한국 HBM·SSD·CXL 공급업체를 위한 CRA 실무 가이드

한국 반도체 기업은 AI 서버와 데이터센터 공급망의 중심에 있습니다. HBM, DRAM, NAND, 엔터프라이즈 SSD, CXL 메모리, 컨트롤러 펌웨어, 보안 칩은 EU 클라우드·서버·통신 장비 고객의 구매 심사에 직접 연결됩니다.

EU 사이버복원력법(CRA)은 스마트 가전이나 IoT 기기만 다루는 규정이 아닙니다. EU 시장에 공급되는 소프트웨어·하드웨어 제품, 그리고 별도로 시장에 출시되는 소프트웨어·하드웨어 부품도 적용 범위에 들어갑니다.

다만 HBM이나 DRAM이 곧바로 중요 제품 Class I이 되는 것은 아닙니다. CRA 분류는 제품명이나 업계 관심도가 아니라 EU 시장에 출시되는 제품의 기능을 기준으로 판단합니다. 일반 메모리 칩, 기업용 SSD, CXL 모듈, 보안 컨트롤러, 업데이트 유틸리티는 서로 다른 분석이 필요합니다.

스마트 TV, 가전, IoT 협력사 계약 문제는 삼성·LG 협력사를 위한 EU CRA 대응 전략에서 다룹니다. 이 글은 반도체·메모리·데이터센터 부품 공급업체의 증빙 범위에 집중합니다.

적용 대상의 경계

CRA는 제품의 디지털 기능과 연결성을 봅니다. 반도체 분야에서는 이 기준이 단순하지 않습니다. 메모리 칩은 데이터를 저장하지만, 자체 소프트웨어 업데이트나 외부 인터페이스가 없는 부품도 있습니다. 반면 SSD, CXL 모듈, 컨트롤러 보드, 보안 칩, 관리 소프트웨어는 펌웨어와 업데이트 경로를 갖습니다.

제품별로 먼저 구분해야 할 대상은 다음과 같습니다.

핵심은 제품 단위입니다. 완제품 서버 안에 메모리 모듈이 들어간다는 사실만으로 메모리 공급업체가 완제품 제조업체가 되지는 않습니다. 반대로 한국 기업이 자사 브랜드의 SSD, CXL 장치, 보안 칩, 관리 소프트웨어를 EU 고객에게 직접 공급하면 해당 제품의 제조업체 지위를 검토해야 합니다.

직접 의무와 계약 의무

반도체 공급망에서는 법적 의무와 계약 의무가 자주 섞입니다. 둘을 분리해야 합니다.

EU 브랜드, OEM/ODM, 부품 공급사, 수입자 역할을 먼저 나눠야 한다면 한국 공급망 CRA 역할 가이드를 함께 보십시오.

EU 고객이 요구하는 증빙은 법적 제조업체에게만 도달하지 않습니다. 완제품 제조업체가 24시간 내 신고와 안전 업데이트 책임을 지려면, 부품 공급업체의 정보가 먼저 필요합니다. 따라서 직접 CRA 의무가 없더라도 계약상 증빙 요구는 먼저 도착합니다.

분류 오해 방지

반도체 분야에서 가장 위험한 오해는 "AI 반도체이므로 중요 제품"이라는 판단입니다. CRA의 중요 제품 목록은 인공지능 성능이나 전략 산업 여부를 기준으로 하지 않습니다.

일반 원칙은 다음과 같습니다.

• HBM, DRAM, NAND는 제품명만으로 부속서 III 중요 제품이 아닙니다.
• 엔터프라이즈 SSD도 자동으로 Class I이 아닙니다. 제품 기능, 관리 소프트웨어, 보안 기능, 네트워크 인터페이스 여부를 따로 봅니다.
• 별도 판매되는 NIC, DPU, SmartNIC은 네트워크 인터페이스 제품으로 Class I 논점이 있습니다.
• 보안 기능을 핵심으로 판매하는 MCU, 마이크로프로세서, ASIC, FPGA는 Class I 검토 대상입니다.
• 내탬퍼 마이크로프로세서·마이크로컨트롤러는 Class II 검토 대상입니다.
• 완제품 안에 내장된 부품은 완제품 리스크 평가와 SBOM 범위에 들어가지만, 그 사실만으로 완제품 전체의 분류가 올라가지는 않습니다.

제품의 네 가지 분류와 적합성 평가 경로는 CRA 제품 분류 가이드에서 별도로 정리했습니다. 반도체 부품은 이 가이드를 기준으로 제품 단위 판단표를 만들어야 합니다.

부품별 분류 판단표

집행위원회는 2025년 12월 21일부터 시행된 이행규정(EU) 2025/2392를 통해 중요 제품과 핵심 제품 각 범주의 구속력 있는 기술 설명을 제공합니다. 이전에는 "메모리는 자동으로 중요 제품이 아니다"라는 원칙만 있었습니다. 이제는 부품별로 그 경계를 구체적으로 그을 수 있습니다.

