CRA 보고 의무 시행: 제품 제조·판매 기업이 알아야 할 사항

2026년 9월 11일부터 유럽연합(EU) 사이버 복원력법(CRA) 적용 대상 제품의 제조업체는 특정 사이버 보안 취약점과 중대한 사고를 보고해야 합니다. 제품을 제조·판매하는 기업은 보안 문제가 발견되었을 때 대응할 수 있도록 담당 인력과 절차를 갖추어야 합니다.

이미 시작된 보고 의무

지금까지 CRA에 관한 논의는 주요 의무가 적용되는 2027년 12월에 집중되어 왔습니다. 하지만 보고 의무는 이미 시행 중입니다. 기업은 보고 대상에 해당하는 문제를 파악하고, 그 영향을 평가하며, 정해진 짧은 기한 안에 필요한 정보를 관계 당국에 전달할 수 있어야 합니다. 유럽위원회의 보고 요건 안내에서 자세한 내용을 확인할 수 있습니다.

이 규정은 CRA 적용 범위에 속하는 하드웨어와 소프트웨어 제조업체에 적용되며, 여기에는 다양한 연결 기기와 산업용 제품이 포함됩니다. 이미 시장에 출시된 제품도 대상입니다. 협력사가 개발한 제품이라도 자사 브랜드로 판매한다면 CRA상 제조업체로 간주될 수 있습니다. 유럽위원회의 적용 대상 안내를 확인해 보세요.

어떤 문제를 보고해야 할까요?

보고 의무는 크게 두 가지 상황에 적용됩니다. 제품의 보안 취약점이 실제 공격에 악용되고 있거나, 제품 보안에 영향을 미치는 중대한 사고가 발생한 경우입니다. 일반적인 소프트웨어 오류나 테스트 중 발견한 취약점이라고 해서 모두 보고해야 하는 것은 아닙니다. 기업은 발생한 상황을 파악하고 보고 기준에 해당하는지 판단해야 합니다.

보고가 필요한 경우 제조업체는 부당한 지체 없이 조치해야 합니다. 문제를 인지한 시점부터 24시간 이내에 조기 경보를 제출하고, 인지한 시점부터 72시간 이내에 더 상세한 통지를 제출해야 합니다. 두 기한 모두 같은 시점부터 계산합니다. 조사가 진행 중이어도 최초 경보를 제출할 수 있습니다.

보고는 유럽연합 사이버보안청(ENISA)의 단일 보고 플랫폼을 통해 해당 국가의 사이버 보안 대응팀과 ENISA에 전달됩니다. 후속 보고도 필요합니다. 악용된 취약점은 시정 또는 완화 조치를 사용할 수 있게 된 시점부터 14일 이내에, 중대한 사고는 상세 통지 후 1개월 이내에 보고해야 합니다. 영향을 받는 사용자에게도 문제와 필요한 보호 조치를 알려야 합니다. 이러한 의무는 CRA 제14조에 규정되어 있습니다.

실제로 작동하는 대응 체계 마련하기

금요일 오후, 자사 제품에 관한 보안 경보를 받았다고 생각해 보세요. 누가 내용을 검토하고, 누가 의사결정을 내리며, 누가 보고와 고객 소통을 담당할지 팀원들이 알고 있어야 합니다. 역할과 책임이 명확하면 아직 모든 사실이 밝혀지지 않은 상황에서도 필요한 조치를 취할 수 있습니다.

다음 항목부터 점검해 보세요.

제품을 파악하세요. 영향을 받을 수 있는 제품과 소프트웨어 구성요소를 한눈에 확인할 수 있도록 정리해 두세요.

담당자를 정하세요. 업무시간 외에도 누가 경보를 받고, 긴급성을 판단하며, 대응을 조율할지 합의해 두세요.

절차를 마련하세요. 보고 방법, 기록 관리, 고객 소통 절차를 정하세요.

함께 연습하세요. 실제로 발생할 수 있는 상황을 가정해 관련 담당자들과 대응 과정을 점검하고, 부족한 부분을 찾아 보완하세요.

Svep이 도와드립니다

Svep의 CRA Monitoring 서비스는 기업이 관련 보안 위험을 지속적으로 파악하고, 그 위험이 자사 제품에 어떤 의미가 있는지 이해하도록 돕습니다. 경보를 평가하고 영향을 받는 제품을 식별하며, 고객 소통, 문서화, 보고 등 후속 조치를 지원합니다.

또한 주말과 공휴일을 포함해 1년 365일 비상 대응 대기를 담당합니다. Svep이 보안 경보 모니터링과 초기 평가를 맡으므로, 고객사의 엔지니어는 주말과 공휴일에 대기 근무를 하지 않아도 됩니다.

Svep의 사이버 보안 전문가는 전자 분야, 임베디드 소프트웨어, 연결 제품에 경험이 있는 엔지니어들과 함께 일합니다. 이를 바탕으로 보안 경보가 해당 제품과 구성요소, 그리고 그 제품을 사용하는 사람들에게 어떤 영향을 미치는지 살펴볼 수 있습니다.

여러분의 팀은 대응할 준비가 되어 있나요? Svep의 CRA Monitoring 서비스를 살펴보시거나 문의해 주세요. 귀사 제품에 맞는 실질적인 대응 방안을 함께 논의하겠습니다.