CRA 컴플라이언스: SBOM 요구 사항과 도구 비교

각 비교에서는 상대 제품의 강점, CRACI와의 차이점, 두 제품을 함께 쓰면 좋은 경우를 설명합니다. 모든 카테고리는 전체 비교에서 확인하세요.

CRA가 SBOM에 요구하는 것

Cyber Resilience Act, 즉 규정 (EU) 2024/2847은 SBOM을 취약점 처리 요구 사항에 포함합니다. 요구 수준은 많은 사람이 생각하는 것보다 낮습니다. 최소한 최상위 종속성을 담은 기계 판독 가능한 기록을 기술 문서에 보관하고, 당국이 요청하면 제시하는 것입니다. 규정의 내용을 질문별로 정리하면 다음과 같습니다.

규정 (EU) 2024/2847의 CRA SBOM 요구 사항
기능	CRA 규정 내용	조항
SBOM은 의무인가?	예. 제조사는 "소프트웨어 자재 명세서를 작성하는 방법 등으로" 제품의 구성 요소를 식별하고 문서화해야 합니다	부속서 I, 파트 II, 1항
SBOM이란 무엇인가?	"디지털 요소를 포함한 제품의 소프트웨어 요소에 포함된 구성 요소의 세부 정보와 공급망 관계를 담은 공식 기록"	제3조 39항
어떤 형식인가?	"일반적으로 사용되고 기계가 읽을 수 있는 형식". 집행위원회는 이행 법률로 형식과 요소를 구체화할 수 있습니다	부속서 I, 파트 II, 1항; 제13조(24)
어느 깊이까지인가?	"최소한 제품의 최상위 종속성"	부속서 I, 파트 II, 1항
어디에 포함되는가?	기술 문서에 취약점 처리 정보의 일부로 포함	부속서 VII, 2(b)항
공개해야 하는가?	아니요. "제조사가 SBOM을 공개할 의무를 져서는 안 된다." 사용자와 공유하는 경우 사용자 정보에 그 위치를 안내합니다	전문 77; 부속서 II, 9항
누가 요청할 수 있는가?	시장 감시 당국이 컴플라이언스 확인을 위해 근거를 제시한 요청으로 요구할 수 있습니다. 당국은 EU 전역의 종속성 평가를 위해 SBOM을 요청할 수도 있습니다	부속서 VII, 8항; 제13조(25)
얼마나 보관해야 하는가?	기술 문서는 제품 출시 후 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관합니다	제13조(13)

규정은 2027년 12월 11일부터 전면 적용되며, 보고 의무는 2026년 9월 11일부터 적용됩니다. 규정의 나머지 내용은 CRA의 요구 사항을 참고하세요.

최소 요건을 넘어서: BSI TR-03183-2

집행위원회가 이행 법률로 형식을 정하기 전까지, 가장 상세한 공개 지침은 독일 연방정보보안청(BSI)에서 나옵니다. 2025년 8월에 나온 기술 지침 TR-03183-2 버전 2.1.0은 규정의 일부가 아닌 지침이지만, 기대 수준이 어디로 향하는지 보여 줍니다.

형식: CycloneDX 1.6 이상 또는 SPDX 3.0.1 이상에 대해 유효한 JSON 또는 XML.
깊이: 납품 범위에 속한 각 구성 요소에 대해, 범위 밖의 첫 번째 구성 요소까지 포함하는 재귀적 종속성 해석.
정보의 기준: SBOM에는 "빌드 프로세스 중에 사용할 수 있는 것과 동일한 정보"가, 빌드 프로세스가 없는 경우에는 이에 상응하는 정보가 담겨야 합니다.

지침은 SBOM의 종류도 구분합니다. Build SBOM은 "빌드 프로세스의 일부로 생성"됩니다. Analysed SBOM은 "빌드 프로세스 이후 실행 파일, 패키지, 컨테이너, 가상 머신 이미지 같은 아티팩트를 분석해 생성"됩니다. 이 구분이 이 페이지에서 다루는 도구들 사이의 주된 차이입니다.

최상위 종속성인가, 전이적 종속성인가

최상위 종속성은 하한선이지 목표가 아닙니다. 전이적 패키지의 취약점도 여전히 제품 안에 있으며, CRA는 제조사에게 출시하는 구성 요소의 취약점에 대응하고 해결하도록 요구합니다. 첫 번째 단계에서 멈추는 SBOM은 그런 패키지를 취약점 처리에서 빠뜨립니다. 실질적인 질문은 전이적 종속성을 기록할지 말지가 아니라, 기록이 실제로 출시된 것과 일치한다고 어떻게 확신하느냐입니다. 전이적 종속성을 나열하고 취약한 종속성을 수정하는 방법은 전이적 종속성을 참고하세요.