판단 기준은 하나입니다. 부품의 핵심 기능이 중요 제품 목록에 있는 범주와 일치하는가입니다. 메모리·컨트롤러 계열에서 이 목록과 맞닿는 범주는 보안 기능을 갖춘 마이크로컨트롤러, 마이크로프로세서, ASIC·FPGA, 그리고 네트워크 인터페이스입니다. 내탬퍼 마이크로프로세서·마이크로컨트롤러는 한 단계 위 등급을 검토합니다.

이 표는 특정 업체의 특정 부품에 확정 분류를 부여하지 않습니다. 같은 SSD 컨트롤러라도 자가암호화(SED)와 보안 부팅을 핵심 기능으로 내세워 별도 판매하면 판단이 달라집니다. 기술 설명을 부품의 실제 데이터시트와 판매 방식에 맞춰 대조하는 작업이 분류의 핵심입니다.

부품이 완제품 서버에 통합된다는 사실만으로 서버 전체가 상위 분류로 올라가지는 않습니다. 목록 범주의 핵심 기능을 가진 부품을 통합해도, 통합 대상 완제품이 그 이유만으로 제3자 평가 대상이 되지는 않습니다. (제7조제1항) 부품 단위와 완제품 단위를 섞지 않아야 판단이 흔들리지 않습니다.

EU 고객이 요구할 증빙

EU 클라우드·서버·통신 장비 고객은 반도체 공급업체에 다음 증빙을 요구합니다.

SBOM은 부속서 I 제2부 제1호의 취약점 처리 요구에서 나옵니다. 형식은 향후 세부 규칙으로 더 구체화될 수 있지만, 실무에서는 CycloneDX와 SPDX가 주로 논의됩니다. 취약점 대응 중심이면 CycloneDX, 라이선스·구성 요소 관리 중심이면 SPDX가 적합한 경우가 많습니다.

SSD와 CXL의 SBOM 범위

SSD와 CXL 제품은 일반 메모리 칩보다 CRA 증빙 범위가 넓습니다. 컨트롤러 펌웨어, 관리 소프트웨어, 업데이트 유틸리티, 드라이버, 호스트 연동 기능이 함께 움직이기 때문입니다.

SBOM은 다음 계층으로 나눕니다.

EU 고객이 알고 싶은 것은 단순한 부품명 목록이 아닙니다. 특정 CVE가 공개됐을 때 어떤 제품군, 어떤 펌웨어 버전, 어떤 고객 납품분이 영향을 받는지 빠르게 판단해야 합니다. 이 목적에 맞지 않는 SBOM은 감사 자료로는 보여도 사고 대응 자료로 쓰기 어렵습니다.

부품 경계의 SBOM 전달

서버 OEM인 EU 브랜드가 SBOM을 요구하면, 부품 공급업체의 SBOM은 특정 펌웨어 이미지에 정확히 매핑돼야 합니다. OEM은 CVE가 공개됐을 때 "어느 출하분, 어느 펌웨어 버전, 어느 구성 요소가 영향을 받는가"에 답해야 하기 때문입니다. 부품명 목록만으로는 이 질문에 답하지 못합니다.

컨트롤러와 CXL 장치의 펌웨어는 여러 계층으로 겹칩니다. 하나의 SBOM이 이 계층을 모두 담아야 합니다.

• 부트로더와 RTOS: 컨트롤러 위에서 도는 실시간 운영체제와 부팅 코드.
• 벤더 IP와 서드파티 IP: PHY, NAND 관리, 압축·암호 블록처럼 별도로 공급받은 코드.
• 오픈소스 구성 요소: 암호 라이브러리와 유틸리티. 버전과 출처를 명시합니다.
• 하위 부품 펌웨어: CXL 컨트롤러가 다시 하위 컨트롤러 펌웨어를 실행하는 경우, 그 계층도 자체 구성 요소로 식별합니다.

CRA의 SBOM 요구는 최소한 상위 수준 종속성을 담도록 정합니다. (부속서 I 제2부 제1호) 데이터센터 부품에서는 상위 수준만으로 부족한 경우가 많습니다. OEM이 사고 대응에 쓰려면, 펌웨어 버전과 구성 요소가 기계 판독 가능한 형식으로 연결되고 펌웨어가 개정될 때 SBOM도 함께 갱신되는 전달 체계가 필요합니다. 이 체계가 없으면 SBOM은 최초 납품 시점의 한 장면으로만 남습니다.

지원 기간과 수명주기

반도체 부품의 상업적 수명과 펌웨어 지원 수명은 서로 다를 때가 있습니다. 지원 기간은 최소 5년입니다. 단축 대상은 제품 예상 사용 기간이 5년 미만인 경우로 한정됩니다. 그 이상의 기간은 제품 예상 사용 기간과 사용자의 합리적 기대를 반영하여 결정합니다.

반도체 공급업체는 다음 단위로 지원 기간을 관리합니다.

• 제품 모델과 리비전
• 컨트롤러 펌웨어 메이저 버전
• 관리 소프트웨어 버전
• 고객 전용 펌웨어 분기
• 공급 중단(EOL) 제품군
• 서드파티 IP와 오픈소스 구성 요소

EU 고객에게는 보안 업데이트 종료 연월을 명확히 제시해야 합니다. 데이터센터 부품은 장기간 운영되는 경우가 많아, 공급 중단과 보안 업데이트 종료를 같은 날짜로 두면 계약상 충돌이 생깁니다.

