EU 재고와 CRA: 2027년 12월 11일 이전에 출시한 제품은 어떻게 되나요?

2027년 12월이 다가오면서, 많은 한국 제조업체가 같은 걱정을 합니다. "EU 창고에 있는 재고는 전부 다시 만들어야 하는가."

답은 대부분의 경우 "아니오"입니다. 사이버복원력법(CRA)에는 경과 조치가 있어, 2027년 12월 11일 이전에 EU 시장에 출시한 제품은 원칙적으로 새 요건의 적용을 받지 않은 채 판매를 계속할 수 있습니다.

다만 이 안심에는 조건이 두 가지 붙습니다. 그리고 판정은 제품 모델이 아니라 1대 단위로 이루어집니다. 창고 재고와 유통 재고를 나누는 기준을 판정 절차와 실제 사례로 정리합니다.

2027년 12월 11일에 달라지는 것과 달라지지 않는 것

CRA의 주요 의무는 2027년 12월 11일부터 적용됩니다. 이날 이후 EU 시장에 처음 출시하는 제품은 보안 요건 적합성, 기술 문서, CE 마킹까지 전면 대응이 필요합니다.

반면 그 날짜 이전에 EU 시장에 출시한 제품에 대해서는 CRA가 소급 적용을 요구하지 않습니다. 이미 출하한 1대를 회수해 다시 만들 의무도, 서류를 나중에 갖출 의무도 원칙적으로 발생하지 않습니다.

달라지지 않는 부분을 먼저 짚으면 전체 그림을 파악하기 쉽습니다.

판정은 '모델 단위'가 아니라 '1대 단위'

가장 오해가 많은 지점이 여기입니다. 기준일은 제품 모델이나 부품 번호에 연결되지 않고, 개별 제품에 연결됩니다.

같은 부품 번호의 제품이 2대 있다고 가정합니다. 1대는 2027년 11월에 EU 수입업체에 납품을 마쳤습니다. 다른 1대는 2028년 1월에 처음 EU로 출하합니다. 앞의 1대는 경과 조치의 대상이고, 뒤의 1대는 전면 대응이 필요합니다. 설계와 부품이 동일해도 처리는 달라집니다.

따라서 "이 모델은 대응을 마쳤는가"라는 질문에는 정확히 답할 수 없습니다. 정확한 질문은 "이 1대는 언제 EU 시장에 출시했는가"입니다.

'시장 출시'와 '유통 판매'의 차이가 모든 것을 결정합니다

판정의 기준이 되는 개념은 두 가지뿐입니다.

시장 출시는 해당 1대를 EU 시장에서 처음으로 상업적 유통에 놓는 것을 말합니다. 통상 EU 수입업체나 판매점에 대한 최초 공급이 여기에 해당합니다.

유통 판매는 이미 시장에 출시된 1대가 유통망 안에서 다음 단계로 넘어가는 것을 말합니다. 판매점 창고의 재고가 소매로 흘러가고, 최종 고객에게 팔립니다. 이 흐름이 몇 번 반복되어도 새로운 시장 출시에는 해당하지 않습니다.

즉, 2027년 12월 11일 이전에 EU 유통망에 이미 공급된 재고는 기준일이 지나도 소진될 때까지 판매를 이어갈 수 있습니다. '재고 소진 기한' 같은 규정은 없습니다.

창고 재고·유통 재고 판정 절차

수중의 재고를 나눌 때는 1대씩 다음 순서로 확인합니다.

flowchart TD
    A["이 1대는 EU 시장에서\n최초의 상업적 공급을 마쳤는가"] -->|"예·기준일 이전"| B["경과 조치의 대상\n판매 지속 가능"]
    A -->|"예·기준일 이후"| C["전면 대응 필요"]
    A -->|"아니오"| D["시장 출시 미완료\n기준일 이후 공급이면 전면 대응"]
    B --> E{"기준일 이후에\n대규모 변경을 가했는가"}
    E -->|"아니오"| F["대상 외로 유지\n신고·통지 의무는 적용"]
    E -->|"예"| G["해당 제품은 대상으로 복귀"]

사례별로 정리하면 다음과 같습니다.

두 가지 예외: 신고·통지 의무와 시계를 되돌리는 변경

경과 조치에는 예외가 두 가지 있고, 둘 다 실무에 미치는 영향이 큽니다.

예외 1: 신고·통지 의무는 기존 제품에도 미칩니다. 악용 중인 취약점과 중대 사고가 발생했을 때의 당국 신고와 영향을 받는 이용자 통지 의무는 2026년 9월 11일부터, 이미 시장에 출시된 제품에도 적용됩니다. 경과 조치는 이 의무를 면제하지 않습니다. 보고 체계를 구축하는 방법은 취약점 보고 의무 해설 기사에서 자세히 설명합니다.

예외 2: 대규모 변경은 시계를 되돌립니다. 2027년 12월 11일 이후에 보안 요건 적합성에 영향을 주는 변경, 또는 용도를 바꾸는 변경을 가한 제품은 그 시점에 새 요건의 대상으로 복귀합니다.

다만 모든 업데이트가 대규모 변경에 해당하지는 않습니다. 위험을 낮추기만 하는 통상적인 보안 패치는 대규모 변경이 아닙니다. 반면 새로운 연결 기능 추가, 인증 방식 변경, 용도 확대 등은 해당할 수 있습니다. 개조가 제품의 역할 분담에 미치는 영향은 브랜드·OEM 역할 가이드도 참고하십시오.

남겨야 할 증거: 로트·시리얼·거래·펌웨어

경과 조치 자체에 기록 요건은 없습니다. 다만 시장 감시 기관이 문의했을 때, "이 1대는 기준일 이전에 시장 출시를 마쳤다"는 사실을 기록으로 보여줄 수 있는지에 따라 대응 부담이 크게 달라집니다.

