CRA 클래스 I 컴플라이언스 가이드: 라우터, 모뎀, 스위치

분류 기준

CRA는 라우터, 인터넷 모뎀, 스위치를 중요 제품 Class I로 다루며, 이는 클래스 II 방화벽 지위와 같지 않습니다. 라우팅과 인터넷 연결이 핵심 판매 기능으로 남아 있는 한, 추가 보안 기능만으로 라우터가 클래스 II로 이동하지는 않습니다.

네트워크 가장자리에 위치한다는 이유만으로 제품이 핵심 제품이 되지는 않습니다. 핵심 제품 목록은 더 좁게 정의되어 있으며, 소비자용 라우터나 ISP CPE를 통째로 포함하지 않습니다.

라우터 제품의 범위는 어디까지인가

라우터, 모뎀, 스위치 제품은 플라스틱 본체 이상을 포함할 수 있습니다.

• 부트로더, 운영 체제, 커널, 무선 드라이버, WAN 스택, LAN 서비스
• 모뎀, ONT, 이더넷 스위치 실리콘, 관리 VLAN 동작, 해당되는 경우 PoE 제어
• 웹 관리 UI, 모바일 앱 페어링, 로컬 설정 포털
• TR-069, USP/TR-369, 기타 원격 관리 채널
• 원격 접속, 자녀 보호, 텔레메트리, 메시 조정, 업데이트 오케스트레이션에 쓰이는 벤더 또는 ISP 클라우드
• 펌웨어 업데이트 서비스, 서명 키, 복구 이미지, 지원 프로세스

증거 파일은 제품 밖에 있는 것도 기록해야 합니다. 고객의 ISP 계정, 타사 스마트홈 기기, 고객이 작성한 네트워크 규칙, 별도 판매된 사용자 모뎀, 제조업체가 공급하지 않은 하류 사업자 시스템이 여기에 해당합니다.

제조업체는 어떤 적합성 경로를 계획해야 하는가

중요 제품 Class I라고 해서 모든 라우터에 제3자 평가가 자동으로 필요한 것은 아니지만, 내부 통제를 당연히 적용할 수 있다고 가정해서는 안 됩니다. 제조업체가 일반 내부 통제 경로를 사용할 수 있고, 적용 가능한 필수 요건에 대해 관련 정합 표준, 공통 사양, 또는 보증 수준이 최소 substantial 이상인 적절한 유럽 사이버보안 인증 체계를 완전히 적용했다면 이 경로가 가능할 수 있습니다. 이러한 참조가 존재하지 않거나, 일부만 적용되거나, 적용되지 않거나, 관련 요건 전부를 다루지 못한다면 EU 형식 검사에 내부 생산 통제 또는 전체 품질 보증을 더한 경로를 계획하십시오. 일반 경로의 작동 방식과 EU 적합성 선언에 담겨야 할 내용은 conformity-assessment 및 declaration-of-conformity 가이드에 있습니다. 이 페이지는 라우터 고유의 선택만 다룹니다.

동일한 하드웨어 변형이 방화벽, VPN 게이트웨이, 네트워크 관리 어플라이언스, 매니지드 보안 플랫폼으로도 판매된다면, 해당 SKU에 대해 별도의 분류 메모를 작성하십시오.

RED 사이버보안 기한은 CRA와 어떻게 연결되는가

대부분의 라우터와 인터넷 연결 모뎀에는 무선 모듈(WLAN, 셀룰러 모뎀 등)이 들어 있으며, 이 무선 장비 부분은 CRA 이전에 이미 하나의 사이버보안 관문을 통과했습니다. 2025년 8월 1일부터 무선 장비 지침의 사이버보안 요건(위임 규정 (EU) 2022/30이 정한 RED 제3.3조 d, e, f호)이 WLAN 라우터, 메시 노드, 모뎀 라우터, 셀룰러 게이트웨이 같은 인터넷 연결 무선 장비에 적용됩니다. 무선이 없는 이더넷 전용 라우터나 무선 없는 DSL·케이블·광 모뎀 같은 순수 유선 기기는 RED의 사이버보안 적용 범위 밖이지만, 이들 역시 모두 CRA상 디지털 요소를 갖춘 제품입니다. CRA 신고 의무는 2026년 9월 11일에 시작되고, CRA는 2027년 12월 11일에 완전히 적용됩니다. 이때 집행위원회가 위임 규정 (EU) 2026/339을 통해 RED 사이버보안 위임 규정을 폐지하여 두 제도가 겹치지 않게 합니다.

