구매자 가이드

비유럽 제조사 24시간 취약점 신고 비용 (CRA 2026)

간단한 답변: Cyber Resilience Act(제14조)에 따라 비유럽 제조사가 24시간 내 취약점 신고를 하는 비용은 REP27 — Europe Services, SE에서 연간 €490부터 시작합니다. 다른 제공업체는 연간 €690에서 €999 사이의 가격을 공개하고 있습니다. 이 서비스는 ENISA 및 CSIRT에 신속하게 신고하는 것을 포함하지만, 기술 평가나 보안 테스트는 포함하지 않습니다.

2026년 9월 11일부터 EU 내 판매되는 모든 디지털 제품 제조사에 의무 적용
REP27는 연간 €490, 갱신 시 €440의 가격을 공개함
Kadano: 연간 €999, Euverify: 연간 £590(약 €690), 가격 공개됨
서비스는 신고 전달만 포함하며, 테스트나 기술 평가 불포함
미준수 시 최대 €1,500만 또는 전 세계 매출의 2.5% 벌금 부과
수입업자, 유통업자 또는 EU 외 판매자에게는 해당 없음

업데이트됨 22 October 2026 · 7 출처 확인됨

비교된 제공자

제공업체	설립 국가	공개 가격	가격에 포함된 내용	추천 대상
REP27 — Europe Services, SE	체코 공화국	연간 €490 (갱신 €440)	CRA 제18조 대리인 위임, 24시간 신고 채널, CSIRT/ENISA 신고 전달, 기술 평가 및 테스트 미포함	EU 내 디지털 제품을 판매하는 비유럽 제조사
Kadano출처	오스트리아	연간 €999	CRA 대리인 위임 (포함 내용 상세 미공개)	오스트리아 제공업체를 선호하는 기업
Euverify출처	아일랜드	연간 £590 (~€690)	CRA 대리인 위임 (포함 내용 상세 미공개)	아일랜드 제공업체를 선호하는 기업

가격은 22 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법적 요구사항: CRA 제14조

Cyber Resilience Act(규정 EU 2024/2847) 제14조는 EU 내에서 판매되는 모든 디지털 제품 제조사에게 매우 엄격한 신고 의무를 부과합니다. 2026년 9월 11일부터, 모든 제조사는 제품에 영향을 미치는 적극적으로 악용되는 취약점이나 심각한 보안 사고를 인지한 후 24시간 내에 신고해야 합니다. 신고는 ENISA가 관리하는 단일 플랫폼을 통해 이루어지며, 해당 EU 국가의 CSIRT 코디네이터에게 전달됩니다.

신고는 세 단계로 나뉩니다: 조기 경고 (24시간 내), 상세 통지 (72시간 내), 최종 보고서 (14일 내).
비EU 제조사도 직접 또는 마켓플레이스를 통해 EU 고객에게 판매하는 경우 신고 의무가 있습니다.
대리인은 보안 테스트나 기술 평가를 요구받지 않으며, 신고 전달 및 연락 창구 역할만 수행합니다.
의무는 이미 악용된 취약점뿐 아니라 제품 보안에 영향을 미치는 사고에도 적용됩니다.

신고 지연 또는 미이행 시 최대 €1,500만 또는 전 세계 매출의 2.5%에 달하는 벌금이 부과될 수 있습니다. 이 규정은 소프트웨어, 하드웨어, IoT 기기, SaaS 등 모든 디지털 제품 제조사에 적용됩니다.

출처: NIS2.gov.ie, Licentium

제공업체 선택 방법: 실용적 기준 및 비교

CRA에 따른 취약점 신고 대리인을 선택할 때는 가격 외에도 여러 실용적 요소를 고려해야 합니다. 주요 평가 기준은 다음과 같습니다:

명확하고 공개된 가격: 연간 및 갱신 비용을 명확히 공개하는 제공업체를 선택하세요.
지리적 커버리지: 제품을 판매하는 모든 EU 국가에서 대리인 역할을 보장해야 합니다.
인증 및 검증: 전자서명된 위임장과 공개 검증 가능 여부가 신뢰성의 척도입니다.
24/7 신고 채널 운영: 연중무휴, 주말 및 공휴일에도 신고가 가능해야 합니다.
제외 사항 명확화: 기본 가격에는 보안 테스트, SBOM, 기술 지원 등이 포함되지 않음을 확인하세요.

