24시간 취약점 보고 지원 업체: 시장 개요 및 가격 (2026)

• 디지털 제품 제조업체에 대해 2026년 9월 11일부터 24시간 보고 의무 부과(CRA 제14조)
• REP27, kadano, Euverify가 해당 대리 서비스를 제공
• 가격: REP27 연 EUR 490부터, kadano 연 EUR 999, Euverify 연 GBP 590
• 서비스 차이: 계약 범위, 보고 채널, 기술적 검토 및 SBOM 작성 미포함
• 수입업자, 유통업자, 순수 마켓플레이스 판매자는 의무 대상 아님

업데이트됨 26 October 2026 · 4 출처 확인됨

비교된 제공자

가격은 26 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법률 요구사항 (CRA 제14조, 제18조)

EU 사이버 회복력법(CRA)은 2026년 9월 11일부터 디지털 요소가 포함된 제품 제조업체에 대해, 알려진 취약점이나 심각한 보안 사고를 인지 후 24시간 이내에 신고하도록 의무화합니다(제14조). 신고는 중앙 ENISA 포털을 통해 이루어지며, 해당 회원국의 CSIRT에 제출됩니다. 신고 기한은 엄격하며, 24시간 내 조기 경보, 72시간 내 최초 완전 신고, 14일 내 최종 보고서 제출이 요구됩니다. 이 시간은 실시간으로 계산되며, 야간, 주말, 공휴일에도 적용됩니다.

EU 외 제조업체는 CRA 제18조에 따라 EU 내 대리인을 지정해야 합니다. 이 대리인은 신고 채널이자 당국과의 연락 담당자 역할을 합니다. 대리인 없이 신고하는 것은 법적으로 인정되지 않습니다. 수입업자, 유통업자, 아마존, Etsy, eBay 등 마켓플레이스 판매자로서 자체 브랜드 제품을 유통하지 않는 경우 의무에서 제외됩니다. 비상업적 오픈소스 프로젝트는 경감된 신고 체계가 적용되지만 신고 의무는 유지됩니다.

• CRA 제14조: 24시간 조기 경보, 72시간 완전 신고, 14일 최종 보고서
• CRA 제18조: EU 내 사업장이 없는 제조업체를 위한 대리인 지정

신고 대상 취약점의 정의가 중요합니다. 실제로 악용된 취약점이나 제품 보안에 심각한 영향을 미치는 사고만 신고 대상이며, 발견되었으나 악용되지 않은 취약점은 신고 의무가 없습니다. 신고 기한 준수 책임은 제조업체에 있으며, 지연 또는 잘못된 신고 시 엄중한 제재가 따릅니다.

서비스 비교: 포함 내용과 제외 내용

업체별로 서비스 투명성과 범위가 크게 다릅니다. REP27는 유일하게 모든 가격을 공개하며, 위임장에 포함된 내용과 제외된 내용을 명확히 명시합니다. 위임장에는 CRA 제18조에 따른 법적 대리, 유럽 내 24시간 데스크, 신고 접수 및 당국 전달, 위임장 공개 검증이 포함됩니다. REP27는 기술적 검토, SBOM 작성, 적합성 평가, 테스트를 명확히 제외하며, 이러한 업무는 제조업체가 직접 수행하거나 별도 의뢰해야 합니다.

kadano와 Euverify는 가격은 공개하지만, 포함 서비스, 추가 비용, 제외 사항에 대해서는 "문의 필요"로 표기되어 있습니다. 계약 전 구체적으로 어떤 서비스가 포함되는지, 추가 비용 발생 여부를 서면으로 확인하는 것이 좋습니다.

중요: 기술적 분석, SBOM 작성, 보안 점검은 대리인 서비스 가격에 포함되지 않으며, 별도 전문 업체에 의뢰해야 합니다.

결정 매트릭스: 누가 무엇이 필요한가?