라우터 제조업체에게 실무적 해석은 다음과 같습니다.

• 2025년 8월 1일부터 2027년 12월 10일까지 해당 무선 장비는 RED 사이버보안 요건을 충족합니다. 정합 경로는 EN 18031 시리즈를 따르며, 소비자 기준선인 ETSI EN 303 645를 토대로 합니다.
• 2027년 12월 11일부터 같은 사이버보안 의무가 CRA 아래로 들어오며, 더 넓은 수명 주기 의무가 함께 적용됩니다. 안전한 기본 구성, 취약점 처리 프로세스, 지원 기간 명시, 그리고 이미 2026년 9월 11일부터 시작되는 신고 의무가 그것입니다.
• 2027년 12월 11일 이전에 시장에 출시된 라우터는 그 이후 실질적으로 수정된 경우에만 CRA 적용을 받습니다. 유일한 예외는 신고 의무로, 이미 판매된 제품을 포함해 적용 대상 모든 제품에 적용됩니다.
• 준비 중인 라우터 고유의 CRA 정합 표준은 ETSI EN 304 627(라우터, 모뎀, 스위치)이며, 클래스 I 12호와 필수 사이버보안 요건에 대응합니다. 아직 초안이므로 평가 시점에 실제로 인용되는 표준을 기준으로 적합성 경로를 계획하고, RED를 위해 구축한 통제(안전한 기본값, 서명된 업데이트, 접근 통제)를 별도 프로젝트로 다시 시작하지 말고 CRA 파일의 기반으로 재사용하십시오.

어떤 증거를 준비해야 하는가

놓치지 말아야 할 라우터 아키텍처 세부 사항은 무엇인가

라우터 증거는 실제로 출하되는 가장자리 기기를 따라가야 합니다. 소매용 WLAN 라우터, ISP 모뎀 라우터, PON ONT, 케이블 모뎀, 모바일 핫스폿, 메시 노드, 매니지드 스위치는 WAN 노출, 원격 관리, 펌웨어 분기 위험이 서로 다릅니다.

WAN 측은 기기가 인증되지 않은 입력을 처음으로 파싱하는 지점이며, 그 측면은 접속 기술에 따라 달라집니다. 소매용 이더넷 WAN 라우터, 케이블 모뎀 라우터, 광 ONT, 셀룰러 핫스폿은 동일한 프로비저닝 채널이나 동일한 상류 피어를 공유하지 않습니다.

실제 라우터 위험 평가는 어떤 모습인가

이를 기술 파일 위험 평가에서 기대되는 깊이의 예시로 활용하십시오. 제조업체는 여전히 실제 라우터, 모뎀 칩셋, 무선 스택, 원격 관리 채널, 공급업체 SDK, 업데이트 소유권, 판매 주장, 지원 기간 약속을 대상으로 평가를 수행해야 합니다.

예시 제품 프로필

예시 제품: ExampleCo HomeRouter R1. 소매 및 ISP 화이트라벨 채널을 통해 EU에서 판매되는 Wi-Fi 7 가정용 라우터입니다. 이더넷 WAN, 4개의 LAN 포트, 게스트 WLAN, 로컬 웹 관리 UI, 모바일 앱 온보딩, 선택형 ISP 원격 관리, 서명된 무선 펌웨어, 자동 업데이트 확인, DNS/DHCP 서비스, 자녀 보호 프로필, 복구 이미지를 갖추고 있습니다.

제품 경계에는 라우터 하드웨어, 부트로더, 커널, WLAN 드라이버, WAN 서비스, LAN 서비스, 방화벽 기본값, 로컬 웹 UI, 모바일 앱 페어링, 원격 접속용 벤더 클라우드, 선택형 ISP 원격 관리 에이전트, 무선 업데이트 서비스, 복구 이미지, 지원 웹사이트, 협력적 취약점 공개 접수 창구, 권고 프로세스가 포함됩니다. 별도 판매된 고객 모뎀, ISP 구독, 타사 스마트홈 기기, 사용자의 신원 공급자, 동일 경제 운영자가 제품의 일부로 공급하지 않는 한 하류 ISP OSS/BSS 시스템은 제외됩니다.

