EU 사이버 복원력법(CRA): 2026년 9월 보고 의무, 2027년 CE 요건

적용 범위와 적합성 평가

CRA는 EU 시장에서 제공되는 디지털 요소가 있는 하드웨어 및 소프트웨어 제품에 적용되며, 의도된 용도 또는 합리적으로 예측 가능한 용도에 직접 또는 간접적인 데이터 연결이 포함되는 경우 원격 데이터 처리 솔루션과 별도로 시장에 출시되는 구성품도 포함됩니다. 상업 활동으로 공급되지 않는 제품은 대상이 아니며, 다른 EU 법령이 적용되는 일부 제품은 제외됩니다.

대부분의 제품은 자체 평가(내부 생산 관리, module A)를 사용할 수 있습니다. 중요 제품 등급 I은 조화규격, 공통 사양 또는 유럽 사이버보안 인증 제도를 적용한 경우에만 자체 평가할 수 있으며, 그렇지 않으면 인증기관(Notified Body)이 필요합니다. 중요 제품 등급 II와 핵심 제품은 제3자 평가 또는 인증 제도가 필요합니다. 조화규격을 사용하면 적합성 추정이 부여됩니다.

제조사의 의무

• 사이버보안 위험 평가를 실시하고, 지원 기간 중의 취약점 처리를 포함해 부속서 I의 필수 요건을 충족해야 합니다.
• 통합된 제3자 구성품에 대해 실사(due diligence)를 수행해야 합니다.
• 시장감시당국이 열람할 수 있도록 기술문서를 보관해야 합니다.
• 부속서 II에 따라 식별 정보와 연락처, 사용자 정보를 제공해야 하며, 여기에는 구매 시점에 표시하는 지원 기간 종료일(월과 연도)이 포함됩니다.
• 제품을 시장에 출시하기 전에 EU 적합성 선언서를 작성하고 CE 마킹을 부착해야 합니다.
• 실제로 악용되고 있는 취약점과 심각한 사고를 보고해야 합니다: 24시간 이내 조기 경보, 72시간 이내 통지, 그리고 최종 보고서는 (취약점의 경우) 수정 조치가 제공된 후 14일 이내, (심각한 사고의 경우) 1개월 이내에 제출합니다.

수입자, 유통업자, 일정

수입자는 제조사가 적합성 평가를 수행했는지, 기술문서가 존재하는지, 제품에 CE 마킹이 부착되어 있는지 확인해야 하며, 부적합한 제품을 시장에 출시해서는 안 됩니다. 유통업자는 CE 마킹과 지원 기간을 포함한 제조사 및 수입자의 정보를 확인해야 합니다. 두 주체 모두 취약점을 제조사에 알리고 당국에 협력해야 합니다. 제조사는 서면 위임으로 공인대리인(authorised representative)을 지정할 수 있습니다.

보고 의무는 이미 시장에 있는 제품에도 2026년 9월 11일부터 적용됩니다. 주요 조항은 2027년 12월 11일부터 적용되며, 이미 시장에 있는 제품은 그 날짜 이후 실질적으로 변경된 경우에만 대상이 됩니다. 사이버보안에 관한 기존 EU 형식검사 증명서는 더 일찍 효력을 잃지 않는 한 2028년 6월 11일에 만료됩니다. 제재는 각 회원국이 정하며, 초소기업과 소기업은 24시간 기한을 지키지 못해도 과징금을 부과받지 않을 수 있습니다.