기계 제조업체를 위한 사이버 보안

2027년부터 컨트롤러, 운전자 디스플레이 또는 데이터 연결을 갖춘 기계는 두 가지 EU 규정의 적용을 받습니다. 두 규정 모두 같은 질문에서 출발합니다. 이 기계에는 버전별로 어떤 소프트웨어가 탑재되어 있고, 그 안에는 무엇이 들어 있는가 하는 질문입니다.

1. 2026년 9월 11일적극적으로 악용되는 취약점과 심각한 사고에 대한 Cyber Resilience Act 보고 의무가 적용됩니다.
2. 2027년 1월 20일기계류 규정 (EU) 2023/1230이 적용되어 기계류 지침을 대체합니다.
3. 2027년 12월 11일Cyber Resilience Act (EU) 2024/2847이 전면 적용됩니다.

기계류 규정

부속서 III의 필수 보건·안전 요건 중 두 가지가 사이버 보안을 다룹니다.

• 1.1.9, 변조 및 손상으로부터의 보호. 다른 기기를 기계에 직접 또는 원격으로 연결해도 위험한 상황으로 이어져서는 안 됩니다. 기계가 필수 보건·안전 요건을 준수하는 데 중요한 소프트웨어와 데이터는 식별되어야 하며, 우발적이거나 의도적인 변조 및 손상으로부터 보호되어야 합니다. 기계는 안전하게 작동하는 데 필요한 설치된 소프트웨어를 식별하고, 그 정보를 언제든 제공해야 합니다. 또한 해당 소프트웨어나 그 구성에 대한 정당하거나 부당한 개입의 증거를 수집해야 합니다.
• 1.2.1, 제어 시스템의 안전성과 신뢰성. 제어 시스템은 위험한 상황으로 이어지는, 합리적으로 예견 가능한 제3자의 악의적 시도를 견뎌야 합니다. 1.2.1(f)에 따라 기계가 시장에 출시된 후 업로드된 안전 소프트웨어의 버전과 개입에 대한 추적 로그를 업로드 후 5년 동안 보관해야 합니다.

Cyber Resilience Act

데이터 연결을 갖춘 기계, 또는 단독으로 판매되는 그 부품은 디지털 요소를 포함한 제품입니다. 제조업체는 통합하는 서드파티 구성 요소에 대해 실사를 수행하고, 최소한 최상위 종속성을 포함하는 SBOM을 작성하며, 지원 기간 동안 취약점을 처리해야 합니다. 지원 기간은 제품의 예상 사용 기간이 더 짧은 경우를 제외하고 최소 5년입니다. 기술 문서는 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관해야 합니다.

자동으로 충족되지는 않습니다. Cyber Resilience Act는 기계류 규정에 대한 적합성 추정을 부여하지 않습니다. CRA 전문 53항은 CRA의 필수 요건을 충족하면 변조 및 손상으로부터의 보호와 제어 시스템의 안전성 및 신뢰성에 관한 기계류 규정 요건의 준수가 쉬워질 수 있다고 말합니다. 동시에 제조업체가 이를 입증해야 하며, 예를 들어 위험 평가 후 조화 표준을 적용하는 방식으로 입증할 수 있고, 두 규정의 적합성 평가 절차가 여전히 적용된다고 밝힙니다.

1.1.9를 위해 작성 중인 조화 표준은 EN 50742(Safety of machinery – Protection against corruption)입니다. 2026년 11월 기준으로 최종 초안 FprEN 50742 단계에 있으며, 1.1.9와 1.2.1의 관련 항목을 다룹니다. 최종본의 참조가 EU 관보에 게재되기 전까지는 적합성 추정을 부여하지 않습니다. EN ISO 12100의 위험성 평가와 IEC 62443의 보안 개념을 결합하며, IEC 62443-4-1, IEC 62443-3-3, IEC 62443-4-2를 일관되게 적용하는 것을 보호 목표를 충족하는 동등한 방법으로 인정합니다. IEC 62443-4-2는 제어 시스템 구성 요소에 대한 기술적 보안 요구사항을 보안 능력 수준별로 정한 표준입니다. 독일에서는 2026년 7월의 시험 원칙 GS-IFA-M25가 변조 및 손상으로부터의 보호를 66개 시험 기준으로 구체화하며, prEN 50742의 용어를 사용합니다. 그중 T46은 제품이 요청 시 설치된 소프트웨어 버전과 구성을 제공할 수 있어야 한다고 요구합니다. 모든 구성에 대해 이에 답하려면 각 소프트웨어 버전에 무엇이 들어 있는지에 대한 기록이 필요합니다.

기계류 규정에는 자체적인 추정이 있으며, 다른 경로를 거칩니다. 사이버보안법, 규정 (EU) 2019/881에 따라 채택된 EU 사이버 보안 인증 제도입니다. 이러한 제도에 따른 인증서나 적합성 진술서는 1.1.9 및 1.2.1 요건을 다루는 범위 내에서 해당 요건에 대한 적합성을 추정하게 합니다.

따라서 하나의 위험 평가와 하나의 증거 세트로 두 규정에 대응할 수 있지만, 적합성은 각각에 대해 입증해야 합니다. 기계에 데이터 연결이 있다면 두 규정 모두를 계획에 반영하세요. SBOM, 취약점 기록, 업데이트 이력 같은 소프트웨어 증거가 두 규정이 공유하는 부분입니다.

2026년 1월 기계 산업 협회들은 1.1.9와 1.2.1(f)의 연기를 요청했고, 2026년 3월에는 이를 CRA 적용일인 2027년 12월 11일부터 적용해 달라고 요청했습니다. 이는 요청일 뿐 법이 아닙니다. 2026년 11월 현재 연기는 채택되지 않았습니다. 이 페이지의 날짜는 규정에 명시된 날짜입니다.

