한국 제조업체를 위한 EU 사이버복원력법(CRA) 완전 가이드

한국 제조업체 대부분은 EU 사이버복원력법(CRA) 마감일을 2027년 12월로 알고 있습니다. 그런데 2027년 이전에 먼저 발효되는 의무가 있습니다.

2026년 9월 11일, 제품의 취약점과 심각 사고를 ENISA(EU 사이버보안청)에 직접 신고해야 하는 의무가 먼저 시작됩니다. 지금으로부터 약 5개월 후입니다. 이 날짜에 맞춰 프로세스와 ENISA 신고 채널을 갖추지 못하면 즉시 위반 상태가 됩니다.

이 가이드는 규제 개요가 아닙니다. 무엇을 언제까지 실제로 해야 하는지를 다룹니다.

우리 제품이 CRA 대상인가?

flowchart TD
    A["제품에 소프트웨어나\n펌웨어가 포함됩니까?"] -->|아니오| OUT1["CRA 적용 제외"]
    A -->|예| B["EU 시장에\n판매됩니까?"]
    B -->|아니오| OUT1
    B -->|예| C{"적용 제외 해당?"}
    C -->|"의료기기(MDR/IVDR)\n차량 형식승인\n항공·방산"| OUT2["별도 규정 적용\nCRA 제외"]
    C -->|해당 없음| D["✅ CRA 적용 대상\n제품 분류 확인 필요"]

적용 대상 제품 예시: 스마트 TV, 스마트 가전, 산업용 PLC, IoT 센서, 네트워크 장비, 라우터, 소프트웨어 단독 제품

B2B 납품업체 주의: EU 최종 판매가 EU 수입업체를 통해 이루어져도 CRA 의무 일부가 귀사에 귀속될 수 있습니다. EU 수입업체들은 이미 계약서에 CRA 준수 조항을 삽입하기 시작했습니다.

제품 분류: 어떤 심사가 필요한가?

CRA는 제품을 위험 수준에 따라 분류합니다. 분류에 따라 자체 평가만 가능한지, 제3자 인증이 필수인지가 결정됩니다.

중요: 부속서 III/IV에 해당하는 제품 목록은 생각보다 좁습니다. 대부분의 한국 소비가전·IoT 제품은 일반 제품으로 자체 적합성 평가가 가능합니다. 분류를 과대 평가해 불필요한 비용을 지출하지 않도록 하십시오.

두 개의 마감일을 혼동하지 마라

flowchart LR
    NOW["📅 지금\n2026년 3월"] --> SEP["⚠️ 2026년 9월 11일\nENISA 신고 의무 발효"]
    SEP --> DEC["🔴 2027년 12월 11일\nCRA 전면 적용"]

    NOW -. "지금 시작" .-> A1["제품 분류\n취약점 대응 프로세스 설계\nENISA SRP 등록"]
    SEP -. "이 날까지" .-> A2["24h/72h 신고 SOP 완비\nENISA 담당자 지정"]
    DEC -. "이 날까지" .-> A3["SBOM · EU DoC\n기술 파일 · CE 마킹"]

CRA가 요구하는 핵심 의무

ENISA 신고 타임라인

flowchart LR
    T["악용 취약점\n또는 심각 사고 발견"] --> W["24시간\n조기 경보"]
    W --> N["72시간\n완전 통지"]
    N --> F1["취약점:\n수정 조치 후\n14일 이내 최종 보고"]
    N --> F2["심각 사고:\n통지 후\n30일 이내 최종 보고"]

2026년 9월 11일이 첫 번째 실질적 마감일입니다. 이 날부터 위 타임라인이 즉시 적용됩니다.

SBOM: 무엇이고 어떻게 준비하는가

SBOM(Software Bill of Materials)은 제품에 포함된 모든 소프트웨어 구성 요소의 목록입니다. CRA는 제품 출하 시 SBOM을 갖추고 시장 감시 기관 요청 시 제출할 것을 요구합니다(Art. 13(25)).

형식 선택:

• CycloneDX: CRA 보안 컴플라이언스 목적에 권장. ENISA도 CycloneDX를 선호합니다
• SPDX: 오픈소스 라이선스 컴플라이언스에 더 적합

무료 도구:

• Syft: 컨테이너·파일시스템에서 CycloneDX/SPDX 자동 생성
• cdxgen: Java, Python, Node.js, Go, Rust 등 다언어 지원
• Trivy: SBOM 생성과 CVE 스캔 동시 처리

KISA 지원 사업: KISA(한국인터넷진흥원)가 SBOM 구축 비용을 지원하는 소프트웨어 공급망 보안 사업을 운영 중입니다. 중소기업이라면 먼저 지원 여부를 확인하십시오.

EU 공인대리인: EU 사업장이 없는 경우

EU 내 사업장이 없는 한국 제조업체는 CRA 제18조 제1항에 따라 EU 소재 공인대리인(Authorised Representative)을 임명할 수 있습니다. 선임은 임의이며, MDR 제11조 · RED 제5조처럼 역외 제조업체에 의무로 부과되지 않습니다. 다만 시장 감시 기관 응답 창구, 제18조 제3항(a)의 10년 문서 보관, 기존 MDR/RED 대리인과의 운영 일체화 등 운영상 이점이 있어 다수의 역외 제조업체가 자발적으로 선임합니다.

공인대리인은 기술 파일·EU DoC 보관, 시장 감시 기관 소통, 리콜·시정 조치 조율을 담당합니다.

실전 준수 로드맵

위반 시 제재

다음 단계

CRA Evidence의 컨설팅 지원

CRA 핵심 용어(SBOM, EU DoC, CE 마킹, ENISA 등)가 낯설다면 한국어 CRA 용어집을 참고하십시오.

CRA Evidence는 한국 제조업체를 위한 CRA 준비 컨설팅을 제공합니다. 컨설팅 범위는 다음과 같습니다.

• CRA 적용 여부 및 분류 진단: 제품 포트폴리오를 부속서 III·IV와 대조하여 일반·중요 Class I/II·핵심 제품 여부를 판정합니다.
• SBOM 자문: 기존 빌드 파이프라인에 SPDX 또는 CycloneDX SBOM 생성을 통합하는 방안을 설계합니다.
• ENISA 신고 프로세스 설계: 24시간 조기 경보 및 72시간 사고 신고 의무에 대응하는 내부 SOP와 ENISA SRP 계정 개설 절차를 수립합니다.
• 기술 파일 초안 검토: 부속서 VII 기준에 따른 기술 파일과 EU 적합성 선언 초안을 검토하고 보완점을 제시합니다.

첫 단계로 45분 무료 평가 통화를 통해 현재 상태와 우선순위를 정리해 드립니다. 비용 없이, 의무 없이.

CRA 적용 여부 무료 확인 →

무료 CRA 평가 신청하기 →