비EU 제조업체를 위한 사이버 복원력법 의무

• 2026년 9월 11일부터 EU 내 판매하는 비EU 제조업체에 CRA 적용
• 제18조: EU 내 사업장이 없으면 EU 공인 대리인 지정 필수
• 악용된 취약점 24시간 내 보고 의무(제14조)
• 제품 등급에 따른 적합성 평가 경로 상이
• 위반 시 최대 1,500만 유로 또는 매출 2.5% 벌금 부과

업데이트됨 18 October 2026 · 9 출처 확인됨

비교된 제공자

가격은 18 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법적 요구사항 (조문 포함)

사이버 복원력법(CRA)은 하드웨어, 소프트웨어 및 구성 요소를 포함한 디지털 요소가 있는 제품에 적용되는 EU의 새로운 규제입니다. 제품이 EU 시장에 출시되면 제조업체 위치와 관계없이 적용됩니다. 법은 2024년 12월 10일 발효되었으며, 보고 의무는 2026년 9월 11일부터 시작되고, CE 마킹 및 적합성 평가를 포함한 완전 준수는 2027년 12월 11일부터 요구됩니다.

• 제18조: 비EU 제조업체는 EU 내 사업장이 없으면 제품 라인별로 EU 공인 대리인을 지정해야 합니다. 이 대리인은 당국 및 시장 감시의 공식 연락처 역할을 합니다.
• 제14조: 제조업체는 제품 보안에 영향을 미치는 악용된 취약점 및 심각 사건을 보고해야 합니다. 엄격한 일정으로 24시간 내 조기 경고, 72시간 내 전체 통지, 완화 또는 통지 후 14일 내 최종 보고가 요구됩니다. 보고 플랫폼은 ENISA가 관리하며, 수신자는 대리인 소재 국가가 결정합니다.
• 부록 I & II: 취약점 처리, 보안 설계 개발, 사용자 및 당국이 쉽게 이해할 수 있는 명확한 사용자 지침 등 필수 사이버보안 요건을 충족해야 합니다.
• 적합성 평가: 제품 등급에 따라 요구되는 절차가 다릅니다. 기본 제품은 자체 평가 가능, 중요 1등급은 조화 표준 또는 제3자 평가 필요, 중요 2등급 및 중요 제품은 공인 기관 또는 인증 제도 평가가 필요합니다.
• 지원 기간: 제조업체는 선언된 지원 기간(최소 5년) 동안 보안 업데이트 및 취약점 처리를 제공해야 합니다.
• 면제: 중소기업 및 오픈소스 관리자는 지연 보고에 대한 벌금이 면제되지만 기술 및 보고 의무는 준수해야 합니다.

수입업자 및 유통업자는 자체 명의로 제품을 출시하거나 실질적으로 수정하는 경우 제조업체로 간주됩니다. 그렇지 않으면 원제조업체가 CRA 준수 및 보고 책임을 집니다.

CRA 대리인 또는 준수 제공자 선택 방법

비EU 제조업체에게 적합한 제18조 대리인 또는 준수 제공자 선택은 매우 중요합니다. 시장은 가격, 투명성, 포함 서비스가 크게 다릅니다. 고려할 사항은 다음과 같습니다:

• 법인 및 위치: 제공자의 법인 및 EU 내 설립 여부를 확인하세요. 예를 들어, REP27은 프라하에 기반한 Europe Services, SE로 체코 상업 등록부에 등재되어 있습니다. 결제 전 반드시 확인하세요.
• 위임 범위: 일부 제공자는 법률상 요구되는 제18조 위임장만 제공하며, 다른 제공자는 GDPR 또는 NIS2 대리인 서비스도 포함합니다. 위임장이 제18조 3항에 한정되고 제18조 2항이 금지하는 의무를 포함하지 않는지 확인하세요.
• 가격 투명성: 첫 해 및 갱신 가격 모두 공개하는 제공자를 찾으세요. 초기 저가 후 조용한 고가 갱신에 주의하세요. REP27은 갱신 가격을 명확히 표시합니다.
• 검증 및 지원: 제공자가 검증 가능한 증명서, 공개 검증 방법, 요청 처리 데스크를 제공하는지 확인하세요. 당국 또는 CSIRT 요청 전달 절차, 지원 언어, 응답 시간도 문의하세요.
• 번들 서비스: GDPR 제27조 또는 GPSR 제16조 대리인이 필요한 경우, REP27 등 일부 제공자는 결합 패키지를 할인된 가격에 제공합니다.

결정 매트릭스:

제품을 EU 시장에 출시하기 전 반드시 서면 위임장과 증명서를 요청하세요.

