EU CRA 취약점·보안 사고 보고 의무 시행…“24시간 내 신고해야”

유럽연합 사이버복원력법(EU CRA)의 취약점 및 중대 보안 사고 보고 의무가 11일부터 시행된다. 이제 EU에 하드웨어나 소프트웨어 제품을 판매하는 기업은 제품에서 실제 공격에 악용되고 있는 취약점이나 중대한 보안사고를 알게 되면 24시간 안에 ‘EU 사이버보안청(ENISA)’에 신고해야 한다. 국내 제조사는 물론, EU 시장에 해당 제품을 공급하고 있는 모든 기업이 적용 대상이다.

EU CRA는 인터넷이나 다른 기기와 연결되는 하드웨어와 소프트웨어 등 ‘디지털 요소가 포함된 제품’의 사이버보안을 규율하는 법이다. 스마트기기 같은 완제품 뿐 아니라 애플리케이션과 운영체제, 별도로 판매되는 칩이나 소프트웨어 구성요소도 범위에 들어갈 수 있다.

CRA 전체 조항이 2026년 9월 11일부터 전면 적용되는 것은 아니다. CRA는 2024년 12월 발효됐고 제품 설계·개발 단계의 보안 요구사항 등 주요 규정은 2027년 12월 11일부터 적용된다.

실제 악용 취약점·중대 사고, 24시간 안에 먼저 알려야

이날부터 적용되는 취약점 관련 보고 대상은 크게 두 가지다. ‘하나는 실제 공격에 악용되고 있는 취약점’이다. 단순히 제품에 취약점이 있다는 사실 만으로 모두 24시간 신고 대상이 되는 것은 아니다. 제조사가 자사 제품의 취약점이 실제 악용되고 있다는 사실을 알게 된 경우 보고 의무가 발생한다.

다른 하나는 ‘제품의 보안에 영향을 주는 중대한 사고’다. 제조사가 이런 사고를 인지하면 실제 악용 취약점과 마찬가지로 단계별 보고 절차를 밟아야 한다.

첫 단계는 ‘24시간 이내 조기 경보’다. 제조사는 취약점 악용이나 중대한 사고를 알게 된 뒤 지체 없이, 늦어도 24시간 안에 신고해야 한다.

이어 72시간 이내 정리된 신고서를 제출해야 한다. 실제 악용 취약점의 경우 제품과 취약점의 성격, 공격 방식, 제조사가 취한 수정·완화 조치와 이용자가 취할 수 있는 대응 방법 등을 포함한다. 중대한 사고는 사고 성격과 초기 평가, 제조사와 이용자의 대응 조치 등을 담아야 한다.

최종 보고 시점은 두 경우가 다르다. 실제 악용 취약점은 패치 등 수정·완화 조치가 제공된 뒤 14일 이내 최종 보고서를 제출한다. 중대한 사고는 72시간 신고를 제출한 뒤 1개월 이내 최종 보고해야 한다.

EU에 이미 판매중인 제품도 보고 대상

국내 기업이 눈여겨볼 부분은 신규 제품만 대상으로 하는 규정이 아니라는 점이다. CRA의 주요 보안 요구사항은 2027년 12월 전면 적용되지만, 11일부터 시작되는 취약점 보고 의무는 EU 시장에 이미 공급된 디지털 요소 제품에도 적용된다. 2027년 12월 11일 이전에 시장에 출시된 제품도 CRA 적용 범위에 해당한다면 제14조의 보고 의무를 따라야 한다.

따라서 EU에 스마트기기와 네트워크 장비, 보안제품, 소프트웨어, 반도체나 소프트웨어 구성요소 등을 공급하는 국내 기업은 현재 판매 중인 제품까지 적용 대상을 확인할 필요가 있다.

CRA는 EU 기업에만 적용되는 규정도 아니다. EU 시장에서 제품을 판매하는 것을 기준으로 하기 때문에 EU 밖 제조사가 만든 제품도 대상이 될 수 있다. EU는 역외 제조사가 만든 제품을 시장에 공급하는 수입자에게도 제조사의 CRA 준수 여부를 확인하도록 의무를 두고 있다.