CRA 대리인 및 24시간 보고가 필요한지는 공급망 내 역할, 사업장 위치, 유통 구조에 따라 다릅니다. 아래 매트릭스가 빠른 판단에 도움을 줍니다:

실무 예시: 미국 SaaS 업체는 EU 고객 대상 판매 시 대리인 지정 및 24시간 보고 체계 구축 필요. 중국 IoT 제조업체가 자체 브랜드로 EU에 판매할 경우 의무 적용. 영국 온라인 판매자는 제조업체가 아니므로 대리인 지정 및 24시간 보고 불필요.

구매자 체크리스트: 진행 방법

1. 역할 확인: EU 내 유통되는 디지털 제품 제조업체인지 확인
2. 사업장 위치 확인: EU 외부에 위치하는지 확인
3. 업체 비교: 가격 공개 및 명확한 위임장 범위를 가진 업체 선택. 추가 비용 여부 확인
4. 서비스 범위 서면 확인: 계약 전 포함 및 제외 서비스 명확히 서면으로 확인
5. 내부 프로세스 준비: 24시간 신고 담당자 지정 및 신고 매뉴얼 작성
6. 대리인 정보 등록: 대리인 및 연락처를 컴플라이언스 문서에 등록, 팀에 공유
7. 신고 프로세스 테스트: 시행일 전 24시간 신고 시뮬레이션으로 문제점 파악
8. 정기 점검: 연 1회 유통 구조 및 제품군 변경 여부 점검

이 체크리스트를 통해 일반적인 실수를 방지하고 시행일에 준수 상태를 유지할 수 있습니다.

업체가 자주 언급하지 않는 사항 (제외, 기한, 수수료)

많은 업체가 위임장에 실제 포함된 서비스와 제외된 서비스를 명확히 알리지 않습니다. REP27는 기술적 검토, 적합성 평가, SBOM 작성, 테스트가 위임장에 포함되지 않음을 명확히 밝힙니다. 또한 서식 작성, 기술 분석 지원, 최종 사용자와의 소통 등 추가 서비스도 제외됩니다.

• REP27 가격은 고정이며 숨겨진 비용 없음. 갱신 가격도 사전 공지 없이 변경되지 않음
• kadano와 Euverify는 추가 비용, 해지 조건, 책임 한계에 대한 정보가 없어 별도 문의 필요
• 신고 기한 준수 및 신고 품질 책임은 제조업체에 있으며, 대리인은 신고 접수 및 전달만 담당
• REP27 위임장 발급 기한은 24시간, 타 업체는 "문의 필요"

오해하기 쉬운 점: 위임장은 전체 CRA 준수를 포함하지 않으며, 비용과 시간이 많이 드는 적합성 평가, 기술 문서, SBOM 작성은 별도 준비 필요. 준비 부족 시 지연 및 벌금 위험이 큽니다.

실무 시나리오 3가지: 누가 무엇을 해야 하나?

• 미국 SaaS 업체: 미국에 본사를 둔 기업이 유럽 기업에 클라우드 소프트웨어를 제공. 디지털 제품 제조업체로 EU 내 판매하므로 CRA 대리인 지정 필요. 24시간 신고는 대리인을 통해 이루어지며, 내부 신고 담당자 지정 및 신고 서식 준비 필수.
• 중국 아마존 판매자: 중국 기업이 자체 브랜드로 IoT 기기를 EU 내 최종 사용자에게 직접 판매. EU 내 사업장이 없으므로 CRA 제18조 대리인 지정 의무 적용. 대리인을 통해 신고 진행. 단, 단순 판매자이고 자체 브랜드 미사용 시 의무 없음.
• 영국 온라인 쇼핑몰: 제3자 제품을 판매하지만 자체 브랜드 제품이 없는 영국 쇼핑몰. 제조업체가 아니므로 24시간 신고 및 대리인 지정 의무 없음. 책임은 실제 제조업체에 있음.

이 사례들은 자신의 역할을 정확히 판단하는 것이 비용 절감과 컴플라이언스 유지에 얼마나 중요한지 보여줍니다.