가격에 실제 포함된 내용: 제공자 비교

가격과 포함 서비스는 크게 다릅니다. 제18조 위임장은 CRA 준수에서 가장 낮은 외부 비용이지만, 많은 제공자가 상세 내용을 공개하지 않습니다. 2026년 10월 기준 각 제공자의 포함, 미포함, 추가 비용 가능 항목 비교는 다음과 같습니다:

대부분 제조업체에게 제18조 위임장은 한 페이지 문서와 요청 전달 의무에 불과합니다. 적합성 평가, 기술 테스트, SBOM 생성은 별도 비용이며 기본 대리인 비용에 포함되지 않습니다.

숨겨진 비용 및 제외 항목

제18조 위임장은 법적 필수 사항이지만 전체 CRA 준수 비용 중 일부에 불과합니다. 가장 비용이 많이 드는 요소인 적합성 평가, 공인 기관 비용, 기술 문서, 지원 기간 비용은 대부분 대리인 패키지에 포함되지 않습니다. 주의할 점은 다음과 같습니다:

• 적합성 평가 비용: 중요 2등급 또는 중요 제품은 공인 기관 또는 인증 제도 비용이 수천 유로에 달하며 완료까지 수개월 소요될 수 있습니다. 별도 예산을 마련하세요.
• 기술 문서: Reglyze, EmberKat 등은 기술 파일 생성, SBOM 수집, 문서 격차 분석을 제공하지만 기본 대리인 위임장에는 포함되지 않습니다.
• 갱신 및 요청별 수수료: 일부 제공자는 갱신료 또는 요청/보고별 수수료를 부과할 수 있습니다. 서면으로 갱신 가격 및 추가 비용 확인을 반드시 받으세요.
• 통지 기간 및 책임 제한: 조용한 갱신과 불명확한 해지 정책은 예상치 못한 비용을 초래할 수 있습니다. 준수 실패에 대한 책임은 대리인이 제한하거나 제외하는 경우가 많습니다.
• 지원 기간 비용: 법은 최소 5년간 보안 업데이트 및 취약점 처리를 요구하며, 제품 라인별로 자원과 예산을 확보해야 합니다.

REP27은 미포함 항목(법률 자문, 기술 평가, SBOM 생성)을 투명하게 공개합니다. 제공자와 계약 전 반드시 제외 항목과 숨겨진 비용을 명확히 하세요.

대리인 지정 절차: 단계별 안내

제18조 대리인 지정과 CRA 준수는 여러 구체적 단계로 구성됩니다. 비EU 제조업체를 위한 실용적 절차는 다음과 같습니다:

1. 제품 범위 확인: EU 시장에 출시하는 모든 디지털 요소 포함 제품(하드웨어, 소프트웨어, 구성 요소, 원격 데이터 처리 솔루션)을 식별하세요.
2. 제품 분류: CRA 정의에 따라 제품을 기본, 중요 1/2등급, 중요 제품으로 분류하세요. 적합성 평가 경로에 영향이 있습니다.
3. 대리인 선택: 검증 가능한 EU 법인을 가진 제18조 대리인을 선정하고, 범위, 가격, 갱신 조건을 서면으로 확인하세요.
4. 위임장 서명: 선택한 제공자와 서면 위임장(제18조 3항)을 체결하고 증명서와 공개 검증 방법을 확보하세요.
5. 문서 준비: 기술 문서(부록 VII), SBOM, EU 적합성 선언서, EU 언어 사용자 지침을 준비하세요.
6. 24시간 보고 채널 구축: 취약점 및 사건 접수용 인력 채널을 마련하고 조기 경고 및 통지 템플릿을 사전 작성하세요.
7. ENISA 등록: ENISA 보고 플랫폼에 제출자 최소 2명을 등록하고, 시차가 다른 지역에 배치하세요.
8. 지속 준수 예산 편성: 지원 기간 비용(최소 5년 업데이트), 적합성 평가(필요 시), 문서 유지 비용을 계획하세요.
9. 정기 검토 및 업데이트: 준수 상태, 문서, 보고 절차를 정기적으로 점검하고 갱신하세요.

이 체크리스트를 따르면 CRA 법적 및 실무 요구사항에 대비할 수 있습니다.

미준수 시 위험 및 벌금

CRA는 미준수 시 막대한 벌금을 부과합니다. 필수 사이버보안 요건 또는 제조업체 의무 위반 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5% 중 높은 금액까지 벌금이 부과됩니다. 이 벌금은 EU 및 비EU 제조업체 모두에 적용됩니다.

• 보고 실패: 24시간 내 취약점 보고를 놓치면 집행 조치 대상이 됩니다. 중소기업 및 오픈소스 관리자는 지연 보고 벌금이 면제되지만 보고 의무는 면제되지 않습니다.
• 조달 및 시장 접근 위험: 제18조 대리인이 없으면 조달 절차가 지연되고, 기업 판매 또는 공공 입찰에서 제외될 수 있습니다.
• 시장 감시 조치: 당국이 미준수 제조업체에 대해 제품 회수 또는 리콜 조치를 취할 수 있습니다.
• 유통업자/수입업자 위험: 대리인을 지정하지 않으면 EU 수입업자나 유통업자가 기본 보고 경로로 간주되어 준수 소통 통제권을 잃을 수 있습니다.
• 조용한 누락: 위임장 갱신 실패나 문서 미갱신은 무경고 집행 위험을 초래합니다.