신고 창구는 ENISA ‘단일 보고 플랫폼’

기업은 EU 사이버보안청(ENISA)이 운영하는 ‘단일 보고 플랫폼(SRP)’을 이용해 신고한다. 여러 국가 기관에 각각 신고하는 대신 한 번 제출하면 지정된 컴퓨터보안사고대응팀(CSIRT)과 ENISA에 정보가 전달되는 구조다.

ENISA는 11일 보고 의무 시작에 맞춰 SRP를 운영한다. 기업에서 신고 업무를 맡은 지정 담당자(AR)는 EU 로그인 계정과 다중요소인증(MFA)을 이용해 플랫폼에 접속한다. 한 제조사에는 주 담당자 1명과 최대 20명의 보조 담당자를 둘 수 있다.

국내처럼 EU에 본사가 없는 제조사는 신고를 받을 CSIRT를 정하는 기준도 확인해야 한다. EU 내 주된 사업장이 없다면 제품을 가장 많이 담당하는 공인대리인이 위치한 회원국을 우선 기준으로 삼는다. 이에 해당하지 않으면 제품을 가장 많이 시장에 출시하는 수입자, 그다음은 유통업자가 있는 회원국 순으로 판단한다.

국내 제조사, 대응체계 서둘러야

국내 기업의 CRA 대응에서 중요한 과제는 24시간 신고기한에 맞춘 내부 대응체계를 갖추는 일이다. 보안팀이 실제 악용 취약점을 확인하면 제품팀은 영향 범위를 파악하고, 법무팀은 신고 대상 여부를 검토한 뒤 경영진 승인과 신고까지 빠르게 이어져야 한다.

국가기술표준원 무역기술장벽(TBT) AI·사이버보안위원장을 맡고 있는 양송이 커넥트에이아이(CONNECT AI) 대표는 지난 7월 열린 ‘AI·사이버보안 규제 대응 세미나’에서 “CRA 대응을 위해서는 부서 간 연결된 운영체계가 필요하다”며 “보안팀이 문제를 발견하면 제품팀이 영향 범위를 확인하고 경영진이 승인해 보고할 수 있어야 한다”고 강조했다.

이를 위해 기업이 먼저 해야 할 일은 EU에 공급한 제품과 소프트웨어, 앱, 원격 서버를 조사해 CRA 적용 여부와 기업의 역할을 분류하는 것이다. 이후 ▲취약점 접수 ▲영향 분석 ▲내부 승인 ▲EU 신고로 이어지는 절차를 정하고, 신고 양식과 기술문서를 점검한 뒤 실제 사고를 가정한 모의훈련까지 진행할 필요가 있다. 제품별 책임자와 비상연락망도 미리 정해야 한다.

TBT AI·사이버보안위원회에 따르면, EU에 공급하는 제품의 버전과 제품에 포함된 소프트웨어 구성요소를 파악하는 것도 중요하다. 취약점이 발견됐을 때 어느 제품에 영향을 주는지 바로 확인할 수 있어야 실제 악용 여부를 판단하고 24시간 안에 조기경보를 제출할 수 있기 때문이다. 외부 클라우드나 소프트웨어를 사용하는 기업은 공급자의 사고 통지 기한이 CRA 신고기한보다 늦지 않은지도 계약에서 확인해야 한다.

CRA의 제품 자체에 대한 본격적인 보안 요구사항은 2027년 12월 11일부터 적용된다. 그 전까지 국내 제조사는 제품 설계·개발 단계의 보안 요구사항과 취약점 관리, 보안 업데이트 체계 등을 준비해야 한다. 취약점·사고 보고 체계는 이미 실제 운영 단계에 들어간 만큼, 현재 EU에 제품을 공급하는 국내 기업은 관련 절차를 먼저 가동할 필요가 있다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network