2026년 하루 평균 보고된 CVE가 전년 대비 131% 증가했습니다.

Cyber Resilience Act란 무엇입니까?

하드웨어 및 소프트웨어 제품의 사이버 보안 규칙을 정하는 EU 법률과, 그 법률이 제품을 만드는 기업에 요구하는 사항

Cyber Resilience Act(CRA), 즉 Regulation (EU) 2024/2847은 디지털 요소 포함 제품에 의무적인 사이버 보안 요구 사항을 정하는 EU 규정입니다. 대상은 라우터와 스마트 홈 기기부터 앱, 운영체제, 단독으로 판매되는 소프트웨어 구성 요소까지 기기나 네트워크에 연결되는 하드웨어와 소프트웨어입니다. 2024년 12월 10일에 발효되었습니다. 제조사는 2026년 9월 11일부터 실제로 악용되고 있는 취약점과 중대한 사고를 보고해야 하며, 규정의 나머지 부분은 2027년 12월 11일부터 적용됩니다.

의무의 대부분은 제조사가 집니다. 제조사는 사이버 보안 위험을 평가하고, 부속서 I의 필수 요구 사항에 맞게 제품을 만들며, 소프트웨어 자재 명세서(SBOM)를 유지하고, 최소 5년의 지원 기간 동안 취약점을 처리하며, 적합성 평가를 통과하고 CE 마킹을 부착합니다. 수입업체와 유통업체는 이것이 이행되었는지 확인합니다. 벌금은 최대 €1,500만 또는 전 세계 연간 매출의 2.5%에 이릅니다.

CRACI는 이러한 의무에 필요한 증거의 상당 부분을 자동화합니다. 각 빌드가 가져오는 구성 요소를 SBOM으로 기록하고, 출시 후 새로운 취약점에 대해 다시 점검하며, 기술 문서용 감사 증거를 내보냅니다. 취약점을 보고해야 할 때는 고객이 당국에 제출할 CRA 통지의 내용을 CRACI가 준비합니다. CRACI가 CRA 컴플라이언스를 지원하는 방법을 참조하세요.

What the Cyber Resilience Act asks manufacturers to do

Regulation (EU) 2024/2847의 적용 범위, 시행 일자, 보고 기한, 그리고 SBOM 및 취약점 처리 의무가 규정된 위치를 설명합니다.

Kubernetes Community Days Helsinki 2026의 Petteri Pulkkinen 및 Erika Marttinen, SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains 중 8:03~15:20.

주요 일정

날짜내용
2024년 10월 23일 유럽 의회와 이사회가 Regulation (EU) 2024/2847 채택
2024년 11월 20일 EU 관보(Official Journal of the European Union)에 게재
2024년 12월 10일 발효
2026년 6월 11일 적합성 평가 기관 통보에 관한 규정(제IV장) 적용
2026년 9월 11일 이미 시장에 출시된 제품을 포함해, 실제로 악용되고 있는 취약점과 중대한 사고의 보고 의무(제14조) 적용
2027년 12월 11일 규정의 나머지 부분 적용

CRA의 핵심 사항

의무적 보안 요구 사항

제품은 시장에 출시될 때와 지원 기간 내내 부속서 I의 필수 사이버 보안 요구 사항을 충족해야 합니다.

위험 기반 분류

대부분의 제품은 기본 범주에 속합니다. 중요 제품과 핵심 제품은 더 엄격한 적합성 평가 절차를 거칩니다.

취약점 처리

제조사는 SBOM을 유지하고, 취약점을 지체 없이 수정하며, 실제로 악용되고 있는 취약점은 24시간 이내에 보고합니다.

CE 마킹

적합성 평가를 마친 후 제조사는 EU 적합성 선언서에 서명하고 CE 마킹을 부착합니다.

문서화 및 투명성

기술 문서는 최소 10년 또는 지원 기간 동안 보관하며, 사용자는 지원 종료 시점을 안내받습니다.

시장 감시

각국 당국은 문서를 요청하고, 시정 조치나 리콜을 명령하며, 벌금을 부과할 수 있습니다.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

CRA의 적용 대상은 누구입니까?

제조사

디지털 요소 포함 제품을 개발 또는 제조하거나 위탁 제조하여, 유상이든 무상이든 자사 이름이나 상표로 판매하는 모든 자. EU 밖의 제조사도 EU에 판매하면 적용 대상입니다.

수입업체 및 유통업체

수입업체와 유통업체는 EU에서 제품을 유통하기 전에 제품에 CE 마킹이 있는지, 제조사가 의무를 이행했는지 확인해야 합니다.

