TOP
KO | EN
기술칼럼

본문

기술칼럼

Technical column

SCROLL

Cyber Resilience Act(CRA)
주요 제도 및 최근 동향 Summary

EU Cyber Resilience Act(CRA)는 EU 시장에 제공되는 디지털 제품의 Cybersecurity 요구사항을 규정하는 법령으로, 제품의 설계·개발 단계부터 출시 이후의 취약점 관리까지 전 생애주기에 걸친 Cybersecurity 의무를 제조사에 요구합니다.

CRA의 주요 제품 적합성 의무는 2027년 12월 11일부터 적용되지만, 취약점 및 보안사고에 대한 Reporting 의무는 2026년 9월 11일부터 먼저 시행되었습니다. 최근에는 EU Commission의 CRA 적용 Guidance, ENISA의 Single Reporting Platform(SRP), ETSI의 제품별 Vertical Standards가 연이어 공개되면서 CRA의 실제 적용 기준과 절차도 점차 구체화되고 있습니다.

본 내용에서는 이러한 최근 동향을 바탕으로 CRA의 적용범위와 제품 분류, Reporting 의무 및 SRP 운영방식, 제품별 Vertical Standards의 주요 내용을 정리하였습니다.

TECH 01
CRA 적용 범위 및 제품 분류 – EU Commission Guidance C(2026) 5252

EU Commission은 2026년 7월 27일 「C(2026) 5252 – Commission guidance on the application of the Cyber Resilience Act」를 발행하였습니다. 해당 Guidance는 CRA의 적용범위와 제품 분류, 제조사의 주요 의무 및 적합성평가 방향 등을 구체적으로 설명하고 있어, 실제 제품에 CRA를 적용할 때 참고할 수 있는 주요 자료입니다.

  • 1. CRA 적용범위
    구분 적용 방향 예시
    Hardware / Standalone Software Device 또는 Network와 연결되어 Digital Data를 주고받는 Hardware 또는 독립적으로 제공·실행되는 Software IoT 기기, 노트북, 태블릿, Mobile App, Desktop Software, Browser Extension
    Hardware + Software Hardware와 Software가 별도로 제공되더라도 서로 함께 사용되어 제품 기능을 수행하는 형태 Smart Wearable + Mobile App, Network Printer + Driver
    Web / Cloud 기능 Browser에서 사용하는 Web Service 또는 제품 기능을 원격에서 지원하는 Cloud·Server 기능 일반 Web App, Smart Thermostat Cloud, 원격 인증 Server
    Free & Open-source Software (FOSS) Source Code가 공개되고 자유로운 사용·수정·재배포가 허용되는 Software Open-source Library, Open-source OS, Community Software
    Complex System 여러 Hardware와 Software가 결합되어 하나의 기능을 수행하고 하나의 제품으로 시장에 제공되는 시스템 산업자동화 시스템, Connected Control System

    ※ FOSS의 경우에도 CRA 적용 여부를 판단할 때 제공 방식과 상업적 활동 여부 등 해당 제품의 실제 제공 형태를 함께 검토할 필요가 있습니다.

