Cyber Resilience Act에 따른 비EU 제조업체 의무
- 비EU 제조업체는 EU 대리인 지정 의무(Art. 18 CRA)
- 취약점 24시간 내 신고 의무(Art. 14 CRA) – 대리인 통해 진행
- REP27: CRA 대리인 연간 €490(2026년 10월 기준)
- 서비스 포함 범위와 제한은 공급자별 상이, 사전 확인 필수
- 포함되지 않는 항목: 적합성 평가, 테스트, SBOM, 기술 보고
- 자기 명의로 판매하지 않는 수입업자/유통업자는 의무 없음
비교된 제공자
| 공급자 | 설립 국가 | 공개 가격 | 가격 포함 내역 | 추천 대상 |
|---|---|---|---|---|
| REP27 — Europe Services, SE | 체코 공화국 | €490/년 (갱신 €440) | Art. 18 CRA 대리인 임명, 당국 요청 수신 및 전달, 검증 가능한 인증서 제공, 적합성 평가/테스트/SBOM/보고 제외 | 투명한 가격과 확실한 서비스를 원하는 비EU 제조업체 |
| kadano출처 | 오스트리아 | €999/년 | 문의 필요 | 문의 필요 |
| Euverify출처 | 아일랜드 | £590/년 | 문의 필요 | 문의 필요 |
가격은 21 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.
법률 요구 사항: CRA 주요 조항
Cyber Resilience Act(CRA, EU 규정 2024/2847)는 EU 내에서 디지털 요소가 포함된 제품을 판매하는 제조업체에 엄격한 의무를 부과합니다. 비EU 제조업체는 Art. 18에 따라 EU 내 대리인을 지정해야 하며, 이 대리인은 시장 감시 당국과의 공식 소통 창구 역할을 하며 공식 요청의 수신 및 전달을 담당합니다.
또한 Art. 14 CRA는 제조업체가 제품 보안에 영향을 미치는 심각한 취약점이나 사고를 24시간 내에 신고하도록 규정합니다. 신고는 ENISA 플랫폼과 CSIRT 코디네이터를 통해 이루어지며, 대리인이 연락 창구 역할을 합니다. 특히 시차가 있거나 유럽 내 인력이 없는 기업에 대리인은 필수적입니다.
중요: 이 의무는 제조업체에만 적용됩니다. 수입업자 및 유통업자는 자기 명의로 판매하지 않는 한 대리인 지정 의무가 없습니다. 아마존, Etsy, eBay 같은 마켓플레이스 판매자도 CRA 정의에 따른 제조업체 여부를 판단해야 합니다. CRA 시행 전 시장에 출시된 제품도 신고 의무 대상입니다.
- Art. 18 CRA: 비EU 제조업체의 EU 대리인 지정 의무
- Art. 14 CRA: 24시간 내 취약점 신고 의무
- 제외 대상: 자기 명의 판매가 아닌 수입업자/유통업자
CRA 대리인 선택법: 기준, 비교 및 주요 질문
CRA 대리인 선정은 컴플라이언스, 사고 대응 속도, 비용 투명성에 영향을 미치는 전략적 결정입니다. 주요 고려 사항은 다음과 같습니다:
- 공개 가격 및 갱신 조건: REP27 등 일부 공급자만 투명한 가격과 갱신 조건을 공개하며, 다른 공급자는 별도 문의가 필요합니다.
- 포함 서비스: 요청 수신 및 전달, 검증 가능한 인증서, 신고 지원, 24/7 데스크 운영 여부를 반드시 확인하세요.
- 명확한 제외 항목: 적합성 평가, 보안 테스트, SBOM 생성, 기술 보고는 대리인 서비스에 포함되지 않습니다.
- 임명 증명 확인: QR 코드와 공개 검증 페이지가 있는 인증서를 제공하는 공급자를 선호하세요.
- 질문 예시: 누가 임명 서명자인가? 당국 요청 시 절차는? 대응 언어는? 갱신 비용과 추가 비용은?