오픈 소스 소프트웨어

상업 활동 과정에서 공급되는 오픈 소스만 적용 대상입니다. 오픈 소스 소프트웨어 관리자(steward)는 경감된 규제를 따르며, 제조사는 제품에 포함한 오픈 소스 구성 요소에 대해 계속 책임을 집니다.

소프트웨어 및 SaaS 제공업체

제품으로 판매되는 소프트웨어는 적용 대상이며, 제품 동작에 필요한 클라우드 백엔드도 마찬가지입니다. SaaS 자체는 CRA가 아니라 NIS2의 적용을 받습니다.

적용 제외: EU 의료기기, 체외진단 의료기기, 차량 형식 승인 규정의 적용을 이미 받는 제품, 인증된 항공 제품, 선박 장비, 동일한 예비 부품, 국가 안보 또는 국방 전용으로 만든 제품(제2조).

제품 범주와 적합성 평가

모든 제조사는 제품을 시장에 출시하기 전에 적합성 평가를 수행합니다. 평가 절차는 제품 범주에 따라 다릅니다.

범주예시적합성 평가
기본 부속서 III 또는 IV에 열거되지 않은 대부분의 디지털 요소 포함 제품 자체 평가(내부 통제) 허용
중요, 클래스 I(부속서 III) ID 및 접근 관리, 브라우저, 비밀번호 관리자, VPN, 운영체제, 라우터 및 스위치, 스마트 홈 보안 제품 조화 표준, 공통 사양 또는 인증 제도를 적용한 경우에만 자체 평가 가능, 그 외에는 인증 기관(notified body)
중요, 클래스 II(부속서 III) 하이퍼바이저 및 컨테이너 런타임, 방화벽 및 침입 탐지 시스템, 변조 방지 마이크로프로세서 및 마이크로컨트롤러 인증 기관에 의한 제3자 평가 또는 유럽 사이버 보안 인증 제도
핵심(부속서 IV) 보안 박스를 갖춘 하드웨어 장치, 스마트 미터 게이트웨이, 스마트카드 및 보안 요소 집행위원회가 요구하는 경우 유럽 사이버 보안 인증서, 그 외에는 제3자 평가

필수 요구 사항

부속서 I은 두 그룹의 필수 요구 사항을 정합니다. 첫 번째는 문서화된 사이버 보안 위험 평가를 바탕으로 제품 자체를 다룹니다.

  • 시장 출시 시점에 알려진 악용 가능한 취약점이 없을 것
  • 기본적으로 안전한(secure by default) 구성
  • 보안 업데이트, 해당되는 경우 기본적으로 자동 적용
  • 무단 접근으로부터의 보호, 데이터 기밀성과 무결성 보호
  • 데이터 최소화, 필수 기능의 가용성, 제한된 공격 표면
  • 사용자 데이터와 설정의 안전하고 영구적인 삭제

두 번째는 제조사가 취약점을 처리하는 방식을 다룹니다.

  • 최소한 최상위 종속성을 포함하는 SBOM
  • 취약점을 지체 없이 수정하고, 가능한 경우 보안 업데이트를 기능 업데이트와 분리
  • 정기적인 보안 테스트 및 검토
  • 조정된 취약점 공개 정책과 취약점 신고 연락처
  • 업데이트가 제공되면 수정된 취약점을 공개
  • 권고 메시지와 함께 업데이트를 무료로 안전하게 배포

또한 제조사는 제품의 예상 사용 기간이 더 짧지 않은 한 최소 5년의 지원 기간을 정하고, 각 보안 업데이트를 최소 10년간 제공하며, 기술 문서와 EU 적합성 선언서를 최소 10년 또는 지원 기간 중 더 긴 기간 동안 보관합니다(제13조).

보고 의무와 기한

2026년 9월 11일부터 제조사는 실제로 악용되고 있는 취약점과 중대한 사고를 Single Reporting Platform을 통해 주된 EU 회원국에서 조정자로 지정된 CSIRT와 ENISA에 동시에 통지합니다(제14조). 이는 이미 시장에 출시된 제품에도 적용됩니다.