상세 비교:

제공업체	포함 내용	미포함 내용	추가 비용
REP27	제18조 위임장, 24시간 신고 채널, 신고 전달	기술 평가, 테스트, SBOM, 정책 생성	없음
Kadano	CRA 대리인 위임장	요청 시 제공	요청 시 별도
Euverify	CRA 대리인 위임장	요청 시 제공	요청 시 별도

실용적 조언: 포함 내용, 개별 신고 비용, 갱신 절차를 사전에 반드시 확인하세요. 공개 검증 가능한 인증서와 법적 실체, 지리적 커버리지를 명확히 밝히는 제공업체를 선호하세요.

가격에 실제 포함된 내용: 실무 상세

제공업체가 공개한 가격은 CRA 제18조에 따른 취약점 신고 대리인 위임장 비용만 포함합니다. 대리인의 역할은 다음과 같습니다:

취약점 또는 보안 사고 신고를 공식 플랫폼을 통해 CSIRT/ENISA에 접수 및 전달
유럽 감독 기관과의 연락 창구 역할 수행
전자서명 및 공개 검증 가능한 위임장 제공
24/7 신고 채널 운영 보장 (REP27 기준)

기본 가격에 포함되지 않는 항목:

보안 테스트 또는 취약점 평가
소프트웨어 자재 명세서(SBOM) 생성
신고 작성에 대한 기술, 법률, 운영 지원
위기 관리 또는 최종 사용자 대상 커뮤니케이션 (신고 전달 외)

예를 들어 REP27는 "적합성 평가는 공인 기관, 테스트는 보안 업체, SBOM 생성은 빌드 파이프라인, 신고는 보안팀의 책임"이라고 명시합니다. 위임장은 신고 전달 및 요청 수신에 한정되며, 개별 신고에 대한 추가 비용이나 숨겨진 판매가 없습니다.

조언: 신고 준비 및 감독 기관의 추가 요청에 대응할 내부 역량을 반드시 갖추세요.

숨겨진 비용, 서비스 한계 및 실무 위험

대리인 위임장 비용은 Cyber Resilience Act 준수를 위한 전체 예산의 일부에 불과하며, 다음과 같은 숨겨진 비용과 한계가 있습니다:

내부 준비: 정보 수집, 신고 작성, 대리인과의 커뮤니케이션은 제조사 책임입니다.
감사 및 평가: 감독 기관 요청 시 외부 감사 또는 기술 평가 비용이 추가될 수 있습니다.
기술 및 법률 지원: 대리인은 신고 전달 외에 기술/법률 자문을 제공하지 않으며, 별도 비용이 발생합니다.
책임 제한: 제공업체는 고객이 제공한 내용의 오류나 누락에 대한 책임을 지지 않습니다.
갱신 및 변경: 갱신 조건과 제공업체 변경 시 벌칙 여부를 반드시 확인하세요. REP27는 관련 정보를 공개하지만, 다른 업체는 그렇지 않습니다.

실무 위험:

내부 절차 미비 시 신고 기한 미준수 위험이 큽니다.
미신고 또는 지연 시 막대한 행정 벌금과 EU 내 판매 중단 위험이 있습니다.

조언: 위임장은 "프로세스 보험"으로 간주하고, 실질적 준수는 내부 조직 역량에 달려 있음을 명심하세요.

대리인 임명 절차: 단계별 및 체크리스트

CRA 대리인 임명은 명확한 절차를 따릅니다. 주요 단계와 체크리스트는 다음과 같습니다:

EU 내 디지털 제품 판매 여부 확인: 제조사인지(수입업자/유통업자 아님) 확인
제공업체 선택: 가격, 포함 내용, 제외 사항, 계약 투명성 비교
온라인 서비스 신청: 신청서 작성 후 제18조 위임장 수령
위임장 서명 및 보관: 양측 서명 후 감사 대비 보관
대리인 정보 문서화: 운영 매뉴얼, 내부 정책, 준수 문서 업데이트
내부 신고 절차 준비: 취약점 선언자, 증거 수집, 신고 템플릿(조기 경고, 통지, 최종 보고서) 정의
최소 두 명의 신고자 지정: ENISA 플랫폼 접근 가능 인원 확보로 부재 시 문제 방지
신고 기록 관리: 신고자, 시기, 방법 등 모든 신고 내역 기록, 감사 대비 필수

운영 체크리스트:

본인 위치 확인 (제조사, 수입업자, 유통업자)
대리인 선정 및 임명
내부 신고 절차 준비
신고자 지정 및 문서 업데이트
신고 템플릿 사전 작성
모든 신고 및 커뮤니케이션 기록

조언: 절차의 명확성이 대리인 서비스의 핵심 가치입니다.