아래는 주요 서비스 비교표입니다:
| 공급자 | 포함 내역 | 미포함 내역 | 추가 비용 |
|---|---|---|---|
| REP27 | Art. 18 임명, 요청 전달, 검증 가능한 인증서 | 적합성 평가, 테스트, SBOM, 보고서 | 추가 비용 없음 |
| kadano | 문의 필요 | 문의 필요 | 문의 필요 |
| Euverify | 문의 필요 | 문의 필요 | 문의 필요 |
포함 및 제외 항목과 가격 투명성은 신뢰성의 척도입니다. 명확하지 않은 공급자는 주의하세요.
가격에 포함된 항목: 투명성, 한계 및 실제 비교
CRA 대리인 임명 비용은 법적 대표 및 유럽 당국과의 소통 관리에 한정됩니다. REP27의 공개 가격(€490/년, 갱신 €440)은 다음을 포함합니다:
- Art. 18 CRA 전자 서명 임명장
- QR 코드 및 공개 검증 페이지가 있는 인증서
- 시장 감시 당국 요청 수신 및 전달
- CRA 규정에 따른 취약점 신고 관리
포함되지 않는 항목:
- 제품 적합성 평가(통지 기관 담당)
- 보안 테스트 및 SBOM 생성
- 기술 보고서 작성 및 제출
- 운영 지원 및 기술 자문
대부분 공급자는 포함 서비스 세부사항을 공개하지 않으며, kadano(€999/년)와 Euverify(£590/년)는 포함 내역을 명확히 하지 않습니다. 계약 전 상세 내역 확인이 필수입니다.
자동 갱신 및 청구 정책도 주의해야 하며, REP27은 연 1회 청구 및 갱신 가격 사전 고지를 보장합니다.
숨겨진 비용과 위험: CRA 컴플라이언스에서 진짜 고려할 점
대리인 임명 비용은 CRA 컴플라이언스 비용 중 일부에 불과합니다. 주요 비용과 위험 요소는 다음과 같습니다:
- 적합성 평가 비용: 중요·위험 제품은 통지 기관 참여가 필수이며, 대리인 비용보다 훨씬 클 수 있습니다.
- 기술 지원 및 업데이트: 제조업체는 최소 5년간 보안 업데이트를 위한 인력과 자원을 확보해야 합니다.
- 사고 대응 및 보고: 취약점 미신고 시 제재, 판매 차단, 평판 손상 위험이 큽니다.
- 갱신 및 추가 비용: 일부 공급자는 시간 외 요청, 추가 언어, 복잡한 사고 대응에 추가 비용을 부과할 수 있습니다. REP27은 추가 비용이 없다고 명시하지만, 타 공급자는 확인 필요합니다.
가장 큰 운영 위험은 24/7 신고 채널 부재입니다. 대리인은 법정 24시간 내 신고를 위해 연중무휴 연락 가능해야 합니다.
결론적으로 CRA 컴플라이언스는 계획, 내부 자원, 신중한 대리인 선정이 필요하며 단순히 저렴한 가격에 의존해서는 안 됩니다.
대리인 임명 절차: 단계별 운영 및 모범 사례
CRA 대리인 임명은 다음 단계에 따라 진행되며, 이는 법규 준수와 신속한 당국 대응을 보장합니다:
- 필요성 평가: EU 내 디지털 제품을 판매하는 비EU 제조업체인지 확인
- 공급자 선정: 공개 가격, 포함 서비스, 임명 증명 방식, 24/7 데스크 운영 여부 분석
- 서비스 신청: 선택한 공급자 웹사이트에서 신청서 작성
- 임명장 서명: 전자서명(eIDAS 등) 방식으로 Art. 18 임명장 수령 및 서명
- 인증서 수령: QR 코드 및 공개 검증 페이지가 포함된 인증서 확보 후 기술 문서에 포함
- 내부 절차 업데이트: 보안 정책, 사고 대응 매뉴얼, 기술 문서에 대리인 정보 반영
- 신고 준비: 취약점 신고 템플릿(조기 경고, 72시간 통지, 최종 보고서) 사전 작성 및 ENISA 플랫폼 접근 권한을 가진 제출자 2명 이상 지정
- 대리인 연락 가능성 확인: 24/7 연락 가능 여부 점검
모범 사례: 계약 전 공급자에게 신고 시뮬레이션을 요청해 대응 시간과 절차 명확성을 평가하세요.