단계실제로 악용되고 있는 취약점중대한 사고
조기 경보 인지 후 24시간 이내 인지 후 24시간 이내
통지 72시간 이내, 제품, 익스플로잇, 완화 조치에 관한 세부 정보 포함 72시간 이내, 초기 평가와 완화 조치 포함
최종 보고서 시정 또는 완화 조치가 가능해진 후 늦어도 14일 이내 사고 통지 후 1개월 이내

제조사는 영향받는 사용자, 그리고 적절한 경우 모든 사용자에게 사용자가 취할 수 있는 완화 조치를 알려야 합니다. 24시간 기한을 지키려면 어떤 제품과 릴리스에 취약한 구성 요소가 포함되어 있는지 몇 시간 안에 파악해야 하며, 릴리스별 SBOM은 바로 이를 위한 것입니다.

벌칙

벌칙은 회원국이 다음 최대 한도 내에서 정합니다(제64조). 시장 감시 당국은 시정 조치, 제품 회수 또는 리콜도 명령할 수 있습니다.

위반 사항최대 행정 벌금
필수 사이버 보안 요구 사항(부속서 I) 및 제조사 의무(제13조 및 제14조) 최대 €1,500만 또는 전 세계 연간 총매출의 2.5% 중 높은 금액
수입업체 및 유통업체의 의무, 적합성 선언, CE 마킹, 기술 문서, 적합성 평가를 포함한 기타 의무 최대 €1,000만 또는 전 세계 연간 총매출의 2% 중 높은 금액
인증 기관 또는 시장 감시 당국에 부정확하거나 불완전하거나 오해의 소지가 있는 정보 제공 최대 €500만 또는 전 세계 연간 총매출의 1% 중 높은 금액

영세 기업과 소기업은 24시간 조기 경보 기한을 놓쳐도 벌금이 부과되지 않으며, 오픈 소스 소프트웨어 관리자는 어떤 위반에 대해서도 벌금이 부과되지 않습니다.

오픈 소스와 CRA

자유 및 오픈 소스 소프트웨어는 상업 활동 과정에서 공급될 때에만 적용 대상이며, 공개 리포지토리나 패키지 관리자에 프로젝트를 호스팅하는 것만으로는 시장에 제공되는 것으로 보지 않습니다. 상업적 사용을 위한 오픈 소스 프로젝트를 지원하는 재단 같은 법인인 오픈 소스 소프트웨어 관리자(steward)는 문서화된 사이버 보안 정책을 갖추고, 시장 감시 당국에 협력하며, 개발에 관여하는 범위 내에서 실제로 악용되고 있는 취약점을 보고해야 합니다(제24조).

제조사에게 오픈 소스는 다른 구성 요소와 다르지 않습니다. 이를 통합할 때 상당한 주의를 기울이고, 발견한 취약점을 해당 프로젝트 관리자에게 보고하며, 개발한 수정 사항을 공유해야 합니다(제13조). 그래서 SBOM이 중요합니다. SBOM은 각 릴리스에 어떤 오픈 소스 구성 요소가 어떤 버전으로 포함되어 출시되는지에 대한 기록입니다.

CRA가 개발 팀에 의미하는 것

오늘날 제품은 대부분 다른 사람의 코드로 이루어져 있습니다. 오픈 소스 라이브러리, 레지스트리에서 가져온 패키지, 컨테이너 베이스 이미지, 서드파티 SDK, 그리고 이를 조립하는 빌드 도구와 CI/CD 파이프라인이 그렇습니다. SolarWinds 공격은 빌드 시스템을 통해 이루어졌고, Log4Shell은 널리 쓰이는 라이브러리의 취약점이었으며, 둘 다 완제품에까지 도달했습니다. CRA는 제조사가 제품에 포함하는 서드파티 및 오픈 소스 구성 요소에 대한 상당한 주의 의무를 포함해 이 모든 것을 책임지도록 합니다(제13조).

실제로 CRA를 준비하는 팀은 다음을 수행합니다.

  • 릴리스 시점에 한 번만이 아니라 각 빌드에서 CycloneDX 또는 SPDX 같은 기계 판독 가능 형식으로 SBOM을 생성해, 각 릴리스에 무엇이 포함되어 출시되는지 파악합니다
  • 출시 후 발견된 취약점도 지원 기간 동안 지체 없이 수정해야 하므로, 메인 브랜치뿐 아니라 출시된 버전을 모니터링합니다
  • 종속성 정책을 합의합니다. 새 구성 요소를 선택하고 검토하는 방법, 업데이트를 반영하는 속도, 릴리스를 차단하는 발견 사항을 정합니다
  • 24시간 기한을 미리 연습합니다. 실제 악용 여부를 누가 확인하고, 누가 조기 경보를 제출하며, 누가 사용자에게 알리는지 정합니다
  • 빌드 기록, SBOM, 테스트 결과는 최소 10년간 보관해야 하는 기술 문서의 근거가 되므로, 작업하면서 증거를 보관합니다

요구 사항을 단계별 로드맵으로 보려면 CRA 가이드를 참조하세요. CRA가 SBOM에 요구하는 사항과 CRACI가 CRA 컴플라이언스를 지원하는 방법도 참조하세요. 제조사에 구성 요소를 공급하시나요? 공급업체를 위한 SBOM 가이드를 참조하세요.

