EU 디지털 정책의 흐름 속에서 등장한 CRA

 

EU는 ‘디지털 시대에 적합한 유럽’이라는 목표 아래 온라인플랫폼, 데이터, 인공지능, 사이버보안 등 디지털 전 분야에 걸쳐 입법을 추진해 왔다. 그 중심에는 신뢰와 보안이라는 두 가지 가치가 자리하고 있다. 2020년 12월 발표된 새로운 사이버보안 전략을 시작으로 NIS2 지침, 주요조직복원력(CER) 지침이 개정되었고, 2023년에는 사이버연대법과 사이버보안법 개정안이 잇따라 제안되었다.

 

이러한 흐름의 연장선에서 등장한 것이 바로 사이버복원력법, 즉 CRA(Cyber Resilience Act)다. 기존 입법들이 필수·중요 조직의 보안 의무나 인프라 복원력에 초점을 맞췄다면, CRA는 한 걸음 더 나아가 EU 시장에 공급되는 제품 자체에 사이버보안 기준을 부과한다. 특히 스마트 팩토리 설비, 산업용 로봇, 센서, PLC, 네트워크 장비 등 인터넷에 연결되는 산업용 하드웨어와 그 제어 소프트웨어가 정면으로 규제 대상에 포함된다는 점에서, EU 시장 수출용 자동화·전기전자 장비를 만드는 국내 기업이라면 결코 남의 일이 아니다.

 

CRA란 무엇인가

 

CRA는 디지털 요소가 포함된 제품(Products with Digital Elements, PDE)의 설계부터 개발, 배포, 유지보수, 폐기에 이르는 전체 수명 주기에 걸쳐 사이버보안 의무를 부과하는 EU 규정이다. EU 집행위원회 공식 자료 기준으로 2024년 12월 10일 발효되었다.

 

기존 제품 인증 제도와 가장 크게 구분되는 지점은 ‘출시 후 지속 의무’다. 출시 시점에 한 번 보안 인증을 받는 것으로는 요건을 충족했다고 볼 수 없다. 제조사와 공급사는 제품이 시장에 유통되는 동안 발견되는 취약점에 지속적으로 대응하고, 보안 업데이트를 제공하며, 실제로 악용되고 있는 취약점이나 중대한 보안 사고가 발생하면 이를 당국에 신고할 의무를 진다.

 

적용 대상은 IoT 기기·스마트 디바이스·산업용 장비·네트워크 장비를 포함한 하드웨어와 소프트웨어 전반이다. 상업적 활동의 일환으로 EU 시장에 공급되는 오픈소스 소프트웨어도 대상에 포함되지만, 대가 없이 기여하는 개발자 개인의 활동이나 비상업적 오픈소스 프로젝트는 일반적으로 제외된다. 클라우드나 SaaS와 같은 서비스형 제품은 원칙적으로 CRA 적용 대상이 아니다. 다만 제품의 핵심 기능을 수행하기 위해 제조사가 직접 또는 제조사 책임 하에 운영하는 원격 데이터 처리 요소는 예외적으로 해당 제품의 일부로 간주되어 규제 대상에 포함될 수 있다. 즉 ‘클라우드 서비스는 무조건 제외’가 아니라, 그 서비스가 제품 기능과 분리될 수 없을 만큼 결합되어 있는지가 판단 기준이 된다. 자사 제품이 어느 범주에 해당하는지는 법률·기술 전문가와 함께 사전에 명확히 분류해 둘 필요가 있다.

 

미준수 시 제재 수위도 가볍지 않다. 최대 1,500만 유로 또는 전 세계 연매출의 2.5% 중 높은 금액이 벌금으로 부과될 수 있으며, 시정조치와 제품 리콜, 판매 중단 같은 행정명령이 뒤따를 수 있다. 무엇보다 CE 마킹·적합성 평가 절차가 지연되면 제품 출시 일정 자체가 밀리고, EU 공급망 벤더 검증 과정에서 탈락할 위험도 커진다.

 

최소 5년의 지원 의무(Art. 13(8)) — 놓치기 쉬운 조항

 

CRA 제13조 8항은 취약점 대응을 위한 최소 5년의 지원 기간을 의무화하고 있다. 즉 제품을 구매한 최종 고객은 해당 제품에 대해 최소 5년간 업데이트를 받아야 한다.

 

버전 관리 측면에서는 몇 가지 실무적 기준이 있다. 실질적으로 변경된 새로운 버전이 출시되면 그 버전은 별도의 5년 지원 의무와 함께 판매될 수 있는 반면, 패치나 마이너 업데이트는 원 제품(‘parent’ product)의 최초 출시일에 계속 종속된다. 또한 업그레이드 방식이 유료인지 무료인지에 따라 지원 범위가 달라진다. 업그레이드(예: v2.0 → v3.0)가 유료로 제공되는 경우에는 일반적으로 모든 버전이 계속 활성 지원 상태를 유지해야 하지만, 업그레이드가 무료로 제공되는 경우에는 통상 최신 버전만 지원하면 되는 것으로 본다.

 

이 조항은 제품이 배포된 이후 방치되는 것을 막기 위해 마련되었다. 2026년 3월 발표된 초안 가이드라인은 무엇이 마이너 업데이트이고 무엇이 메이저 업데이트인지에 대한 판단 기준을 어느 정도 명확히 했지만, 여전히 추가적인 해석이 필요한 상황이다.

 

CRA 주요 일정 — 2027년만 바라봐서는 안 된다

 

CRA의 의무는 한 시점에 일괄 적용되지 않고 단계적으로 발효된다. 많은 기업이 ‘2027년 12월’이라는 최종 시한만 기억하지만, 실제로는 그보다 앞서 준비가 필요한 지점들이 있다.

