에이스랩스, EU 사이버복원력법 보고 대응 서비스 ‘크래들’ 출시

에이스랩스(ACE LABS)는 유럽연합(EU) 사이버복원력법(CRA)의 취약점·보안사고 보고 의무에 대응하는 서비스형 제품보안사고대응팀(PSIRT-as-a-Service) 플랫폼 ‘크래들(CRAdle)’을 출시했다고 24일 밝혔다.

유럽연합 사이버복원력법 제14조의 보고 의무는 오는 9월11일부터 적용된다. EU 시장에 디지털 요소가 포함된 제품을 공급하는 제조사는 악용 중인 취약점이나 중대한 보안사고를 인지하면 24시간 안에 조기 경보를 해야 한다. 72시간 안에는 상세 통지를 제출해야 한다. 이후 최종 보고서도 내야 한다.

보고서는 유럽연합 사이버보안청(ENISA)이 운영하는 단일 보고 플랫폼(SRP)에 영어로 제출해야 한다. 의무를 위반하면 최대 1500만유로 또는 직전 회계연도 전 세계 연매출의 2.5% 가운데 큰 금액까지 과징금을 부과받을 수 있다.

크래들은 제조사가 내부 보고체계를 구축하고 정해진 기한에 보고를 준비하도록 지원한다. 사고·취약점 검토와 보고 일정 관리, 증거 기록, 제출 준비 과정을 한곳에서 관리한다.

기업 조직에 맞춰 담당자의 역할과 책임을 배정하고 전용 보고절차서를 생성하는 기능도 제공한다. 질문에 답하는 방식으로 발생한 사안이 사고인지 취약점인지 구분한다. CRA상 보고 대상인지 판단하는 과정도 지원한다.

담당자가 언제 어떤 조치를 했는지는 시간순으로 기록한다. 제조사는 규제기관의 점검이나 감사가 발생했을 때 내부 절차에 따라 대응했다는 근거로 활용할 수 있다.

크래들은 한국어 사용자 환경을 제공한다. 국내 기업의 내부 의사결정 절차도 업무 과정에 반영했다. 사고와 취약점 정보는 고객이 허용한 범위에서만 처리하도록 설계했다.

다만 CRA 보고 의무의 법적 책임은 제조사에 있다. 유럽연합 사이버보안청에 대한 최종 제출도 제조사가 직접 수행한다. 에이스랩스는 제출 전 준비 과정과 제출 절차를 지원한다.

노민석 에이스랩스 대표는 “국내 제조업체를 자문하면서 반복적으로 해결해 온 문제를 다른 기업도 활용할 수 있는 체계와 시스템으로 전환했다”며 “규제 대응체계 수립부터 첫 보고까지 시행착오를 줄이고 기한 안에 보고하도록 지원하는 것이 목표”라고 말했다.

에이스랩스는 앞으로 취약점 상시 점검과 소프트웨어 자재명세서(SBOM), 취약점 악용 가능성 교환 문서(VEX) 관리 등으로 서비스 범위를 확대할 계획이다. EU 사이버복원력법은 2027년 12월11일 전면 시행된다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network