• 건설, 자재 운반, 광업 및 산업용 기계는 기계류 규정의 적용을 받으며, 기계나 그 부품에 데이터 연결이 있으면 CRA의 적용도 받습니다.
• 농림업용 트랙터 중 규정 (EU) No 167/2013의 적용을 받는 것은, 그 위에 장착되는 기계를 제외하고 기계류 규정에서 제외됩니다. CRA의 제외 목록에는 이 규정이 명시되어 있지 않으므로, 커넥티드 트랙터는 CRA 적용 대상이 될 수 있습니다.
• 도로 차량 중 규정 (EU) 2019/2144에 따라 형식 승인을 받은 것은 CRA에서 제외됩니다.
• 단독으로 판매되는 구성 요소. CRA는 별도로 시장에 출시되는 소프트웨어 및 하드웨어 구성 요소에도 적용됩니다. ECU나 텔레매틱스 장치를 단독으로 판매하는 공급업체는 그 자체로 CRA상의 제조업체입니다. 장치가 기계에 내장되기만 하는 경우에는 기계 제조업체가 기계 전체에 대한 의무를 지며, 공급업체의 구성 요소에 대해 실사를 수행해야 합니다.

이는 일반적인 정보이며 법률 자문이 아닙니다. 자사 제품의 분류를 직접 확인하세요.

하나의 기계 안에서도 소프트웨어의 출처는 다양하며, 그 안에 무엇이 들어 있는지 신뢰성 있게 말할 수 있는 것은 해당 소프트웨어를 빌드하는 팀뿐입니다. 기계 제조업체들에게 듣기로는, 베어메탈 ECU에는 오픈 소스가 거의 없지만 Linux, Android, Windows 소프트웨어에는 많이 들어 있습니다.

소량 다품종. 기계 제조업체는 수백 개의 플랫폼을 시장에 내놓고, 플랫폼마다 연간 몇 대만 판매하며, 많은 기계를 주문에 맞춰 구성할 수 있습니다. 구성마다 소프트웨어 조합이 다르므로, 제품 라인별 SBOM보다 빌드별 SBOM이 더 중요합니다.

긴 수명. 기계는 10년 이상 사용되지만, 그동안 공급업체는 바뀌거나 폐업합니다. 소프트웨어 버전에 무엇이 들어갔는지에 대한 기록은 몇 년 뒤에는 재구성할 수 없으므로, 빌드 시점에 만들어야 합니다.

공급업체 소프트웨어가 대부분이며, 공급업체 SBOM의 품질은 낮은 경우가 많습니다. 구성 요소가 누락되고, 패키지 URL이나 CPE도, 라이선스도, 해시도 없으며, 일부는 수작업으로 작성되어 스키마 검증에 실패하는 공급업체 SBOM에 대한 이야기를 듣습니다. 플래시된 ECU의 바이너리 분석은 임시방편일 뿐이며, 내용을 기록하는 대신 추측합니다.

위험은 연결된 계층에 있습니다. ECU 로직의 상당 부분은 모델에서 생성되며 오픈 소스가 거의 없습니다. 오픈 소스와 네트워크 노출은 Linux, 연결, 앱 계층에 집중되어 있으므로, 먼저 그곳에 노력을 기울이세요.

예시로, 가상의 휠 로더 플랫폼의 소프트웨어 스택을 클라우드부터 ECU까지 보여 드립니다.

1. 클라우드 백엔드와 컴패니언 앱자체 개발. 대부분 오픈 소스이며 네트워크에 노출됨. Cyber Resilience Act.
2. 텔레매틱스 게이트웨이임베디드 Linux, 대부분 오픈 소스, 모바일 네트워크에 연결됨. Cyber Resilience Act, 그리고 원격 연결에 대해서는 1.1.9.
3. 운전자 디스플레이UI 프레임워크를 포함한 임베디드 Linux 이미지, 대부분 오픈 소스, 기계 버스와 서비스 도구에 연결됨. Cyber Resilience Act와 1.1.9.
4. 기계 컨트롤러공급업체 플랫폼 위의 자체 개발 애플리케이션, 안전 관련. 1.1.9와 1.2.1, 그리고 연결을 통해 접근할 수 있는 경우 Cyber Resilience Act.
5. 유압, 조향, 엔진 ECU공급업체 펌웨어, 독점 및 모델 생성 코드, 오픈 소스는 거의 없음, 안전 관련. 1.1.9와 1.2.1. Cyber Resilience Act는 기계를 통해 적용.

오픈 소스와 네트워크 노출은 상위 세 계층에 있으며, 대개 자사의 빌드 파이프라인이 있는 곳도 바로 그곳입니다. 거기서부터 시작하세요.

기계 제조업체들은 이제 구매하는 소프트웨어에 대해 패키지 URL 또는 CPE, 라이선스, 해시, 검증을 통과하는 형식 같은 SBOM 요건을 정하고, 통과하지 못한 파일은 돌려보냅니다. GitHub Actions에서 빌드한다면 CRACI는 빌드 자체에서 SBOM을 생성하므로, 어떤 잠금 파일에도 이름이 없는 구성 요소까지 포함해 실제로 릴리스에 들어간 것을 모든 구성 요소의 패키지 URL 및 선언된 라이선스와 함께 나열합니다. 고객이 요구하는 전체 필드 목록과 내보낸 결과를 대조해 확인하세요. 고객의 SBOM 요청에 대응하는 방법을 자세히 알아보세요.