의사결정 매트릭스: 누가 서비스가 필요한가?

모든 기업이 취약점 신고 대리인 위임이 필요한 것은 아닙니다. 실제 사례를 바탕으로 한 결정 매트릭스는 다음과 같습니다:

귀하가...	24시간 신고가 필요한가?	이유
EU 내 디지털 제품을 판매하는 비EU 제조사(미국, 영국, 중국 등)	예	CRA 제14조에 따른 직접 의무
EU 수입업자/유통업자	아니오	자사 명의로 판매 시에만 의무
비EU 마켓플레이스 판매자(아마존, Etsy, eBay 등)	예, 제조사인 경우	제품 제조사인 경우 직접 의무
비상업적 오픈소스 소프트웨어	제한적	악용된 취약점 신고 의무는 있으나 완화된 규정 적용
본사가 EU에 있는 EU 기업	대리인 불필요, 직접 신고	국가별 CSIRT에 직접 신고

조언: 유통업자 또는 수입업자로서 자사 명의로 제품을 시장에 내놓지 않는 경우 위임 의무가 없습니다. 비EU 제조사는 위임이 필수이며, 미준수 시 벌금 위험이 큽니다.

제공업체가 말하지 않는 사실 (그러나 알아야 할 내용)

많은 제공업체가 준수 및 실제 비용에 영향을 미치는 중요한 사항을 공개하지 않습니다:

제외 사항: 기본 가격에는 보안 테스트, SBOM, 기술 평가가 포함되지 않으며, 위임장은 신고 전달에 한정됩니다.
책임: 신고의 정확성과 적시성에 대한 책임은 항상 제조사에 있으며, 대리인은 내용을 검증하거나 수정하지 않습니다.
갱신 및 변경: 일부 제공업체는 갱신 가격이나 대리인 변경 조건을 공개하지 않습니다. REP27는 이를 명확히 공개합니다.
언어 및 운영 시간: 제공업체가 실제로 24/7 운영하며 다국어 지원 가능한지 확인하세요.
서비스 한계: 대리인은 최종 사용자 통지, 위기 관리, 법률 자문을 제공하지 않습니다.

조언: 계약 전 반드시 제외 항목과 책임 한계에 대한 서면 목록을 요청하세요.

실제 사례: 3가지 케이스와 가장 간단한 절차

미국 SaaS 기업의 EU 판매: CRA 대리인 임명, 신고 절차 준비, 공식 문서에 대리인 정보 포함 필요. 취약점 발생 시 대리인이 ENISA/CSIRT에 신고 전달. 가장 간단한 방법은 24/7 신고 채널과 검증 가능한 위임장을 갖춘 제공업체 선택.
중국 아마존 판매자: 디지털 제품 제조사라면 신고 의무 및 대리인 임명 필요, 단순 유통업자라면 불필요. 계약상 역할 명확화 후 전자상거래 경험이 풍부한 제공업체 이용 권장.
영국 온라인 상점: EU 고객 대상 디지털 제품 판매 시 대리인 임명 및 신고 절차 준수 필요, 영국 내 판매만 할 경우 의무 없음. EU 판매 비중에 따른 준수 비용 타당성 평가 권장.

모든 경우에 내부 준비와 절차 명확성이 신고 기한 준수 및 벌금 위험 감소에 필수적입니다.

이것이 필요하지 않을 때

자사 명의로 판매하지 않는 EU 수입업자 및 유통업자
EU 외 지역에만 판매하는 기업
디지털 요소가 없는 비디지털 제품
디지털 제품 제조사가 아닌 공공 및 민간 기관

자주 묻는 질문

CRA 취약점 신고를 위한 대리인 임명 대상은 누구인가요?

EU 내에서 판매하는 디지털 제품 제조사로서 EU 내에 사업장이 없는 경우, CRA 제18조에 따라 취약점 신고를 위한 대리인을 임명해야 합니다. 수입업자나 유통업자 중 자사 명의로 시장에 제품을 내놓지 않는 경우는 해당 의무가 없습니다.

