비EU 제조사를 위한 사이버 회복력법 대리인: 제공사 및 가격 (2026)

• CRA 제18조는 비EU 제조사가 EU 내에 대리인을 지정하도록 요구합니다.
• REP27 — Europe Services, SE: €490/년 (갱신 €440), 공개 가격, 명확한 범위.
• Kadano: €999/년, 가격 검증됨, 오스트리아 소재.
• Euverify: £590/년, 가격 검증됨, 아일랜드 소재.
• 서비스에는 적합성 평가나 법률 자문이 포함되지 않습니다.
• EU 내 제조사나 자체 이름으로 제품을 판매하는 수입업자는 필요하지 않습니다.

업데이트됨 16 October 2026 · 7 출처 확인됨

비교된 제공자

가격은 16 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법적 요구사항: CRA 제18조

사이버 회복력법(CRA), 규정 (EU) 2024/2847은 EU 시장에 출시되는 모든 디지털 요소(하드웨어 또는 소프트웨어) 포함 제품에 필수 사이버보안 요건을 부과하는 획기적인 EU 법률입니다. CRA 제18조는 EU 외부에 설립된 제조사가 EU 내에 설립된 대리인을 반드시 지정하도록 규정합니다. 이 대리인은 EU 시장감시 당국의 공식 연락 창구 역할을 하며, 적합성 선언서와 기술 문서를 보관하고 규제 요청을 제조사에 전달하는 책임을 집니다.

법은 임베디드 장치, 소프트웨어, SaaS, IoT, 개별 부품 등 광범위한 제품에 적용됩니다. 대리인의 역할은 엄격히 정의되어 있으며, 제조사의 법적 책임을 대신하지 않고 기술 또는 법률 자문을 제공하지 않습니다. 핵심 임무는 취약점이나 사고 발생 시 당국이 제조사에 신속하고 효율적으로 연락할 수 있도록 하는 것입니다.

• 제14조는 2026년 9월 11일부터 적극적으로 악용되는 취약점에 대해 24시간 내 보고 의무를 도입합니다. 제조사는 단일 보고 플랫폼을 통해 ENISA(EU 사이버보안 기관)에 통지해야 하며, 전체 보고는 72시간 내, 최종 보고는 14일 내 제출해야 합니다.
• 제71조(2항)는 적용 시기를 규정하며, 2026년 9월 11일부터 보고 의무가 시작되고, 2027년 12월 11일부터 제품 표시 및 적합성 평가 등 전체 의무가 적용됩니다.
• 제18조 미준수(대리인 미지정)는 최대 €1,000만 또는 전 세계 매출의 2% 벌금 대상이며(제69조(1항)), 필수 요건 위반 시 최대 €1,500만 또는 2.5%(제69조(2항))까지 부과될 수 있습니다.

중요한 점은 비EU 제조사가 대리인을 지정하지 않으면 수입업자나 유통업자가 기본적으로 책임을 지게 되어 사업 중단이나 조달 지연이 발생할 수 있다는 것입니다.

CRA 대리인 선택 방법

적절한 CRA 대리인 선택은 중요한 준수 결정입니다. 시장이 새롭고 제공사마다 투명성, 범위, 갱신 조건이 다릅니다. 현명한 선택을 위한 팁은 다음과 같습니다:

• 법인 확인: 제공사가 명확한 법적 실체를 가진 EU 등록 회사인지 확인하세요. 예를 들어 REP27은 2014년부터 프라하에 등록된 Europe Services, SE입니다 (IČO 03571785).
• 공개 가격 및 갱신 조건: 1년차 및 갱신 가격을 모두 공개하는 제공사를 선택하세요. REP27은 €490/년(갱신 €440)을 명시하며, 번들 할인도 제공합니다. 다수 제공사는 갱신 가격을 공개하지 않아 예상치 못한 비용이 발생할 수 있습니다.
• 위임 범위: 위임은 제18조(3항) 범위로 제한되어야 하며, 제13조 등 추가 법적 의무를 포함한다고 주장하는 제공사는 CRA에 의해 허용되지 않습니다.
• 증명서 검증: QR 코드 등 공개 페이지에서 확인 가능한 증명서를 제공하는지 확인하세요. 이는 조달 및 규제 감사에 필수적입니다.
• 요청 처리: 당국 요청 전달 방식, 지원 언어, 응답 시간, 요청별 수수료 유무를 파악하세요.