  • 2. 제품의 Class 및 적합성 평가
    CRA 적용 제품은 제품의 Intended Purpose를 수행하는 데 필수적인 Core Functionality를 기준으로 Default Product, Important Class I, Important Class II, Critical Product로 구분되며, 분류에 따라 적용 가능한 적합성평가 절차가 달라집니다.
    • [적합성 평가 Module]
    • • Module A: 제조사가 직접 적합성을 평가하고 책임지는 Self-assessment 방식
    • • Module B + C: Notified Body가 제품 Type을 평가(Module B)하고, 이후 제조사가 승인된 Type과 생산제품의 일치성을 관리하는 방식 (Module C)
    • • Module H: Notified Body가 제조사의 설계·개발·생산·품질보증체계 전체를 평가하는 방식
    [제품 Class별 분류 및 적합성평가]
    분류 대상 및 분류 기준 적합성평가
    Default Product Important 또는 Critical 제품군의 Core Functionality에 해당하지 않는 일반적인 CRA 적용 제품
    예: 일반 Connected Device, 일반 Analytics Software 등     		Module A 적용 가능
    Important – Class I Cybersecurity에 중요한 기능을 수행하며 CRA Annex III Class I에 지정된 제품군
    예: Browser, Password Manager, Antivirus, VPN, SIEM, Operating System, Router·Modem·Switch 등     		관련 Harmonised Standard가 Core Functionality의 Risk를 충분히 Cover하는 경우 Module A 가능. 그렇지 않은 경우 Module B+C 또는 Module H
    Important – Class II Class I보다 높은 중요도를 가지며 CRA Annex III Class II에 지정된 제품군
    예: Hypervisor, Container Runtime, Firewall, IDS/IPS 등     		Module B+C 또는 Module H 등 Third-party 적합성평가 필요
    Critical Product 보안상 특히 중요한 제품으로 CRA Annex IV에 별도로 지정된 제품군
    예: Hardware Security Box, Smart Meter Gateway, Secure Cryptoprocessing Device 등     		적용 가능한 경우 European Cybersecurity Certification Scheme 활용. 해당 조건을 충족하지 않는 경우 강화된 Third-party 적합성평가 적용
  • 3. Manufacturer 주요 의무
    CRA 적용대상 제품의 Manufacturer는 제품 개발 단계부터 시장 출시 이후까지 Cybersecurity를 지속적으로 관리해야 합니다. 주요 의무는 다음과 같습니다
    • • Cybersecurity Risk Assessment 및 Secure Design
    • • Third-party Component 및 External Dependency 관리
    • • Conformity Assessment 및 Technical Documentation
    • • Vulnerability Handling 및 지속적인 관리
    • • Reporting Obligation
    이 가운데 Reporting 의무는 다른 주요 제품 적합성 의무보다 먼저 시행되었기 때문에 현재 시점에서 우선적으로 확인해야 할 사항입니다.
TECH 02
CRA Reporting 의무 및 ENISA Single Reporting Platform(SRP)

CRA Article 14의 취약점·보안사고 Reporting 의무는 예정대로 2026년 9월 11일부터 시행되기 시작했으며, ENISA의 Single Reporting Platform(SRP)도 CRA Reporting 의무 적용일에 맞추어 같은 날 정식으로 시작되었습니다.

SRP는 제조사가 CRA에 따른 신고를 여러 국가기관에 각각 제출하는 대신 하나의 Platform을 통해 처리할 수 있도록 ENISA가 운영하는 EU 공통 Reporting 시스템입니다. 제조사는 신고 과정에서 관련 CSIRT designated as coordinator를 선택하게 되며, 원칙적으로 제조사의 main location of establishment를 기준으로 담당 CSIRT가 결정됩니다.

  • 1.보고 대상
    • 1) Actively Exploited Vulnerability(AEV): 악의적인 행위자가 시스템 소유자의 허가 없이 실제로 악용했다는 신뢰할 만한 증거가 있는 취약점
    • 2) Severe Incident(SI): 제품이 데이터 또는 기능의 가용성(Availability), 진정성(Authenticity), 무결성(Integrity), 기밀성(Confidentiality)을 보호하는 능력에 심각한 영향을 받는 보안사고
  • 2. 보고 기한
    제조사가 AEV 또는 SI를 인지한 경우에는 단계별 Reporting 기한을 준수해야 합니다. 먼저 부당한 지체 없이 24시간 이내 Early Warning을 제출해야 하며, 이후 72시간 이내에 일반 정보 및 초기 평가가 포함된 Notification을 제출해야 합니다. Final Report의 제출기한은 보고 유형에 따라 다릅니다.
    • · AEV: Patch 등 Corrective Measure가 제공된 날부터 14일 이내
    • · SI: 72시간 Notification 제출 후 1개월 이내
    즉, CRA Reporting은 최초 신고로 종료되는 것이 아니라 Early Warning → Notification → Final Report의 단계로 진행됩니다.
  • 3. SRP 운영방식
    SRP를 통해 신고를 수행하기 위해서는 제조사를 대신하여 신고를 제출하는 담당자인 Assigned Representative(AR)를 등록해야 합니다. 제조사별로 Primary AR 1명과 Secondary AR 최대 20명을 지정할 수 있습니다.

    Primary AR은 제조사 정보 및 AR 관리 권한을 가지며, 해당 제조사와 관련된 전체 신고 내역을 확인할 수 있습니다. Secondary AR도 신고 제출 및 Update가 가능하지만, 원칙적으로 본인이 제출한 신고 내역만 확인할 수 있습니다.