서비스에 기술적 취약점 평가가 포함되나요?

아니요, 본 가이드에 포함된 제공업체는 기본 가격에 기술 평가나 보안 테스트를 포함하지 않습니다. 서비스는 신고를 관할 기관에 전달하는 역할만 하며, 기술적 신고 준비는 제조사 책임입니다.

24시간 내 취약점 신고를 하지 않으면 어떤 일이 발생하나요?

기한 미준수 시 최대 €1,500만 또는 전 세계 매출의 2.5%에 달하는 벌금이 부과될 수 있으며, 평판 손상과 EU 내 판매 중단 위험도 있습니다. 감독 기관은 추가 감사나 평가를 요구할 수도 있습니다.

대리인이 GDPR 대리인도 겸할 수 있나요?

네, REP27 같은 일부 제공업체는 GDPR 제27조와 CRA 제18조 대리인을 함께 제공하는 번들을 판매하지만, 역할은 별개이며 가격은 선택한 패키지에 따라 다릅니다. 각 번들의 포함 및 제외 사항을 반드시 확인하세요.

24시간 신고 서비스는 어떻게 시작하나요?

제공업체를 선택한 후 위임장에 서명하고 대리인 정보를 문서에 반영합니다. 사고 발생 시 대리인에게 신고를 전달하면 대리인이 CSIRT/ENISA에 신고합니다. 내부 절차와 신고 템플릿을 미리 준비하는 것이 중요합니다.

서비스가 주말 및 공휴일에도 24시간 운영되나요?

네, 최소한 REP27는 연중무휴 24시간 신고 채널을 운영합니다. 선택한 제공업체가 실제 24/7 운영하며 신속하게 신고를 처리하는지 반드시 확인하세요.

대리인 임명 기간과 갱신 절차는 어떻게 되나요?

임명 기간은 1년이며 매년 갱신합니다. REP27는 갱신 가격(€440)을 공개하지만, 다른 제공업체는 공개하지 않을 수 있으니 갱신 가격과 변경 조건을 사전에 확인하세요.

내부적으로 무엇을 준비해야 하나요?

취약점 신고 권한자, 증거 수집 방법, 신고 템플릿 작성 절차를 포함한 내부 신고 절차를 마련해야 합니다. 대리인은 받은 신고를 전달만 하며, 신고 내용의 정확성 책임은 제조사에 있습니다.

마켓플레이스를 통한 판매자도 서비스가 의무인가요?

마켓플레이스(Amazon, Etsy 등)에서 판매하는 디지털 제품 제조사는 의무가 있습니다. 단순 유통업자나 리셀러는 의무가 없으니 계약상 역할을 명확히 하세요.

대리인이 GDPR 또는 NIS2 신고도 담당하나요?

아니요, CRA 대리인은 Cyber Resilience Act 관련 신고만 담당합니다. GDPR 또는 NIS2 신고는 별도의 위임장이 필요하며, 일부 제공업체가 번들로 제공할 수 있으나 절차는 별개입니다.

중도에 제공업체를 변경하면 어떻게 되나요?

계약 조건을 반드시 확인하세요. REP27는 변경 비용과 조건을 명확히 공개하지만, 다른 업체는 위약금이나 사전 통보를 요구할 수 있습니다. 공백 기간이나 이중 청구를 방지하기 위해 계획적으로 변경하세요.

서비스가 스위스에도 적용되나요?

아니요, CRA 대리인 임명은 EU 내에 한정됩니다. REP27는 스위스 개인정보보호청(nFADP)에 대한 무료 평가를 제공하지만, 스위스 대리인은 아닙니다. 스위스 판매 시 현지 법규 준수 여부를 별도로 확인하세요.

출처

Cyber Resilience Act 공식 문서 — nis2.gov.ie
REP27 — Europe Services, SE | CRA Authorised Representative Cost — gdprrepresentative.com
Kadano CRA Representation — kadano.io
Euverify CRA Representation — euverify.com
Licentium: EU Cyber Resilience Act – Vulnerability Reporting — licentium.io
ITPro: Cyber Resilience Act 벌금 — itpro.com
EU-representa: Cyber Resilience Act 신고 — eu-representa.com

Related guides

REP27 — Europe Services, SE정확히 REP27에 포함된 내용을 확인하세요 →