단일 보고 플랫폼(SRP)

단일 보고 플랫폼(Single Reporting Platform, SRP)은 사이버 복원력법(Cyber Resilience Act, CRA)이 요구하는 통지, 즉 자사 제품에 영향을 미치는 실제로 악용되는 취약점과 심각한 사고를 제조사가 보내는 웹 포털입니다. EU 사이버보안청인 ENISA가 규정(EU) 2024/2847 제16조에 따라 운영합니다. CRA의 보고 의무가 적용되기 시작한 2026년 9월 11일에 운영을 시작했습니다.

무엇을 언제까지 통지하는가

제조사가 통지하는 사건은 두 종류입니다. 디지털 요소가 있는 제품의 실제로 악용되는 취약점과, 그런 제품의 보안에 영향을 미치는 심각한 사고입니다. 두 개념 모두 규정에 정의되어 있습니다. 각각 세 단계를 거칩니다.

단계	기한	적용 대상
조기 경보	인지한 때부터 24시간 이내	둘 다
통지	인지한 때부터 72시간 이내	둘 다
최종 보고서	수정 또는 완화 조치가 나온 뒤 14일 이내	실제로 악용되는 취약점
최종 보고서	통지 후 1개월 이내	심각한 사고

기한은 포털이 아니라 CRA 제14조가 정하며, ENISA의 SRP FAQ도 이를 그대로 안내합니다. 이 의무는 CRA가 전면 적용된 뒤 출시되는 제품뿐 아니라 이미 시장에 있는 제품에도 적용됩니다. 제14조는 영향을 받는 사용자에게 알리는 것도 제조사에 요구하며, 이는 제조사가 직접 합니다. 플랫폼이 닿는 곳은 고객이 아니라 당국입니다.

통지는 누가 받는가

제조사는 각 통지를 한 번만 제출합니다. 통지는 특히 예외적인 상황을 제외하고, 제조사의 주된 사업장이 있는 회원국에서 조정자로 지정된 CSIRT와 ENISA에 동시에 전달됩니다. 조정자는 제품이 유통되는 다른 회원국의 CSIRT에 통지를 전달합니다. ENISA는 지정된 조정자 목록을 SRP 페이지에 공개합니다.

통지된 취약점이 수정되면 ENISA는 제조사와 합의해 유럽 취약점 데이터베이스(EUVD)에 공개할 수 있습니다. EUVD와 CVE ID의 관계는 CVE 항목에서 설명합니다.

접근 방식

제조사는 Assigned Representatives(AR)를 통해 플랫폼을 이용합니다. 각 AR은 다중 인증을 사용하는 개인 EU Login 계정으로 로그인합니다. 제조사마다 Primary AR이 한 명 있고, Primary AR은 최대 20명의 Secondary AR을 초대할 수 있으며, 이들은 제조사의 통지를 제출하고 업데이트할 수 있습니다. 여러 그룹사를 둔 제조사는 어느 법인의 통지를 누가 할지 내부에서 조율합니다.

플랫폼이 아직 지원하지 않는 것

2026년 11월 기준 SRP FAQ에 따르면 다음과 같습니다.

• API가 없습니다. 초기 릴리스에는 애플리케이션 프로그래밍 인터페이스가 없으므로 통지는 웹 인터페이스에서 입력합니다. ENISA는 API를 이후 단계에서 검토할 수 있으며, 조직은 자체 내부 보고 워크플로를 자동화할 수 있다고 밝혔습니다.
• 자발적 보고는 아직 지원하지 않습니다. 제15조에 따른 자발적 통지(예: 실제로 악용되지 않는 취약점에 대한 통지)는 이후 단계에 예정되어 있습니다. 현재 플랫폼은 의무 통지만 받습니다.

ENISA는 출시 버전을 초기 운영 역량이라고 부르며 확장할 계획입니다. 출시 발표에 따르면 오픈 소스 소프트웨어 관리자(open-source software stewards)의 보고 의무는 2027년 12월 11일부터 적용됩니다.

통지 준비하기

24시간은 악용을 인지한 시점부터 시작되므로, 대부분의 작업은 누군가 로그인하기 전에 이루어집니다.

• 필요해지기 전에 Assigned Representatives를 등록하고, 다른 시간대에 대리인을 둡니다.
• 어떤 취약점을 실제로 악용되는 것으로 볼지 누가 얼마나 빨리 결정할지 미리 정합니다.
• 제품별, 버전별로 구성 요소 기록을 유지해 영향을 받는 제품과 버전을 몇 시간 안에 특정할 수 있게 합니다. 빌드 시점 SBOM과 이 CVE의 영향을 받는가?를 참고하세요.
• 플랫폼이 보내 주지 않으므로, 영향을 받는 사용자에게 보낼 안내문을 준비합니다.
• 제출한 문안과 타임스탬프를 자체 기록으로 보관합니다.

CRACI는 CRA 통지(조기 경보, 통지, 최종 보고서)의 내용을 준비하며, 제출은 제조사 담당자가 Single Reporting Platform을 통해 합니다.

규정 전반은 CRA란, CRA 가이드, 용어집의 CRA를 참고하세요. 제품 보안 팀이 이를 일상적으로 어떻게 처리하는지는 PSIRT에서 설명합니다.