아래는 각 제공사의 포함사항, 미포함사항, 추가 비용 가능성을 비교한 표입니다:

결정 전 반드시 샘플 계약서를 요청하고 모든 제외 사항 및 갱신 조건을 서면으로 확인하세요.

가격에 실제 포함된 내용

대부분 공개된 CRA 대리인 가격은 기본 제18조 위임장만 포함합니다. 일반적으로 다음을 포함합니다:

• EU 대리인의 법적 실체와 서명된 위임장
• 검증 가능한 증명서(종종 QR 코드 또는 공개 등록)
• EU 당국의 요청을 제조사에 전달
• 선택 사항: 다국어 지원 요청 데스크 또는 규제 문의 지원

포함되지 않는 항목:

• 법률 자문 또는 법정 대리
• 적합성 평가, 보안 테스트, SBOM 생성
• 사고 대응 또는 기술적 수정
• 기술 문서 작성 또는 검토

REP27의 공개 요금은 CRA 위임장 기준 €490/년이며 갱신은 €440/년입니다. 번들 옵션도 있어 CRA와 GDPR 제27조 대리 포함 시 €690/년, CRA, GDPR, NIS2 포함 시 €990/년, GPSR 제16조 책임자 추가 시 €200가 더해집니다. 모든 가격은 VAT 별도이며 연간 선불 청구됩니다. 비EU 고객은 체코 VAT가 적용되지 않으며, EU 고객 중 유효한 VAT 번호 보유 시 역청구가 적용됩니다.

Kadano는 기본 또는 중요 1등급 위임장에 대해 €999/년을 청구하며 포함 내용은 요청 시 제공됩니다. Euverify는 CRA 대리인 전용으로 £590/년을 청구하며 포함 내용은 요청 시 안내됩니다. 2026년 10월 기준 Kadano와 Euverify는 웹사이트에 상세 포함 사항이나 갱신 조건을 공개하지 않습니다.

요약: 대리인 비용은 CRA 준수 비용 중 가장 적은 부분이며, 대부분 비용은 내부 엔지니어링, 문서화, 고위험 제품의 경우 공인기관 평가에 소요됩니다.

숨겨진 비용 및 제외사항

CRA 대리인 공개 가격은 명확하지만, 구매자는 총 준수 비용에 크게 영향을 미칠 수 있는 숨겨진 비용이나 제외사항을 인지해야 합니다:

• 적합성 평가: 중요 2등급 및 치명적 제품은 공인기관 평가가 필수이며 수천 유로 비용과 수개월 소요가 발생할 수 있습니다. 이는 대리인 비용에 포함되지 않습니다.
• 내부 엔지니어링: 기술 문서, SBOM, 지원 기간 준비 비용은 제조사가 부담합니다. 기본 등급 제품은 주로 내부 비용입니다.
• 법률 자문 및 DPO 서비스: 본 가이드 내 어떤 제공사도 법률 자문, DPO 서비스, 준수 평가를 CRA 대리인 패키지에 포함하지 않으며 REP27은 이를 명확히 제외합니다.
• 요청별 수수료: 일부 제공사는 당국 요청 전달에 추가 비용을 청구할 수 있으나 REP27은 공개하지 않습니다. 반드시 서면으로 확인하세요.
• 갱신 가격 인상: 다수 제공사는 갱신 가격을 공개하지 않아 예상치 못한 인상이 발생할 수 있습니다. REP27은 갱신 가격을 투명하게 공개합니다.
• 통지 기간 및 해지 조건: 계약서 내 통지 기간과 해지 조건을 확인하세요. 시장에선 묵시적 갱신과 낮은 첫해 가격이 흔합니다.

