EU CRA(Cyber Resilience Act) 인증

EU 사이버복원력법(CRA)은 디지털 요소가 포함된 하드웨어·소프트웨어의 사이버보안 요구사항을 의무화하는 규정입니다. 일반 제품은 제조자 자체 적합성평가가 가능하지만 중요·핵심 제품은 조건에 따라 제3자 평가가 요구되며, 최종적으로 EU 적합성 선언과 CE 표시로 시장 출시 요건을 충족합니다.

-CRA는 Regulation (EU) 2024/2847로 2024년 12월 10일 발효됐으며, 주요 제품 요구사항은 2027년 12월 11일부터 전면 적용됩니다. 다만 적합성평가기관 통지 제도는 2026년 6월 11일부터, 취약점·중대 보안사고 보고 의무는 2026년 9월 11일부터 적용됩니다. -적용 대상은 EU 시장에 제공되는 ‘디지털 요소가 포함된 제품’으로, 네트워크에 직·간접 연결되는 하드웨어와 소프트웨어뿐 아니라 별도 판매되는 일부 구성요소도 포함됩니다. 제조자는 설계·개발·생산·유지보수 전 과정에서 필수 사이버보안 요구사항과 취약점 처리 체계를 갖춰야 합니다. -CRA의 ‘인증’은 모든 제품이 인증기관에서 인증서를 받는 단일 제도가 아닙니다. 일반 제품은 제조자 자체평가(Module A)가 가능하며, Important Class I은 조화표준 등을 적용하지 않을 경우 제3자 평가가 필요하고, Class II 및 Critical 제품은 원칙적으로 Notified Body 평가가 요구됩니다. -적합성이 확인되면 제조자는 기술문서와 EU 적합성 선언서를 작성하고 제품에 CE 마킹을 부착해야 합니다. 기술문서에는 사이버보안 위험평가, 필수 요구사항 충족 방법, 적용 표준 또는 기술적 조치 등이 포함되어야 하며 시장감시기관의 요청에 대비해 유지·관리해야 합니다. 조화표준이 EU 관보에 인용되면 해당 표준을 충족한 제품은 CRA 필수 요구사항에 대한 ‘적합성 추정’을 받을 수 있어 입증 부담이 줄어듭니다. EU 집행위원회 일정상 2026년 3분기부터 첫 표준화 산출물이 예정되어 있고, 추가 표준은 2027년까지 단계적으로 마련될 계획입니다. -제조자는 출시 후에도 명시한 지원기간 동안 취약점을 처리하고 보안 업데이트를 제공해야 합니다. 2026년 9월 11일부터는 실제 악용된 취약점과 제품 보안에 영향을 주는 중대한 사고에 대한 보고 의무가 먼저 시행되므로, 2027년 전면 적용보다 앞서 운영 프로세스 정비가 필요합니다.

-IoT·전자·산업기기 업종: 기존 CE 인증 대응에 사이버보안 요구사항이 추가되므로 제품 설계, 펌웨어 업데이트, 취약점 관리까지 인증 범위가 확대됩니다. 개발 초기부터 CRA 요구사항을 반영하지 않으면 출시 지연과 재시험 비용이 커질 수 있습니다. -소프트웨어·SaaS 업종: EU 시장에 제공되는 소프트웨어도 적용 가능성이 높아 보안개발체계, 취약점 접수·수정, 지원기간 관리가 핵심 경쟁력이 됩니다. 특히 제품의 핵심 기능과 배포 방식에 따라 CRA 대상성과 평가등급을 조기에 판정해야 합니다. -단기 영향(2026~2027): 2026년 9월부터 보고 의무가 우선 적용되므로 사고·취약점 보고체계 구축이 시급합니다. 이후 2027년 전면 적용 시 기술문서, 적합성평가, CE 표시까지 요구되므로 현재 개발 중인 장수명 제품은 선제 대응이 유리합니다. -리스크 측면: 미준수 시 제품 판매 제한·회수와 함께 중대한 제재가 가능하며, 일부 위반에는 전 세계 연간 매출액의 최대 2.5% 수준 과징금이 규정되어 있어 EU 수출기업의 규제·재무 리스크가 동시에 커집니다.

-자사 제품별로 CRA 적용 여부와 일반 제품, Important Class I·II, Critical 제품 해당 여부를 우선 분류하시고, 제품의 핵심 기능과 EU 집행위원회의 기술적 제품 분류를 기준으로 자체평가 가능 여부와 Notified Body 필요 여부를 확인하시기 바랍니다. -Annex I의 필수 사이버보안 요구사항을 제품 개발 프로세스에 매핑하고, 위협모델링·위험평가·보안설계·SBOM·취약점 처리·보안업데이트·지원기간 정책을 기술문서와 연결해 추적 가능한 증빙체계를 구축하시기 바랍니다. -2026년 9월 11일 시행되는 취약점 및 중대사고 보고 의무에 맞춰 PSIRT 또는 유사 조직, 보고 책임자, 내부 에스컬레이션 기준, 외부 신고 절차와 시간관리 체계를 사전에 수립하고 모의훈련을 진행하는 것이 필요합니다. -CRA 조화표준과 Notified Body 지정 현황을 지속적으로 확인하고, 기존 IEC 62443·ISO/IEC 27001·ETSI EN 303 645 등 내부 보안체계와 CRA 요구사항 간 갭 분석을 실시해 2027년 CE 적합성평가에 필요한 시험·문서·심사 일정을 역산해 준비하시기 바랍니다.

CRA 인증