최소한 갖추어야 할 것은 다음 네 가지입니다.

• 로트·시리얼 번호 기록: 어느 개체가 어느 출하에 포함되었는지 특정할 수 있어야 합니다
• 거래 서류: EU 수입업체·판매점에 대한 최초 공급을 보여주는 주문서, 인보이스, 납품 수령 기록
• 출하와 펌웨어의 대응 관계: 각 로트가 출하 시점에 어떤 버전을 탑재했는지
• 변경 이력: 기준일 이후 배포한 업데이트의 내용과, 그것이 대규모 변경에 해당하지 않는 이유에 대한 기록

이 네 가지는 뒤에 나오는 실제 사례처럼 "같은 부품 번호의 2대"를 구분해 설명하는 상황에서 그대로 당국용 설명 자료가 됩니다.

실제 사례: 같은 부품 번호의 SSD 컨트롤러 모듈

한국 부품 제조사를 가정한 예로 판정 흐름을 확인합니다.

SSD 컨트롤러 모듈 "SC-820"을, 독일 산업용 PC 제조사에 EU 수입업체를 거쳐 계속 공급하고 있다고 가정합니다.

1호기는 2027년 10월, 로테르담의 EU 수입업체에 납품했습니다. 수입업체 창고를 거쳐 2028년 3월에 독일 제조사의 산업용 PC에 실제로 장착됩니다. 장착이 기준일을 지났어도 시장 출시는 2027년 10월에 이미 끝났습니다. 이 1대는 경과 조치의 대상이며, CRA 새 요건 대응은 필요하지 않습니다. 취약점 신고·통지 의무만 2026년 9월 11일부터 적용됩니다.

2호기는 같은 부품 번호·같은 구성으로, 2028년 2월에 처음 EU로 출하합니다. 이 1대는 새로운 시장 출시에 해당하며 전면 대응이 필요합니다. 보안 요건 적합성, 기술 문서, CE 마킹을 갖춘 뒤 공급합니다.

그리고 2028년 6월, 1호기를 포함해 이미 출하한 모듈에 펌웨어 업데이트를 배포하여 새로운 원격 관리 인터페이스를 추가한다고 가정합니다. 이 업데이트는 연결 범위를 넓히는 변경이며, 대규모 변경에 해당할 가능성이 높은 개조입니다. 해당한다면 1호기도 그 시점에 대상으로 복귀합니다. 배포 전에 변경 내용의 평가와 기록이 필요합니다.

이 세 장면을 구분해서 관리할 수 있는지가, 경과 조치를 안전하게 활용할 수 있는지를 가르는 지점입니다.

거래처에 어떻게 설명할 것인가

기준일이 지나면 EU 수입업체와 판매점의 문의가 늘어납니다. 전형적인 질문은 "이 재고에는 CRA 서류가 없는데 팔아도 되느냐"입니다. 상대방도 새 의무에 익숙하지 않은 시기이므로, 근거를 갖춰 짧게 답할 수 있는 준비가 힘이 됩니다.

실무에서는 다음 세 가지면 충분합니다.

• 한 장짜리 설명 메모: 해당 로트가 기준일 이전에 시장 출시를 마쳤다는 것, 경과 조치의 대상이라는 것, 신고·통지 의무에는 대응하고 있다는 것을 짧게 정리한 문서
• 뒷받침 기록: 해당 로트의 최초 상업 공급을 보여주는 인보이스나 납품 수령 기록 사본
• 문의 창구: 추가 질문에 답할 담당자의 연락처

"이 재고에 새 서류는 필요 없습니다"라고만 답하는 것과 근거를 함께 보내는 것은 거래의 지속성에서 차이가 큽니다. 판매 명의나 역할 분담 자체로 이야기가 번지면 브랜드·OEM 역할 가이드의 정리가 도움이 됩니다.

지금 해 둘 일

기준일까지 다음 다섯 가지를 마쳐 두면 재고 판정은 며칠이면 끝나는 작업이 됩니다.

1. EU향 SKU 목록 만들기: 현재 EU에서 판매 중인 제품과 향후 1년 내 출하 예정 제품을 구분합니다
2. 로트·시리얼을 최초 공급일에 대응시키기: 어느 개체가 언제, 누구에 대한 공급으로 시장에 나갔는지 기록에서 특정합니다
3. 판정 절차로 분류하기: 이 글의 절차에 따라 기준일 이전·기준일 이후·미출시의 세 그룹으로 나눕니다
4. 예정된 업데이트 점검하기: 2027년 12월 11일 이후 배포 예정인 펌웨어 업데이트와 기능 추가를 정리하고, 대규모 변경에 해당할 가능성을 배포 전에 평가합니다
5. 변경 관문 만들기: 이후의 업데이트는 배포 전에 사용 목적과 보안 적합성에 대한 영향을 확인한 뒤 내보내는 운영으로 전환합니다

여기까지 되어 있으면 거래처 설명도, 당국 문의도 기존 기록을 보여주는 것으로 끝납니다.

CRA Evidence의 컨설팅 지원

CRA Evidence는 EU 시장에 제품을 공급하는 한국 제조업체를 대상으로, 재고·출하 기록 점검부터 경과 조치 적용 판정, 변경 관리 체계 구축까지 일관되게 지원합니다.

제품 라인별·로트별로 "어느 1대가 어느 쪽에 해당하는지"를 구분하고, 당국 문의에 제시할 수 있는 기록의 형태로 정리합니다. 먼저 무료 진단에서 대상 제품과 재고 현황을 알려 주십시오. CRA 적용 여부 확인 도구로 제품이 CRA 대상인지 먼저 확인할 수도 있습니다.