효과적인 준수는 벌금 회피뿐 아니라 시장 접근 유지와 고객 및 파트너 신뢰 확보에도 필수적입니다.

제공자가 보통 말하지 않는 점

많은 제공자는 제18조 위임장의 법적 필요성에 집중하지만 전체 상황을 공개하지 않는 경우가 많습니다. 자주 누락되는 내용은 다음과 같습니다:

• 위임 범위: 제18조 위임장은 요청 전달 및 연락처 역할에 한정되며, 법률 자문, 기술 평가, SBOM 생성은 명시되지 않는 한 포함되지 않습니다.
• 적합성 평가: 중요 2등급 및 중요 제품은 공인 기관 비용이 대리인 비용보다 훨씬 높고 수개월 소요됩니다. 기본 위임장에는 포함되지 않습니다.
• 지원 기간: 최소 5년간 보안 업데이트 및 취약점 처리는 주요 운영 비용이며, 대리인 서비스에 포함되지 않습니다.
• 갱신 및 통지 조건: 일부 제공자는 낮은 첫 해 가격 후 높은 갱신료를 요구하거나 긴 해지 통지 기간을 설정합니다. 반드시 서면으로 갱신 조건을 받으세요.
• 책임: 대리인은 준수 실패에 대한 책임을 보통 제외하며, 제조업체가 모든 CRA 의무에 대해 책임을 집니다.

포함되지 않는 항목에 대한 투명성은 포함된 내용만큼 중요합니다. 계약 전 제외 항목 전체 목록과 제공자 역할을 명확히 하세요.

현실적 시나리오: 어떤 경로가 적용될까?

• 미국 SaaS 회사: 미국에 본사를 둔 SaaS 제공업체가 EU 고객에게 직접 소프트웨어를 판매합니다. 회사는 제18조 대리인을 지정하고, 기술 문서 및 SBOM을 준비하며, 24시간 보고 채널을 구축해야 합니다. 제품이 기본 등급이면 자체 평가가 가능하지만, 중요 또는 중요 제품이면 공인 기관이 필요합니다. 가장 간단한 경로는 대리인 지정(REP27 등), 문서 준비, ENISA 등록입니다.
• 중국 Amazon 판매자: 중국 제조업체가 자체 명의로 Amazon에서 EU 구매자에게 IoT 장치를 판매합니다. 판매자는 제18조 대리인을 지정하고 모든 CRA 요구사항을 준수해야 합니다. 제품이 EU 내 수입업자를 통해 출시되면 수입업자가 의무를 맡을 수 있습니다. 그렇지 않으면 원제조업체가 보고 및 문서 책임을 집니다.
• 영국 온라인 상점: 영국 기반 소매업체가 EU 고객에게 연결 장치를 배송합니다. 소매업체는 제18조 대리인을 지정하고 기술 파일을 준비하며 24시간 취약점 보고 프로세스를 마련해야 합니다. EU 유통업자가 자체 명의로 제품을 출시하면 유통업자가 의무를 맡고, 그렇지 않으면 영국 소매업체가 책임을 집니다.

모든 시나리오에서 핵심은 판매 채널을 파악하고, 제품 출시 주체를 결정하며, 필요 시 대리인을 지정하는 것입니다. 이는 조달 지연 방지, 준수 보장, 벌금 회피에 필수적입니다.

체크리스트: 오늘부터 준수하는 방법

1. EU 판매 채널을 파악하고 디지털 요소가 포함된 모든 제품을 식별하세요.
2. CRA 정의에 따라 각 제품을 기본, 중요 1/2등급, 중요 제품으로 분류하세요.
3. 제18조 대리인 지정 필요 여부를 결정하세요(비EU 제조업체 필수).
4. 선택한 제공자(REP27, kadano, Euverify 등)에게 서면 위임장과 증명서를 요청하세요.
5. 기술 문서: 부록 VII 파일, SBOM, EU 적합성 선언서, EU 언어 사용자 지침을 준비하세요.
6. 인력 배치된 24시간 취약점 보고 채널을 구축하고, 조기 경고 및 통지 템플릿을 사전 작성하세요.
7. ENISA 보고 플랫폼에 최소 2명의 제출자를 등록하세요(가능하면 시차 다른 지역 배치).
8. 제품이 중요 2등급 또는 중요 제품이면 공인 기관 비용 예산을 마련하세요.
9. 최소 5년간 보안 업데이트 및 취약점 처리를 위한 지원 기간을 선언하고 자원을 확보하세요.
10. 정기적으로 준수 상태, 문서, 보고 절차를 점검하고 갱신 일정을 잡으세요.

이 단계를 따르면 2026-2027년 CRA 시행 기한에 대비하고 비용이 많이 드는 준수 공백을 피할 수 있습니다.