Cyber Resilience Act
제조업체 준비 체크리스트
보고 의무 현재 적용 2026년 9월 11일부터
나머지 의무 2027년 12월 11일부터
디지털 요소를 포함한 제품의 CRA 대응을 준비하면서 이 체크리스트로 담당자를 지정하고 증거를 수집하세요.
Cyber Resilience Act 가이드
단계별로 보는 CRA 요구사항
디지털 요소를 포함한 제품을 만드는 팀을 위한 실무 로드맵입니다. 무엇을 하고, 누가 담당하며, 어떤 증거를 보관할지 정리했습니다. 법이 무엇을 규정하는지는 Cyber Resilience Act란 무엇인가를 참고하세요. 제조사에 구성 요소를 공급하시나요? 공급업체를 위한 SBOM 가이드를 읽어 보세요.
최종 업데이트: 2026년 10월 15일
현재 상황
- 보고 의무는 지금 적용됩니다. 2026년 9월 11일부터 제조업체는 이미 시장에 나와 있는 제품을 포함해 실제로 악용되는 취약점과 심각한 사고를 보고합니다.
- 나머지는 모두 2027년 12월 11일부터 적용됩니다. 그 이전에 시장에 출시된 제품은 실질적으로 변경된 경우에만 CRA의 나머지 규정을 적용받습니다.
- 지침이 발표되었습니다. 2026년 7월 27일자 집행위원회의 구속력 없는 지침 C(2026) 5252는 적용 범위, 실질적 변경, 지원 기간, 보고를 설명하며, 이행규칙 (EU) 2025/2392는 중요 제품과 핵심 제품 카테고리를 설명합니다.
What the Cyber Resilience Act asks manufacturers to do
Regulation (EU) 2024/2847의 적용 범위, 시행 일자, 보고 기한, 그리고 SBOM 및 취약점 처리 의무가 규정된 위치를 설명합니다.
Kubernetes Community Days Helsinki 2026의 Petteri Pulkkinen 및 Erika Marttinen, SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains 중 8:03~15:20.
로드맵: 10단계
각 단계는 대체로 순서대로 진행되지만, 이미 시장에 나와 있는 제품은 보고 의무가 지금 적용되므로 5~8단계가 먼저 중요합니다.
- 1
적용 범위와 자사의 역할 확인
EU 시장에 제공하는 디지털 요소를 포함한 제품을 모두 목록으로 작성합니다. 단독으로 판매하는 소프트웨어와 제품 작동에 필요한 클라우드 백엔드도 포함됩니다. 각 제품이 적용 제외 대상(의료기기, 차량, 항공, 선박용 장비, 국방)이 아닌지, 그리고 자사가 해당 제품의 제조업체, 수입업체, 유통업체 중 무엇인지 확인합니다.
CRA Checker로 제품 확인 → - 2
각 제품 분류
대부분의 제품은 기본 카테고리에 해당합니다. 자사 제품을 중요 제품(부속서 III) 및 핵심 제품(부속서 IV) 목록과 비교하세요. 이들의 기술적 설명은 이행규칙 (EU) 2025/2392에 나와 있습니다. 카테고리에 따라 자체 평가가 가능한지, 아니면 인증기관(notified body)이나 인증이 필요한지가 결정됩니다.
- 3
사이버 보안 위험 평가
제품마다 사이버 보안 위험 평가를 작성합니다. 이 평가에 따라 부속서 I의 필수 요구사항이 어떻게 적용되는지가 정해지며, 평가는 기술 문서에 포함됩니다. 제품이나 위협이 바뀌면 평가를 갱신하세요.
- 4
지원 기간 설정
각 제품의 취약점을 얼마나 오래 처리할지 정합니다. 제품의 예상 사용 기간이 더 짧은 경우를 제외하면 최소 5년입니다. 지원 종료 시점을 사용자에게 알리고, 각 보안 업데이트를 최소 10년간 제공 가능한 상태로 유지하세요.