Cyber Resilience Act FAQ

제조사가 CRA에 대해 가장 많이 묻는 질문에 대한 간단한 답변

Cyber Resilience Act란 무엇입니까?

Cyber Resilience Act(CRA), 즉 Regulation (EU) 2024/2847은 EU 시장에 출시되는 디지털 요소 포함 하드웨어 및 소프트웨어 제품에 의무적인 사이버 보안 요구 사항을 정하는 EU 규정입니다. 제조사는 설계 단계부터 최소 5년의 지원 기간까지 보안을 책임지며, 여기에는 취약점 처리, SBOM, 실제로 악용되고 있는 취약점의 보고가 포함됩니다.

Cyber Resilience Act는 언제부터 적용됩니까?

2024년 12월 10일에 발효되었습니다. 제14조의 보고 의무는 2026년 9월 11일부터, 적합성 평가 기관에 관한 규정은 2026년 6월 11일부터, 규정의 나머지 부분은 2027년 12월 11일부터 적용됩니다.

CRA는 소프트웨어와 SaaS에도 적용됩니까?

제품으로 판매되거나 공급되는 소프트웨어는 적용 대상이며, 여기에는 앱, 운영체제, 펌웨어, 별도로 시장에 출시되는 소프트웨어 구성 요소가 포함됩니다. 클라우드 서비스는 스마트 홈 기기를 제어할 수 있게 해 주는 클라우드 백엔드처럼 제품의 원격 데이터 처리로서만 적용됩니다. SaaS(Software as a Service) 자체는 대신 NIS2의 적용을 받습니다(전문 12).

CRA는 오픈 소스 소프트웨어에도 적용됩니까?

상업 활동 과정에서 공급되는 오픈 소스에만 적용됩니다. 비상업적 오픈 소스 프로젝트는 적용 범위 밖입니다. 상업적 사용을 위한 프로젝트를 지원하는 재단 같은 오픈 소스 소프트웨어 관리자(steward)는 경감된 규제를 따르며 벌금이 부과되지 않습니다. 오픈 소스 구성 요소를 제품에 포함하는 제조사는 그에 대해 전적인 책임을 집니다.

CRA의 보고 요구 사항은 무엇입니까?

제조사는 실제로 악용되고 있는 취약점과 중대한 사고를 Single Reporting Platform을 통해 조정 CSIRT와 ENISA에 통지합니다. 24시간 이내에 조기 경보, 72시간 이내에 통지, 그리고 취약점의 경우 수정 후 14일 이내, 사고의 경우 1개월 이내에 최종 보고서를 제출합니다. 영향받는 사용자에게도 알립니다.

CRA는 SBOM을 요구합니까?

네. 부속서 I 제II부는 최소한 최상위 종속성을 포함하는, 일반적으로 사용되는 기계 판독 가능 형식의 소프트웨어 자재 명세서(SBOM)를 요구합니다. SBOM은 기술 문서의 일부이며 요청 시 시장 감시 당국에 제출합니다. 공개할 필요는 없습니다.

CRA에 따른 벌칙은 무엇입니까?

필수 요구 사항이나 제조사 의무 위반 시 최대 €1,500만 또는 전 세계 연간 매출의 2.5%, 기타 의무 위반 시 최대 €1,000만 또는 2%, 당국을 오도한 경우 최대 €500만 또는 1%입니다. 영세 기업과 소기업은 24시간 조기 경보 기한을 놓쳐도 벌금이 부과되지 않습니다.

CRA는 이미 시장에 출시된 제품에도 적용됩니까?

보고 의무는 2026년 9월 11일부터 적용됩니다. 그 밖에는 2027년 12월 11일 이전에 시장에 출시된 제품은 그 이후에 실질적으로 변경된 경우에만 CRA의 적용을 받습니다.

CRA 프로세스에 필요한 증거를 확보하세요

CRACI가 빌드에서 SBOM을 기록하고, 출시한 제품을 모니터링하며, 고객이 제출할 CRA 통지를 준비하는 방법을 확인하세요

데모 예약 CRA가 귀사에 적용되는지 확인하기