지원 기간과 별개로 배포 이력도 남깁니다. 한번 배포한 보안 업데이트는 배포 후 최소 10년 또는 지원 기간의 남은 기간 중 더 긴 기간 동안 계속 이용 가능해야 합니다. (제13조제9항) 데이터센터 부품은 10년 이상 운영되는 경우가 흔해, 이 조항은 장기 수명 제품에서 특히 무겁습니다. 펌웨어 아카이브와 서명 검증 자료를 이 기간에 맞춰 보관하는 절차가 필요합니다.

2026년 신고 준비

2026년 9월 11일부터 CRA 제14조 신고 의무가 먼저 적용됩니다. 제품 안의 취약점이 적극적으로 악용되는 사실을 제조업체가 알게 되면 24시간 안에 조기 경보가 필요합니다. 72시간 안에는 상세 통지가 이어지고, 수정 또는 완화 조치가 가능해진 뒤 14일 안에 최종 보고를 냅니다. 심각 사고는 24시간·72시간·통지 후 1개월 흐름으로 다룹니다.

한국 반도체 공급업체가 직접 ENISA와 조정자 CSIRT에 신고하지 않는 구조라도, EU 고객이 신고를 하려면 아래 정보가 필요합니다.

• 영향을 받는 제품 모델과 펌웨어 버전
• EU 고객과 납품 경로
• 악용 여부의 기술 근거
• 임시 완화 조치
• 수정 펌웨어 제공 가능 시점
• 공개 여부와 고객 통지 문안

이 정보가 고객에게 늦게 전달되면, 고객은 CRA 신고 기한을 지키기 어렵습니다. 따라서 부품 공급 계약에는 24시간보다 짧은 내부 통보 SLA가 들어갈 수 있습니다. SLA는 CRA 조문 자체가 아니라 고객의 신고 시간을 확보하기 위한 계약 장치입니다.

신고 창구 자체도 아직 준비 단계입니다. ENISA의 단일 신고 플랫폼은 2026년 중반 기준 운영되지 않습니다. 창구가 열리기 전이라도 내부 통보 체계, 근거 자료, 고객 전달 경로는 미리 갖춰야 합니다.

공급 계약에 넣을 항목

반도체 공급 계약이나 품질 계약에는 CRA 관련 항목을 별도 부속서로 두는 편이 실무상 안정적입니다.

계약 문구는 "CRA 준수" 한 줄로 끝나면 안 됩니다. 고객에게 필요한 자료는 실제 사고 대응에 사용되는 데이터입니다. 모델명, 버전, 구성 요소, 취약점 영향, 수정 일정, 공개 범위가 모두 연결돼야 합니다.

국내 인증과 CRA의 관계

한국 기업이 이미 갖춘 국내 제도는 CRA 증빙과 겹치는 부분이 있지만, 그대로 대체하지는 못합니다.

• ISMS-P: 조직의 정보보호 관리체계 인증입니다. 제품 단위의 CRA 적합성 평가와 목적이 다릅니다. 취약점 관리와 접근 통제 증거 일부는 기술 문서에 재활용할 수 있지만, SBOM과 부품별 분류는 새로 만들어야 합니다.
• KATS(국가기술표준원): 국내 제품 안전과 표준을 소관하는 기관입니다. CRA의 시장 감시 기관이나 인증 기관 역할을 대신하지 않습니다.
• EU 공인대리인: EU 사업장이 없는 제조업체에게도 CRA는 공인대리인 선임을 의무로 두지 않습니다. 선임은 임의입니다. 다만 EU 고객이 수입업체가 되면 수입업체 의무가 고객 측에 생기므로, 증빙 흐름을 계약으로 미리 정해야 합니다.

설계, 리스크 평가, 취약점 처리, 지원 기간 책임은 공인대리인을 선임하더라도 제조업체에 남습니다. 국내 인증을 근거로 이 책임을 넘길 수는 없습니다.

CRA Evidence의 컨설팅 지원

CRA Evidence는 한국 반도체·메모리·데이터센터 부품 공급업체를 대상으로 컨설팅을 제공합니다. SaaS 도입이 아니라 증빙 설계와 검토를 돕습니다.

• 분류 판단: HBM·SSD·CXL·보안 칩을 부품별로 나누고 기본 범주와 중요 제품 경계를 확정합니다.
• SBOM 범위: 컨트롤러와 펌웨어 계층을 SBOM에 연결하고 OEM 요구에 맞춥니다.
• 신고 협력: 취약점 통보 SLA와 고객 신고 지원 정보를 납품 경로와 함께 정리합니다.
• 기술 파일 검토: 지원 기간, 보안 업데이트, 계약 부속서의 빈틈을 확인합니다.

제품 포트폴리오의 CRA 적용 여부부터 확인하려면 CRA 적용 여부 무료 확인을 이용하고, 서면 진단이 필요하면 무료 진단 신청을 신청하십시오.