 

· 2024년 12월 10일 : CRA 발효. EU 내 공식 시행과 함께 제조사의 준비 의무가 시작된다.

 

· 2026년 9월 11일 : 취약점·사고 보고 의무가 먼저 적용되는 시점이다. 이날부터 제조사는 실제로 악용되고 있는 취약점을 인지한 경우 24시간 이내에 1차 신고를, 72시간 이내에 상세 신고를, 이후 후속 조치가 마련되면 14일 이내(또는 중대 사고의 경우 1개월 이내)에 최종 보고서를 유럽사이버보안청(ENISA) 및 관할 회원국 CSIRT에 제출해야 한다. 이 보고 의무는 신제품뿐 아니라 이미 EU 시장에 유통 중인 기존 제품에도 소급 적용된다. 다만 이는 취약점·사고 보고 의무에 한정된 이야기이며, 보안 설계·기술문서·적합성 평가 등 CRA의 나머지 의무 전반이 기존 제품에 전면 소급된다는 뜻은 아니다.

 

· 2027년 12월 11일 : CRA의 주요 의무가 본격 적용되는 시점이다. 이때부터 미준수 제품은 EU 시장 유통이 제한되고, 안전 설계(Annex I) 요건 미충족에 따른 벌금 부과가 본격화된다.

 

즉 ‘2027년까지 여유가 있다’는 인식은 착시에 가깝다. 취약점 신고 체계를 가동하려면 그 전제가 되는 SBOM(소프트웨어 부품표)과 취약점 모니터링 체계가 먼저 갖춰져 있어야 하는데, 이러한 체계 구축과 인증 절차까지 고려하면 준비 착수는 최소 12~18개월 전부터 필요하다는 실무적 평가가 많다. 2026년 9월이라는 첫 마감을 기준으로 역산하면, 실제 준비 시계는 이미 돌아가기 시작했다고 보는 편이 맞다.

 

국내 자동화·전기전자·IoT 기업이 지금 준비해야 하는 이유

 

CRA는 EU 역내에 사업장을 둔 기업뿐 아니라 EU 시장에 제품을 수출하는 비EU 기업 모두에 적용된다. 국내 기업도 예외가 아니다.

 

산업용 장비나 스마트 팩토리 설비, 전자기기를 EU로 수출하는 제조사는 CE 마킹·적합성 평가 지연이 곧 수출 중단으로 이어질 수 있다. MES, 임베디드 소프트웨어, 산업용 보안 소프트웨어 등을 EU 고객사에 공급하는 기업이라면 계약 탈락이나 공급망 배제의 위험을 안고 있다. 스마트홈 기기, 의료기기, 자동차 부품, 산업용 센서처럼 디지털 요소를 포함해 EU 시장에 출시되는 제품은 CRA 적용 여부와 범위를 면밀히 검토해야 하며, 적용 대상에 해당하는 경우 적합성 요건을 충족하지 못하면 판매 제한, 시장 철수, 리콜 등 시장감시 조치를 받을 수 있다. 상업 목적으로 오픈소스를 포함한 제품을 EU에 배포하는 기업에는 취약점 대응 책임이 새롭게 부과된다. 글로벌 장비·솔루션 벤더의 국내 대리점이나 리셀러 역시 최종 책임은 제조사에 있다 하더라도 유통 경로 검증 의무에서 자유롭지 않다.

 

CRA가 요구하는 방식은 사후적 보완이 아니라 설계 단계부터의 보안 내재화다. 제품 개발이 끝난 뒤 취약점을 가리는 방식은 허용되지 않으며, 기획·설계·개발·배포·유지보수 전 과정에 보안이 내재되어야 하므로 기존 개발 프로세스 자체를 점검하고 재정비하는 작업이 수반될 수 있다. 아울러 EU 개인정보보호규정(GDPR)이 그러했듯, CRA 역시 EU 시장 진입 요건으로 확산될 가능성이 높다는 전망이 나온다. 준비를 미룰수록 2026년 9월 보고 의무와 2027년 12월 전면 적용이라는 두 마감이 동시에 다가오는 부담을 떠안게 된다.

 

탈레스는 어떻게 도움을 줄 수 있는가

 

CRA 요구사항은 크게 설계·개발 단계와 배포·운영 단계로 나뉜다. 이 중 배포·운영 단계의 기술적 요건에 대해 탈레스 Sentinel 플랫폼이 실질적인 대응 수단을 제공한다.

 

코드 난독화와 데이터 파일 암호화를 지원하는 Sentinel Envelope는 위변조 방지 및 무결성 보장 요건을, 사용자·디바이스·기능 기반 라이선싱을 제공하는 Sentinel LDK는 접근 제어 요건을 충족하는 데 활용할 수 있다. 서명된 업데이트를 자동 배포하는 Sentinel UP과 배포·활성화 이력을 관리하는 Sentinel EMS는 각각 안전한 업데이트 제공과 로그·감사 추적 요건 대응에 도움이 된다.

 

다만 SBOM 구축이나 취약점 접수·평가·보고 체계(PSIRT) 운영과 같이 기업 내부의 프로세스와 거버넌스 영역은 솔루션만으로 해결되지 않는 부분이다. 탈레스는 이러한 기술적 요건 대응을 지원하는 한편, 자사 제품이 CRA 적용 대상에 해당하는지 진단하는 단계부터 함께 검토해 나가는 파트너 역할을 하고 있다.