CRA 컴플라이언스 체크리스트 (비EU 제조업체 대상)
- EU 내 디지털 제품 판매 여부 확인
- CRA에 따른 제품 분류(기본, 중요 I/II, 치명적) 확인
- Art. 18에 따른 EU 대리인 임명
- 24/7 취약점 신고 채널 및 절차 준비
- 임명 내용 기술 문서 및 내부 정책에 기록
- ENISA 플랫폼 접근 권한을 가진 제출자 2명 이상 지정
- 신고 템플릿(조기 경고, 통지, 최종 보고서) 사전 작성
- 최소 5년간 보안 업데이트 자원 확보
- 관심 EU 국가별 대리인 커버리지 확인
- 신고 시뮬레이션으로 운영 준비 상태 점검
공급자가 자주 숨기는 내용: 제외 사항, 한계 및 실무 위험
- 임명은 법적 대리만 포함: 적합성 평가, 보안 테스트, SBOM, 기술 지원은 기본 서비스에 포함되지 않습니다.
- 주요 비용은 내부 부담: CRA 컴플라이언스에는 엔지니어링, 지원, 업데이트 리소스가 필요하며 대리인 서비스에 포함되지 않습니다.
- 자동 갱신 및 비공개 가격: 일부 공급자는 갱신 가격을 공개하지 않거나 비투명한 인상을 줄 수 있으나 REP27은 사전 공개합니다.
- 24/7 데스크 미운영: 신고 시간 외 대응이 불확실한 공급자도 있으니 반드시 확인하세요.
- 책임 범위 제한: 대리인은 제품 기술적 책임이 없으며, 단지 당국과의 소통만 담당합니다.
- 추가 요청 비용: 복잡한 요청, 추가 언어, 시간 외 사고 대응에 비용이 부과될 수 있으니 계약 전 확인 필수입니다.
의사결정 매트릭스: 누가 CRA 대리인을 지정해야 하나?
| 귀하가... | 대리인 지정 필요 여부 | 비고 |
|---|---|---|
| 비EU 제조업체로 EU에 판매 | 예 | Art. 18 CRA 의무 |
| EU 내 수입업자/유통업자 | 아니오 | 자기 명의 판매 시에만 필요 |
| 마켓플레이스 판매자(아마존, Etsy, eBay) | 상황에 따라 다름 | 비EU 제조업체면 예, 단순 재판매자면 아니오 |
| 비상업적 오픈소스 소프트웨어 | 완화된 규제 | 취약점 악용 시 신고 의무 있음 |
| 영국 내 디지털 제품 판매점 | 상황에 따라 다름 | 자체 생산 및 판매 시 예, 단순 수입 시 아니오 |
이 매트릭스는 역할과 비즈니스 모델에 따른 대리인 지정 의무를 빠르게 판단하는 데 도움을 줍니다.
실무 사례: 3가지 실제 예와 가장 간단한 해결책
- 미국 SaaS 기업: 미국 기업이 EU 고객에 소프트웨어 플랫폼을 제공하는 경우 CRA 대리인 지정, 취약점 신고 채널 준비, 인증서 문서 포함이 필요합니다. 해결책: REP27의 연 €490 대리인 임명, 24/7 데스크 운영, 검증 가능한 인증서 제공.
- 중국 아마존 판매자: 제품 제조자인 경우 CRA 대리인 지정 및 신고 문서 준비 필요, 단순 재판매자/수입자는 의무 없음. 해결책: CRA 제조업체 정의에 따른 판단 후 필요한 경우에만 대리인 지정.