Build SBOM인가, Analysed SBOM인가

대부분의 SBOM 도구는 빌드 후에 분석 SBOM을 생성하거나, 다른 도구가 만든 SBOM을 관리합니다. CRACI는 빌드가 실행되는 동안 빌드 SBOM을 기록합니다. SBOM 생성 도구와 관리 도구의 비교는 SBOM 관리와 SBOM 도구 비교를, CRA를 중심으로 만든 도구는 CRA 컴플라이언스 도구 비교를 참고하세요.

CRACI의 역할

CRACI는 GitHub Actions 빌드가 실행되는 동안 SBOM을 기록합니다. 러너의 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 모든 패키지를 기록하므로, SBOM은 근처 어딘가에서 실행된 스캔이 아니라 아티팩트를 만든 빌드를 설명합니다. 각 작업의 SBOM에는 완전성 상태가 있으며, CycloneDX와 SPDX 내보내기에는 전이적 종속성과 각 구성 요소의 선언된 라이선스가 포함됩니다.

출시 후에도 CRACI는 새로운 취약점이 나올 때마다 모니터링 중인 SBOM을 계속 재평가하며, CRA 통지(조기 경보, 통지, 최종 보고서)의 내용을 준비합니다. 제출은 고객이 직접 합니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 빌드 데이터를 기본 180일 동안 보관하며 Enterprise에서는 보존 기간을 맞춤 설정할 수 있으므로, 10년 보관 기술 파일에 들어갈 자료는 내보내 두세요. CRACI는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화하지만, 적합성 평가와 기술 파일은 여전히 제조사의 책임입니다. 모든 CRA 요구 사항을 단계별 로드맵으로 보려면 CRA 가이드를 참고하세요. 빌드 시점 SBOM 생성에 대해 더 읽어 보시거나, 데모를 예약해 귀사 빌드에서 기록된 SBOM을 확인해 보세요.

도구별 CRACI 비교

나란히 비교

제품 하나가 아니라 카테고리를 고를 때 유용하도록 여러 도구를 한 페이지에 모았습니다.

CRA 컴플라이언스 도구 비교 제조업체의 Cyber Resilience Act 대응을 돕는 도구.

CRA SBOM에 관한 질문과 답변

CRA는 SBOM에 전이적 종속성을 요구합니까?

규정은 하한선을 "최소한 제품의 최상위 종속성"으로 정합니다(부속서 I, 파트 II, 1항). 전이적 종속성은 명시되어 있지 않지만, 취약한 전이적 패키지도 여전히 제품 안에 있으며 CRA는 출시하는 구성 요소의 취약점을 처리하도록 요구합니다. 독일 BSI의 TR-03183-2 지침은 한 걸음 더 나아가 재귀적 종속성 해석을 요구합니다.

CRA SBOM은 공개해야 합니까?

아니요. 전문 77은 제조사가 SBOM을 공개할 의무를 져서는 안 된다고 말합니다. SBOM은 기술 문서에 포함되며, 시장 감시 당국은 근거를 제시한 요청으로 이를 요구할 수 있습니다. 사용자와 공유하기로 한 경우, 제품과 함께 제공되는 정보에 그 위치를 안내해야 합니다(부속서 II, 9항).

CRA SBOM은 CycloneDX와 SPDX 중 무엇이어야 합니까?

CRA는 "일반적으로 사용되고 기계가 읽을 수 있는 형식"을 요구할 뿐 특정 형식을 지정하지 않으며, 집행위원회가 이행 법률로 형식을 구체화할 수 있습니다(제13조(24)). CycloneDX와 SPDX가 일반적인 두 가지 선택지입니다. BSI TR-03183-2 v2.1.0은 JSON 또는 XML 형식의 CycloneDX 1.6 이상과 SPDX 3.0.1 이상을 인정합니다.

SBOM은 얼마나 오래 보관해야 합니까?

SBOM은 기술 문서의 일부이며, 제조사는 기술 문서를 제품 출시 후 최소 10년 동안, 지원 기간이 더 길다면 그 기간 동안 시장 감시 당국이 이용할 수 있도록 보관해야 합니다(제13조(13)).

CRA SBOM 요구 사항은 언제부터 적용됩니까?

CRA의 보고 의무는 2026년 9월 11일부터 적용되며, 부속서 I의 SBOM 요구 사항을 포함한 규정 전체는 2027년 12월 11일부터 적용됩니다.

CRA 컴플라이언스: SBOM 요구 사항과 도구