릴리스 게이트: 펌웨어 엔지니어링이 최초 부팅 기준선을 소유하고, 제품 보안이 노출 테스트를 소유하며, 지원이 초기화 및 RMA 증거를 소유합니다. 산출물: 프로비저닝 기록, 설정 후 노출 스캔, 다운그레이드 거부 테스트, 이전 또는 연결 해제 결과.

자산 인벤토리

신뢰 경계

위협 시나리오

초기 위험 등록부

통제와 증거 매핑

통제 적용 후 잔여 위험

지원, 업데이트, 신고는 어떻게 작동해야 하는가

HomeRouter R1 예시에서, 실무적 CRA 파일은 출시 전 릴리스 증거뿐 아니라 지원 기간 운영 모델도 포함해야 합니다.

릴리스 전에 어떤 검증 게이트가 실행되는가

라우터 릴리스는 두루뭉술한 "보안 검토 완료" 메모로 통과해서는 안 됩니다. 출하를 멈출 수 있는 구체적 결정을 나열하고, 각각에 대해 막아 내는 실패, 그것을 닫는 통제, 통제가 실제로 작동함을 증명하는 산출물을 부여하십시오.

라우터 개발을 개념부터 지원까지 누가 책임지는가

라우터 릴리스의 소유권은 제품 정의에서 고객 가정과 ISP 네트워크에서 운영되는 플릿으로 넘어가면서 손을 바꿉니다. 아래 레일은 각 단계에 단일 책임 리드, 그 리드가 최신 상태로 유지하는 기록, 다음 단계가 시작되기 전에 닫혀야 하는 게이트를 부여합니다.

각 전환은 동결 지점입니다. 아키텍처가 시작되기 전에 경계가, 코드 작성 전에 설계 의도가, 검증 전에 빌드가, 출하 전에 릴리스가 고정되며, 그 이후 펌웨어는 지원 구간 내내 운영됩니다. 취약점 신고, ISP 또는 공급업체 권고, 현장 실패는 이미 출하된 것이 아니라 다음 경계 메모, 위협 목록, 구성 요소 인벤토리를 다시 엽니다.

어떤 증거 기록이 파일에 들어가야 하는가

파일은 검토자가 제품 식별에서 보안 통제까지 라우터 결정을 따라갈 수 있게 해야 합니다. 각 행은 흩어진 스크린샷 모음이 아니라 유지되는 기록을 가리킵니다.

라우터 구성 요소 인벤토리에는 무엇이 들어가는가

CRA는 제품의 구성 요소를 식별하고 최소한 최상위 종속성을 포괄하는 기계 판독 가능한 구성 요소 목록을 요구하며, 아직 하나의 고정 형식을 지정하지는 않습니다. 라우터 제조업체는 보통 CycloneDX 또는 SPDX를 선택합니다. 구성 요소 목록의 작동 방식에 대한 제품 공통 세부 내용은 전용 구성 요소 목록 가이드에 있습니다. 이 절은 라우터 고유의 트리를 다룹니다.

라우터 릴리스는 단일 바이너리가 아니라 업데이트 주기가 서로 다른 여러 디지털 요소를 함께 출하합니다. 두 가지 방식이 CRA 최소 요건을 충족합니다. 하나는 요소별로 나뉜 섹션(부트로더, 커널, WLAN 펌웨어, WAN-PHY 스택, 네트워크 데몬, TLS, 원격 관리 에이전트, 웹 UI를 각각 버전 고정)을 갖춘 제품 수준 단일 구성 요소 인벤토리이고, 다른 하나는 각 릴리스마다 갱신되는 출하 요소별 인벤토리입니다. 기계 판독이 가능하고 최상위 종속성이 포괄된다면 둘 다 허용됩니다.

릴리스 사인오프는 무엇을 확인하는가

EU 릴리스 전 사인오프는 아래 Q1부터 Q4까지 표시된 네 개의 기록 폴더를 닫을 수 있어야 합니다. 전체 파일 색인은 위 증거 지도에 있으며, 여기의 네 질문은 폴더가 비었을 때 릴리스를 막는 것만 다룹니다.

증거: 네 기록 각각을 그것이 사인오프하는 정확한 펌웨어 버전에 고정하여, 같은 릴리스를 나중에 답을 다시 도출하지 않고 다시 열 수 있게 하십시오.

라우터는 수입업체, 유통업체, ISP, 사업자에게 어떻게 인계되는가