- 5
모든 릴리스 빌드에서 SBOM 생성
CRA는 일반적으로 사용되는 기계 판독 가능한 형식으로, 최소한 최상위 종속성을 포함하는 소프트웨어 자재 명세서(SBOM)를 요구합니다. 한 번 수작업으로 만드는 대신 릴리스를 생성하는 빌드에서 SBOM을 만들면 실제로 출시된 내용과 일치하게 유지됩니다.
CRACI의 역할: CRACI는 각 빌드가 실행되는 동안 전이적 종속성과 캐시에서 복원된 패키지를 포함해 SBOM을 기록하고, CycloneDX 또는 SPDX로 내보냅니다.
- 6
출시한 제품을 모니터링하고 지체 없이 수정
지원 기간 내내 메인 브랜치뿐 아니라 출시된 버전도 새로운 취약점이 있는지 지켜보세요. 취약점은 지체 없이 수정하고, 보안 업데이트는 무료로, 가능한 경우 기능 업데이트와 분리해 제공합니다.
CRACI의 역할: CRACI는 출시 후에도 모니터링 중인 SBOM을 새로운 취약점과 대조해 다시 확인하며, 보안팀은 발견 사항을 분류해 수정을 담당하는 팀에 전달합니다. 정책 게이트로 발견 사항이 있는 빌드를 차단할 수 있습니다.
- 7
취약점 공개 정책 게시
연구자와 고객에게 취약점 신고 연락처와 조정된 취약점 공개 정책을 제공하세요. 업데이트가 제공되면 해당 업데이트가 수정하는 취약점에 대한 정보를 공개합니다.
- 8
24시간 보고 시한 리허설
2026년 9월 11일부터 실제로 악용되는 취약점이나 심각한 사고는 Single Reporting Platform을 통해 24시간 이내 조기 경보, 72시간 이내 통지, 그리고 최종 보고서를 제출해야 합니다. 실제 악용 여부를 누가 확인하고, 누가 제출하며, 누가 사용자에게 알릴지 지정하세요. 가장 어려운 부분은 취약한 구성 요소가 어떤 제품과 릴리스에 포함되어 있는지 몇 시간 안에 파악하는 것입니다.
CRACI의 역할: CRACI의 빌드 기록은 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주고, 인벤토리 뷰는 어떤 버전이 어떤 제품에 배포되었는지 보여 주며, CRACI가 고객이 제출할 CRA 통지의 내용을 준비합니다.
- 9
개발 과정에 필수 요구사항 반영
알려진 악용 가능한 취약점이 없고 기본적으로 안전한 구성으로 출시하고, 데이터와 접근을 보호하며, 공격 표면을 줄이고, 보안 업데이트가 가능하도록 하되 해당되는 경우 기본적으로 자동 업데이트되게 하세요. 보안을 정기적으로 테스트하고 검토합니다.
CRACI의 역할: CRACI는 빌드가 다운로드할 수 있는 대상에 이그레스 정책을 적용하며, 정책 게이트로 발견 사항이 있는 빌드를 차단할 수 있습니다.
- 10
문서를 준비하고 적합성 평가 통과
부속서 VII에 명시된 기술 문서를 수집하고, 카테고리에 맞는 적합성 평가를 수행하며, EU 적합성 선언서를 작성하고 CE 마킹을 부착합니다. 문서와 선언서는 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관하세요.
CRACI의 역할: CRACI는 구성 요소에서 발견된 취약점을 포함해 SBOM을 CycloneDX 또는 SPDX로 내보내며, API로 기술 문서에 필요한 SBOM, 네트워크 추적 기록, 출처 증명을 제공합니다. 평가와 선언은 고객사의 프로세스로 남습니다.
