합니다.
[JAPAN] TELEC/JATE 인증 당시 제출한 Label 자료와 실제 양산 제품의 라벨 도안이 일부 변경되는 경우, 변경신고가 필요한가요?
인증 시 제출한 라벨은 Sample 자료이므로, 양산 시 일부 디자인 변경이 있어도 변경신고는 필요하지 않습니다. 단, GITEKI Mark, R/T-square 및 인증번호는 명확히 식별 가능해야 하며, 라벨은 쉽게 손상되지 않는 재질을 사용해야 합니다.