EU RED 사이버보안 의무화: EN 18031과 2022/30 규정, 2025년 8월 시행
2025년 8월 1일부터 인터넷 연결 기기, 완구, 육아용품, 웨어러블 기기, 금전을 다루는 제품 등 EU에서 판매되는 많은 무선 제품은 무선기기지침(RED)의 제3(3)(d), (e), (f)조 사이버보안 요건을 충족해야 합니다. EN 18031 조화규격은 적합성 추정을 부여하지만 제한이 있으며, 경우에 따라 인증기관(Notified Body)이 제품을 평가해야 합니다.
공식 자료 확인일: 2026-10
한눈에 보기
적용 대상
위임규정 (EU) 2022/30은 일부 제품의 사이버 공격 대응력에 대한 우려에 따라 채택되었습니다. 이 규정은 무선기기지침(RED) 제3(3)(d), (e), (f)조의 필수 요건, 즉 네트워크 보호, 개인정보와 프라이버시 보호, 사기 방지를 2025년 8월 1일부터 지정된 무선기기 범주에 적용합니다.
유럽위원회는 CEN과 CENELEC에 세 가지 범용 규격을 요청했습니다. 인터넷 연결 무선기기용 EN 18031-1, 완구, 육아용품, 웨어러블 기기 등 데이터를 처리하는 무선기기용 EN 18031-2, 가상 화폐 또는 금전적 가치를 처리하는 인터넷 연결 기기용 EN 18031-3입니다. 이들의 요건은 상당 부분 겹칩니다.
적합성 추정의 제한
- 세 규격의 근거 및 안내 부분에는 적합성 추정이 부여되지 않습니다.
- 기본 비밀번호(6.2.5.1항과 6.2.5.2항): 사용자가 비밀번호를 설정하지 않을 수 있는 경우 적합성 추정이 없습니다. 제조사가 그 옵션을 사용하지 않으면 제3자 평가는 필요하지 않습니다.
- EN 18031-2의 6.1.3항에서 6.1.6항까지: 부모 또는 보호자의 접근 통제가 보장되지 않으면 적합성 추정이 없습니다.
- EN 18031-3의 6.3.2.4항(보안 업데이트): 제품 설계와 관계없이 적합성 추정이 없으므로 제3자 평가가 필수입니다.
적합성 평가
내부 생산 관리(module A)에 따른 자체 평가는 해당 EN 18031 규격을 적용하고 앞의 제한에 해당하지 않는 경우에만 허용됩니다. 무선기기지침(RED) 제17조에 따라 자발적인 제3자 평가는 언제든 가능합니다. 위임규정에 따른 사이버보안 분야에 권한이 있는 인증기관(Notified Body)만 EU 형식검사 증명서를 발급할 수 있으며, NANDO 데이터베이스는 3.3.d/e/f로 필터링할 수 있습니다.
유럽위원회는 특정 제품에 규격을 적용하는 방법에 대해서는 조언하지 않으며, 그 책임은 제조사에 있습니다. Regulation (EU) 2024/2847 같은 향후 법령도 커넥티드 제품에 영향을 줄 것입니다.
단계별 절차
- 무선 제품이 인터넷 연결 기기, 완구, 육아용품, 웨어러블 기기, 금전을 다루는 기기처럼 위임규정 (EU) 2022/30이 적용되는 범주에 속하는지 확인하세요.
- EN 18031-1, EN 18031-2, EN 18031-3 중 어느 것이 적용되는지 파악하고 제품을 그에 맞게 평가하세요.
- 제한 사항을 확인하세요: 비밀번호 옵션, EN 18031-2의 부모 접근 통제, EN 18031-3의 보안 업데이트.
- 규격이 제한 없이 적용되는 경우에만 자체 평가(module A)를 사용하고, 그렇지 않으면 NANDO에서 찾을 수 있는 3.3.d/e/f 분야에 권한이 있는 인증기관(Notified Body)을 이용하세요.
- 기술문서와 EU 적합성 선언서를 갱신하여 제3(3)(d), (e), (f)조를 포함하세요.
보통 필요한 서류
- EN 18031에 따른 사이버보안 평가를 포함한 기술문서
- 제3(3)(d), (e), (f)조를 다루는 EU 적합성 선언서
- 필요한 경우 인증기관(Notified Body)의 EU 형식검사 증명서
- 해당하는 EN 18031 규격의 시험성적서
흔한 문제와 예방법
대처 방법: 이 경우 기본 비밀번호 조항에는 적합성 추정이 없으므로 인증기관(Notified Body)의 평가를 받거나, 그 옵션을 없애야 합니다.
대처 방법: 보안 업데이트 조항 6.3.2.4는 적합성 추정을 부여하지 않으므로 제3자 평가가 필수입니다.
대처 방법: 이 경우 EN 18031-2의 6.1.3항에서 6.1.6항까지는 적합성 추정이 없으므로, 부모 또는 보호자 접근 통제를 추가하거나 인증기관(Notified Body)을 이용하세요.
대처 방법: 제3(3)(d), (e), (f)조 요건과 적용한 규격을 추가하세요.
출처
- Guidance on the application of the harmonised standards series EN 18031:2024 in support of Commission Delegated Regulation 2022/30 European Commission (DG GROW), published by Spain's Ministry for Digital Transformation
- Guide for the application of the harmonised standards of the Radio Equipment Directive cybersecurity requirements ESMIG
규정은 자주 바뀝니다. 이 노트는 위 출처를 바탕으로 한 실무 안내이며 법률 자문이 아닙니다. 선적 전에 관할 당국, 귀사의 수입자, 또는 면허를 가진 관세사에게 최신 요건을 확인하세요.
무역 노트
자주 묻는 질문
EN 18031이란 무엇인가요?
위임규정 (EU) 2022/30에 따라 무선기기지침(RED)의 사이버보안 요건을 뒷받침하는 세 가지 조화규격 시리즈로, EN 18031-1, EN 18031-2, EN 18031-3(2024)입니다.
RED 사이버보안 규정은 언제부터 적용되나요?
2025년 8월 1일부터입니다.
자체 인증이 가능한가요?
네, module A로 가능하지만 해당 EN 18031 규격이 제한의 영향을 받지 않고 적용되는 경우에만 가능하며, 그렇지 않으면 인증기관(Notified Body)이 필요합니다.
어떤 제품이 대상인가요?
지정된 무선기기 범주로, 인터넷 연결 기기, 완구, 육아용품, 웨어러블 기기 등 데이터를 처리하는 기기, 가상 화폐 또는 금전적 가치를 처리하는 기기가 해당합니다.
RED 사이버보안 인증기관(Notified Body)은 어떻게 찾나요?
3.3.d/e/f로 필터링한 NANDO 데이터베이스에서 검색하세요. 유럽위원회 안내서는 권한이 있는 기관으로 24개를 인용하고 있습니다.
다른 무료 도구
Triplicate는 무료이며 계속 좋아지고 있습니다. 도움이 되셨나요? Triplicate 응원하기 ♥
광고 없이 쓰고 싶다면? Pro로 모든 광고 제거 · 월 $1