요구사항과 이를 뒷받침하는 증거
시장 감시 당국은 기술 문서를 요청할 수 있습니다. 각 요구사항이 남기는 증거와 CRACI가 빌드에서 이를 기록하는 지점을 정리했습니다.
| 요구사항 | 근거 | 보관할 증거 | CRACI 제공 |
|---|---|---|---|
| 사이버 보안 위험 평가 | 제13조, 부속서 I | 제품별로 문서화된 평가 | 고객사 프로세스 |
| 출시 시점에 알려진 악용 가능한 취약점 없음 | 부속서 I, 파트 I | 릴리스 빌드의 취약점 상태 | 릴리스 빌드 SBOM을 보안 권고와 대조, 정책 게이트 |
| 소프트웨어 자재 명세서 | 부속서 I, 파트 II | 릴리스별 기계 판독 가능한 SBOM | 모든 빌드에서 기록, CycloneDX 또는 SPDX |
| 지원 기간 동안의 취약점 처리 | 제13조, 부속서 I, 파트 II | 발견 사항, 분류 결정, 수정, 보안 권고 | 지속적인 재평가, 분류, VEX |
| 타사 구성 요소에 대한 실사 | 제13조 | 구매한 소프트웨어를 포함한 구성 요소 기록 | 공급업체 SBOM을 자사 SBOM과 함께 모니터링, 선언된 라이선스 |
| 악용된 취약점 및 심각한 사고 보고 | 제14조 | 조기 경보, 통지, 최종 보고서 | 제출할 통지 내용 준비 |
| 지원 기간 | 제13조 | 게시된 지원 종료일 | 고객사 프로세스 |
| 기술 문서 및 선언서 | 제13조, 부속서 VII | 10년 또는 지원 기간 동안 보관 | 문서화를 위한 SBOM 내보내기 및 API 데이터 |
CRA 요구사항 FAQ
CRA 대응을 시작하는 팀이 자주 묻는 실무 질문
제조업체에 대한 CRA의 주요 요구사항은 무엇입니까?
사이버 보안 위험 평가를 바탕으로 부속서 I의 필수 요구사항을 충족하고, SBOM을 유지하며, 최소 5년의 지원 기간 동안 취약점을 처리하고, 실제로 악용되는 취약점과 심각한 사고를 보고하며, 기술 문서를 보관하고, 적합성 평가를 통과해 CE 마킹을 부착해야 합니다.
어디서부터 시작해야 합니까?
적용 범위와 보고부터 시작하세요. CRA가 적용되는 제품을 파악한 다음, 실제로 악용되는 취약점에 대한 24시간 조기 경보를 이행할 수 있는지 확인하세요. 보고 의무는 이미 시장에 나와 있는 제품을 포함해 2026년 9월 11일부터 적용되고 있기 때문입니다. 나머지는 2027년 12월 11일부터 적용됩니다.
CRA 기술 문서에는 무엇이 들어갑니까?
부속서 VII에 목록이 있습니다. 제품의 사이버 보안 위험 평가, SBOM, 제조업체의 취약점 처리 방식에 대한 정보 등이 포함됩니다. 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관하며, 요청 시 시장 감시 당국에 제출합니다.
SBOM을 공개해야 합니까?
아니요. SBOM은 기술 문서의 일부이며 요청 시 시장 감시 당국에 제출됩니다. 규정은 SBOM 공개를 요구하지 않습니다.
CRA 적용에 관한 공식 지침이 있습니까?
예. 2026년 7월 27일 유럽연합 집행위원회는 67개의 실무 사례를 담은 구속력 없는 지침 C(2026) 5252를 발표했습니다. 원격 데이터 처리, 무료 및 오픈 소스 소프트웨어, 실질적 변경, 지원 기간, 보고, 위험 평가를 다룹니다. 이행규칙 (EU) 2025/2392는 중요 제품과 핵심 제품 카테고리를 설명합니다.
소규모 기업은 다르게 취급됩니까?
의무는 동일하지만, 소기업과 영세기업은 24시간 조기 경보 기한을 놓쳐도 과징금이 부과되지 않으며, 집행위원회 지침은 영세기업과 중소기업을 염두에 두고 작성되었습니다.
도구만으로 CRA를 준수할 수 있습니까?
아니요. CRA 충족은 위험 평가, 적합성 평가, 선언을 포함한 제조업체의 프로세스입니다. CRACI는 그 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. 모든 빌드의 SBOM, 출시 후 취약점 추적, CRA 통지가 그것입니다.
CRA 프로세스에 필요한 증거 확보
CRACI가 모든 빌드에서 SBOM을 기록하고, 출시한 제품을 모니터링하며, 고객이 제출할 CRA 통지를 준비하는 방식을 확인하세요