    AR 등록 및 SRP 운영에 대한 자세한 내용은 아래 ENISA 안내에서 확인할 수 있습니다.
    출처 : ENISA – Frequently Asked Questions: CRA Single Reporting Platform CRA의 주요 제품 적합성 의무는 2027년 12월 11일부터 적용되는 반면, Reporting 의무는 2026년 9월 11일부터 이미 적용되고 있다는 점입니다.

    따라서 2027년 12월 11일 이전에 EU 시장에 출시된 CRA 적용대상 제품도 Article 14 Reporting 대상이 될 수 있으므로, 신규 제품뿐만 아니라 기존 출시 제품에 대해서도 취약점 및 보안사고를 접수·판단·보고할 수 있는 내부 Reporting 체계를 마련할 필요가 있습니다.
TECH 03
ETSI, CRA Cybersecurity 17개 Draft Vertical Standards 공개

CRA의 법적 요구사항과 Reporting 체계가 구체화되는 것과 함께, 실제 제품의 Cybersecurity 적합성을 평가하기 위한 기술표준 개발도 진행되고 있습니다. ETSI는 2026년 8월 13일, CRA 대응을 위해 개발 중인 총 41개의 제품별 Cybersecurity 표준 중 17개의 Final Draft가 발표되었습니다. 해당 표준들은 향후 Harmonised Standard로 채택되어 제조사가 CRA 요구사항에 대한 Presumption of Conformity를 입증하는 데 활용되는 것을 목표로 합니다.

  • Draft Standard 대상 제품
    EN 304 617 Web Browser
    EN 304 618 Password Manager
    EN 304 619 Antivirus
    EN 304 620 Virtual Private Network (VPN)
    EN 304 621 Network Management System
    EN 304 622 Security Information and Event Management (SIEM)
    EN 304 623 Boot Manager
    EN 304 624 PKI / Digital Certificate Issuance Software
    EN 304 625 Physical and Virtual Network Interface
    EN 304 626 Operating System
    EN 304 627 Router, Modem intended for Internet Connection, Switch
    EN 304 631 Smart Home General-Purpose Virtual Assistant
    EN 304 632 Smart Home Product with Security Functionality
    EN 304 633 Internet-connected Toy
    EN 304 634 Personal Wearable
    EN 304 635 Hypervisor / Container Runtime System
    EN 304 636 Firewall, Intrusion Detection / Prevention System
    상기 17개 Draft를 통해 Router, Operating System, Firewall, VPN 등 CRA Important Product와 연관된 제품군에 대해 제품별 Cybersecurity 요구사항이 구체화되고 있습니다. 따라서 향후 제품이 CRA Class I 또는 Class II에 해당하는 경우에는 해당 Vertical Standard의 적용 가능 여부와 Harmonised Standard 채택 여부를 확인할 필요가 있습니다. 자세한 draft 규격은 하기 문서에서 확인하실 수 있습니다. 출처 : ETSI CYBER/EUSR – 17 Enquiry Drafts
TECH 04
CRA 주요 일정

CRA 관련 주요 일정은 다음과 같습니다. 개발 일정은 변경될 가능성이 있습니다.

  • 날짜 내용
    2024.12.10 CRA 발효
    2025.12.11 제품 Category별 Technical Description 확정 예정
    2026.06.11 Notified Body 관련 규정 적용
    2026.08.30 주요 Horizontal Standards 개발 기한
    * Commission은 2026년 7월 7일 M/606의 일정을 수정하는 Draft Amendment를 공개하였으며, 해당 Draft에서는 해당 기한을 2026년 10월 31일로 약 2개월 연기하는 방안이 제안됨
    2026.09.11 CRA Reporting 의무 시행
    2026.10.30 Vertical Standards 개발 기한
    * 2026년 7월 Commission Draft Amendment에서는 해당 기한을 2026년 12월 31일로 약 2개월 연기하는 방안이 제안됨.
    2027.12.11 CRA 전면 적용
    2028.06.11 기존 Certificate 관련 Transition 종료
    2030.12.11 EU Commission CRA 평가
    출처 : Draft amendment to CRA Standardisation Request C(2025)618 출처 : : European Commission – Commission guidance on the application of the CRA