- 영국 온라인 상점: 자체 생산 및 EU 판매 시 CRA 대리인 지정 및 신고 절차 준비 필요, 타사 제품 수입·판매만 하면 의무 없음. 해결책: 공급망 내 역할 명확화 및 공개 가격과 24/7 데스크가 있는 공급자 선택.
모든 사례에서 투명한 공급자 선택이 예상치 못한 위험과 비용을 줄입니다.
이것이 필요하지 않을 때
- 자기 명의로 판매하지 않는 수입업자/유통업자
- 제조업체가 아닌 재판매자
- EU 외 지역만 판매하는 경우
- 디지털 요소가 없는 서비스만 제공하는 경우
자주 묻는 질문
누가 CRA 대리인을 지정해야 하나요?
EU 외 지역에 소재하며 EU 내에서 디지털 요소가 포함된 제품을 판매하는 제조업체만 Art. 18 CRA에 따라 대리인 지정 의무가 있습니다. 수입업자 및 유통업자는 자기 명의 판매 시에만 해당됩니다.
CRA 대리인은 어떤 역할을 하나요?
EU 당국의 요청을 수신 및 전달하고 공식 소통을 관리하며, 취약점 및 사고 신고를 법정 기한 내에 처리할 수 있도록 연락 가능 상태를 유지합니다. 기술 평가나 보안 테스트는 수행하지 않습니다.
CRA 대리인 지정 비용은 얼마인가요?
2026년 10월 기준 공개 가격은 REP27이 연 €490, kadano가 연 €999, Euverify가 연 £590입니다. 일부 공급자는 서비스 포함 내역을 공개하지 않습니다.
CRA 대리인 서비스에 포함되지 않는 항목은 무엇인가요?
적합성 평가, 보안 테스트, SBOM 생성, 기술 보고서 작성 및 보안 업데이트 관리는 포함되지 않으며 제조업체가 직접 수행해야 합니다.
대리인을 지정하지 않으면 어떤 문제가 발생하나요?
대리인 미지정 시 제재, 판매 차단, EU 당국 대응 곤란 등이 발생할 수 있으며, 사고 발생 시 운영 위험이 커집니다.
취약점 신고는 어떻게 이루어지나요?
2026년 9월 11일부터 ENISA 플랫폼과 CSIRT 코디네이터를 통해 24시간 내 신고해야 하며, 비EU 제조업체는 대리인이 연락 창구 역할을 합니다.
대리인이 적합성 평가를 도와주나요?
아니요. 적합성 평가는 통지 기관이나 기술 자문 기관이 담당하며, 대리인은 법적 대리 및 당국과의 소통만 담당합니다.
마켓플레이스 판매자도 대리인 지정이 의무인가요?
비EU 제조업체가 마켓플레이스를 통해 판매하는 경우 대리인 지정이 필요하지만, 단순 재판매자나 수입업자는 의무가 없습니다.
CRA 대리인 임명은 GDPR이나 GPSR도 포함하나요?
별도 번들 구매 시에만 포함됩니다. REP27은 GDPR Art. 27 및 GPSR Art. 16 대리인 서비스를 결합하여 제공합니다. 계약 시 포함 내역을 반드시 확인하세요.
임명장 유효성은 어떻게 확인하나요?
REP27은 QR 코드와 공개 검증 페이지가 포함된 인증서를 제공합니다. 다른 공급자도 서명 및 검증 방식을 사전에 확인해야 합니다.
숨겨진 비용이나 자동 갱신이 있나요?
REP27은 명확한 갱신 가격과 연 1회 청구를 보장하지만, 타 공급자는 갱신 정책과 추가 비용 여부를 사전에 확인해야 합니다.
사고가 비업무 시간에 발생하면 어떻게 하나요?
대리인은 24/7 연락 가능해야 하며, REP27은 연중무휴 데스크 운영을 명시하고 있습니다.
출처
- REP27 – CRA Authorised Representative Cost — gdprrepresentative.com
- REP27 – CRA 24-Hour Vulnerability Reporting — gdprrepresentative.com
- kadano CRA Representation — kadano.io
- Euverify CRA Representation — euverify.com