제외사항 표:

요약하자면, 포함 및 미포함 사항을 명확히 하고, 엔지니어링, 문서화, 공인기관 평가에 상당한 예산을 책정해야 합니다.

대리인 지정 절차: 단계별 안내

CRA 대리인 지정은 체계적인 절차입니다. 일반적인 단계와 실용적인 팁은 다음과 같습니다:

1. 적용 여부 확인: 제품이 범위 내인지 확인(디지털 요소 포함 하드웨어/소프트웨어, EU 내 판매 대상).
2. 설립 여부 확인: 회사가 EU 내에 설립되어 있지 않으면 대리인 지정이 필요합니다.
3. 제공사 조사: 법인, 공개 가격, 갱신 조건, 서비스 범위를 비교하고 샘플 계약서와 제외사항을 명확히 하세요.
4. 위임장 서명: 선택한 제공사와 서면 계약(위임장)을 체결하고 제18조 의무에 한정되었는지 확인하세요.
5. 문서 수령: 서명된 지정서와 검증 가능한 증명서를 받으세요. REP27은 eIDAS 전자서명과 공개 검증용 QR 코드를 제공합니다.
6. 기술 문서 업데이트: 대리인 정보를 기술 문서, 적합성 선언서, 제품 라벨(해당 시)에 반영하세요.
7. 보고 준비: 취약점 보고(제14조)용 실행 매뉴얼을 마련하세요. 사고 신고자, 플랫폼 접근 권한자, 조기 경고 및 통지 양식 초안을 포함합니다.
8. 필요 시 번들링: GDPR 제27조, NIS2, GPSR 대리인이 필요하면 비용 절감과 행정 간소화를 위해 번들 패키지를 고려하세요.

결정 매트릭스:

위험 및 벌금

CRA 미준수 시 재정적·운영적 위험이 큽니다. 법은 상당한 벌금과 기타 결과를 규정합니다:

• 대리인 미지정: 지정 의무를 위반하면 최대 €1,000만 또는 전 세계 매출의 2% 벌금(제69조(1항))이 부과됩니다.
• 필수 요건 위반: 필수 요건 또는 제조사 의무 위반 시 최대 €1,500만 또는 2.5%(제69조(2항)) 벌금이 부과될 수 있습니다.
• 보고 지연: 악용된 취약점 24시간 보고 의무(제14조)를 지키지 않으면 집행 조치, 시장 철수, 평판 손상이 발생할 수 있습니다.
• 조달 지연: 대리인 미지정 시 조달팀이 EU 대리인 증명을 요구해 판매 주기가 지연될 수 있습니다.
• 통제 상실: 대리인을 지정하지 않으면 수입업자나 유통업자가 기본 연락처가 되어 사고 보고 및 규제 대응 통제권을 잃을 수 있습니다.
• 묵인된 중단: 갱신일이 다른 여러 위임장을 관리하다 보면 실수로 갱신 누락이 발생해 미준수가 될 위험이 높아집니다.

REP27은 위임장의 주요 가치는 사고 시 낭비되는 시간, 문서 요청 지연, 조달 지연, 실수로 인한 미준수 방지에 있다고 강조합니다. 이러한 운영 위험은 재정적 벌금만큼 중요합니다.

제공사가 보통 말하지 않는 점

CRA 대리인 시장의 많은 제공사는 중요한 계약 및 운영 세부사항을 명확히 공개하지 않습니다. 구매자는 다음 사항을 인지해야 합니다:

• 갱신 가격: 일부 제공사는 첫해 가격은 낮게 제시하지만 갱신 가격을 공개하지 않아 예기치 않은 인상이 발생할 수 있습니다. REP27은 갱신 가격을 명확히 공개하는 몇 안 되는 제공사입니다.
• 통지 기간: 묵시적 갱신과 긴 해지 통지 기간이 흔합니다. 반드시 서면으로 확인하세요.
• 범위 확장 주장: 일부 제공사는 제18조 외 제13조 등 추가 의무를 포함한다고 주장할 수 있으나 CRA는 이를 허용하지 않습니다. 위임 범위가 법적 허용 범위 내인지 확인하세요.
• 요청별 수수료: 당국 요청 처리에 추가 비용이 부과될 수 있으나 REP27은 별도 비용을 명시하지 않습니다. 사전 확인이 필수입니다.
• 책임 한도: 제공사는 책임 한도나 손해 배상 제외 사항을 거의 공개하지 않습니다. 분쟁 시 매우 중요합니다.
• 제외사항: 적합성 평가, 보안 테스트, SBOM 생성, 법률 자문은 제조사 책임이며 어떤 제공사도 포함하지 않습니다.

요약하면, 계약 전 갱신 가격, 통지 기간, 요청별 수수료, 책임 조건을 반드시 서면으로 완전 공개받아야 합니다.

결정 매트릭스: CRA 대리인이 필요한가?

비즈니스 모델과 시장 상황에 따른 CRA 대리인 필요 여부 판단용 매트릭스입니다:

이 매트릭스는 대부분 제조사 및 판매자의 실제 상황을 다룹니다. 의문이 있으면 법률 전문가나 제품별 판매 모델 전문가에게 상담하세요.

준수 체크리스트

CRA 의무를 효율적으로 준수하기 위한 체크리스트입니다:

1. 제품이 CRA 범위 내(디지털 요소 포함 하드웨어/소프트웨어)인지 확인.
2. EU 외 설립 여부 확인.
3. 직접 EU 고객 또는 마켓플레이스(Amazon, Etsy, eBay) 통해 판매하는지 확인.
4. CRA 대리인 제공사 법인, 가격, 범위 비교.
5. 샘플 계약 요청 및 제외사항, 갱신 조건 서면 확인.
6. 선택한 제공사와 제18조 위임장 서명.
7. 지정서 및 증명서 수령 및 검증(공개 검증 권장).
8. 기술 문서 및 제품 선언서에 대리인 정보 반영.
9. 취약점 보고용 실행 매뉴얼 준비(2026년 9월 11일부터 제14조 의무 시작).
10. 내부 엔지니어링, 문서화, 필요 시 공인기관 평가 예산 책정.
11. 지원 기간 약속(최소 5년 보안 업데이트) 검토.
12. 갱신일 및 해지 통지 기간 모니터링으로 묵인 갱신 방지.

실제 사례

• 미국 SaaS 제공사: EU 고객에 클라우드 기반 제품 판매. CRA 대리인 지정 및 24시간 취약점 보고 채널 구축 필요. REP27은 공개 가격, 신속 지정, 검증 가능한 증명서를 제공합니다. SaaS 제공사는 기술 문서 및 보고 매뉴얼도 준비해야 하며, 중요 2등급 또는 치명적 제품이 아니면 적합성 평가는 자체 선언 가능성이 큽니다.
• 중국 Amazon 판매자: 브랜드 IoT 장치를 EU에 배송. 시장 접근을 위해 CRA 대리인 필요하며 Amazon 및 EU 세관에서 대리인 증명을 요구할 수 있습니다. 판매자는 제품이 CRA 요건을 충족하는지 확인하고 REP27, Kadano, Euverify 중 대리인을 지정하며 문서도 업데이트해야 합니다. 자체 브랜드 판매 시 의무가 적용되며, 수입업자가 브랜드를 변경하면 수입업자가 책임을 집니다.
• 영국 온라인 소매업자: EU 기업 대상 B2B 연결 장치 판매. EU 내 수입업자가 의무를 부담하지 않는 한 CRA 대리인 지정 필요. 판매자는 파트너와 책임 소재를 명확히 하고 필요 시 대리인 지정 및 2026년 9월부터 취약점 보고 준비를 해야 합니다.

이 사례들은 회사 규모나 업종에 관계없이 법률 적용과 준수 절차를 보여줍니다.