한국 제조업체를 위한 EU 사이버복원력법(CRA) 완전 가이드

한국 제조업체 대부분은 EU 사이버복원력법(CRA) 마감일을 2027년 12월로 알고 있습니다. 그런데 2027년 이전에 먼저 발효되는 의무가 있습니다.

2026년 9월 11일, 제품의 취약점과 심각 사고를 ENISA(EU 사이버보안청)에 직접 신고해야 하는 의무가 먼저 시작됩니다. 이 날짜가 첫 번째 실무 마감일입니다. 이 날짜에 맞춰 프로세스와 ENISA 신고 채널을 갖추지 못하면 즉시 위반 상태가 됩니다.

이 가이드는 규제 개요가 아닙니다. 무엇을 언제까지 실제로 해야 하는지를 다룹니다.

우리 제품이 CRA 대상인가?

flowchart TD
    A["제품에 소프트웨어나\n펌웨어가 포함됩니까?"] -->|아니오| OUT1["CRA 적용 제외"]
    A -->|예| B["EU 시장에\n판매됩니까?"]
    B -->|아니오| OUT1
    B -->|예| C{"적용 제외 해당?"}
    C -->|"의료기기(MDR/IVDR)\n차량 형식승인\n항공·방산"| OUT2["별도 규정 적용\nCRA 제외"]
    C -->|해당 없음| D["✅ CRA 적용 대상\n제품 분류 확인 필요"]

적용 대상 제품 예시: 스마트 TV, 스마트 가전, 산업용 PLC, IoT 센서, 네트워크 장비, 라우터, 소프트웨어 단독 제품

B2B 납품업체 주의: EU 최종 판매가 EU 수입업체를 통해 이루어져도 CRA 의무 일부가 귀사에 귀속될 수 있습니다. EU 수입업체들은 이미 계약서에 CRA 준수 조항을 삽입하기 시작했습니다.

제품 분류: 어떤 심사가 필요한가?

CRA는 제품을 위험 수준에 따라 분류합니다. 분류에 따라 자체 평가만 가능한지, 제3자 인증이 필수인지가 결정됩니다.

중요: 부속서 III/IV에 해당하는 제품 목록은 생각보다 좁습니다. 대부분의 한국 소비가전·IoT 제품은 일반 제품으로 자체 적합성 평가가 가능합니다. 분류를 과대 평가해 불필요한 비용을 지출하지 않도록 하십시오.

두 개의 마감일을 혼동하지 마라

flowchart LR
    NOW["📅 준비 단계\n2026년 상반기"] --> SEP["⚠️ 2026년 9월 11일\nENISA 신고 의무 발효"]
    SEP --> DEC["🔴 2027년 12월 11일\nCRA 전면 적용"]

    NOW -. "지금 시작" .-> A1["제품 분류\n취약점 대응 프로세스 설계\nENISA SRP 등록"]
    SEP -. "이 날까지" .-> A2["24h/72h 신고 SOP 완비\nENISA 담당자 지정"]
    DEC -. "이 날까지" .-> A3["SBOM · EU DoC\n기술 파일 · CE 마킹"]

CRA가 요구하는 핵심 의무

ENISA 신고 타임라인

flowchart LR
    T["악용 취약점\n또는 심각 사고 발견"] --> W["24시간\n조기 경보"]
    W --> N["72시간\n완전 통지"]
    N --> F1["취약점:\n수정 조치 후\n14일 이내 최종 보고"]
    N --> F2["심각 사고:\n통지 후\n1개월 이내 최종 보고"]

2026년 9월 11일이 첫 번째 실질적 마감일입니다. 이 날부터 위 타임라인이 즉시 적용됩니다.

SBOM: 무엇이고 어떻게 준비하는가

SBOM(Software Bill of Materials)은 제품에 포함된 모든 소프트웨어 구성 요소의 목록입니다. CRA의 취약점 관리 요구사항은 제조업체가 제품의 구성 요소와 취약점을 식별·문서화하고, 일반적으로 쓰이는 기계 판독 가능 형식의 SBOM을 갖추도록 요구합니다. 기술 파일에도 SBOM과 취약점 처리 프로세스가 설명되어야 합니다.

형식 선택:

• CycloneDX: 취약점 관리와 보안 규제 준수 워크플로에 자주 사용
• SPDX: 오픈소스 라이선스 규제 준수에 더 적합하며, 기계 판독 가능 SBOM 형식으로도 활용 가능

무료 도구:

• Syft: 컨테이너·파일시스템에서 CycloneDX/SPDX 자동 생성
• cdxgen: Java, Python, Node.js, Go, Rust 등 다언어 지원
• Trivy: SBOM 생성과 CVE 스캔 동시 처리

KISA 지원 사업: KISA(한국인터넷진흥원)는 소프트웨어 공급망 보안 모델 발굴·지원 사업을 공고해 왔습니다. 지원 대상, 규모, 신청 요건은 연도별 공고에서 직접 확인해야 합니다.

EU 공인대리인: EU 사업장이 없는 경우

EU 내 사업장이 없는 한국 제조업체는 CRA 제18조 제1항에 따라 EU 소재 공인대리인(Authorised Representative) 선임을 검토합니다. 선임은 임의이며, MDR 제11조 · RED 제5조처럼 역외 제조업체에 의무로 부과되지 않습니다. 다만 시장 감시 기관 응답 창구, 제18조 제3항(a)의 10년 문서 보관, 기존 MDR/RED 대리인과의 운영 일체화 등 운영상 이점이 있어 다수의 역외 제조업체가 자발적으로 선임합니다.

공인대리인은 기술 파일·EU DoC 보관, 시장 감시 기관 소통, 리콜·시정 조치 조율을 담당합니다.

실전 준수 로드맵

위반 시 제재

이 글은 정보 제공을 위한 것이며 법률 자문이 아닙니다. EU 제품 규제 준수에 관한 구체적인 판단은 EU 규제에 정통한 법률 전문가와 상담하십시오.