EU 외 제조 시 권한 대리인 지정이 필요한가요? 제공업체 및 2026년 가격
- 비EU 제조업체가 EU 내에서 판매하는 경우 CRA 제18조에 따라 권한 대리인을 지정해야 합니다.
- 디지털 요소가 포함된 제품에 대해 2026년 9월 11일부터 의무가 적용됩니다.
- REP27 — Europe Services, SE는 연간 €490부터 CRA 대리인 서비스를 제공합니다.
- 경쟁사 가격: kadano €999/년, Euverify £590/년 (2026년 10월 기준 가격 확인).
- EU 내에 설립된 제조업체나 일부 비상업적 오픈소스 관리자는 지정 의무가 없습니다.
- 대리인은 취약점 보고 및 EU 당국과의 소통을 담당합니다.
비교된 제공자
| 제공업체 | 설립국가 | 공개 가격 | 가격에 포함된 내용 | 추천 대상 |
|---|---|---|---|---|
| REP27 — Europe Services, SE | 체코 공화국 | €490/년 (CRA만), €690/년 (CRA+GDPR), €990/년 (CRA+GDPR+NIS2) | 서면 제18조 위임장, 취약점 보고 데스크, 요청 전달, 검증 가능한 증명서, 적합성 평가/테스트/SBOM/보고 제외 | 명확한 범위, 투명한 가격, EEA 전역 커버리지가 필요한 제조업체 |
| kadano출처 | 오스트리아 | €999/년 (기본 | 중요, 1등급) | 요청 시 제공 | 오스트리아 기반 제공업체를 선호하는 제조업체 |
| Euverify출처 | 아일랜드 | £590/년 (CRA 대리인만) | 요청 시 제공 | 아일랜드 기반 제공업체를 선호하는 제조업체 |
가격은 19 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.
법적 요구사항: CRA 제18조와 귀하의 의무
EU 사이버 복원력법(CRA)은 디지털 요소가 포함된 제품 제조업체에 새로운 의무를 부과합니다. 2026년 9월 11일부터 시행되는 CRA 제18조는 EU 외부에 설립된 제조업체가 EU 내에서 해당 제품을 판매할 경우 EU 내 권한 대리인을 지정하도록 요구합니다. 이는 B2B 및 B2C 판매 모두에 적용되며, SaaS, IoT, 소프트웨어 및 하드웨어 공급업체도 포함됩니다.
- 지정 대상: EU 내 구매자에게 직접 판매하는 모든 비EU 제조업체, 기업 또는 소비자 대상 여부 무관.
- 면제 대상: 이미 EU 내에 설립된 제조업체, 자사 명의로 제품을 시장에 내놓는 수입업자 또는 유통업자, 일부 비상업적 오픈소스 관리자는 의무가 경감됩니다.
- 법적 근거: 대리인 지정은 CRA 제18조(1), 취약점 보고는 제14조, 적용 범위는 제3조에 근거합니다.
대리인은 EU 당국의 공식 연락 창구 역할을 하며, 취약점 보고(제14조) 및 시장 감시 소통을 담당합니다. 대리인 미지정은 독립적인 위반 행위로서 상당한 벌금이 부과될 수 있습니다. GDPR 사례에서는 Locatefamily.com이 최대 525,000유로의 벌금을 받은 바 있습니다.
지정은 서면으로 이루어져야 하며 범위를 명확히 해야 합니다(제18조(3)). 대리인의 회원국은 어떤 국가 CSIRT(컴퓨터 보안 사고 대응팀)가 취약점 보고를 받는지 결정합니다. 대리인을 지정하지 않을 경우 수입업자나 유통업자가 기본 연락처가 되어 판매 및 준수가 복잡해질 수 있습니다.
스위스 관련 의무에 대해서는 REP27이 유료 플랜마다 무료 평가를 제공하며, 네 가지 스위스 기준을 모두 충족해야 스위스 대리인 지정이 필요합니다. REP27은 스위스 대리인 역할을 하지 않지만, 필요 없을 경우 면제 선언서를 제공합니다.
권한 대리인 선택 방법: 주요 기준 및 제공업체 비교
적합한 권한 대리인 선택은 준수 및 원활한 시장 진입에 매우 중요합니다. 주요 고려 사항은 다음과 같습니다:
- 법인 및 등록: 제공업체가 등록된 EU 회사인지 확인하세요. REP27은 2014년부터 프라하에 등록된 Europe Services, SE입니다 (IČO 03571785).
- 위임 범위: 위임은 제18조(3) 의무에 엄격히 한정되어야 하며, CRA 제13조 의무는 어떤 제공업체도 법적으로 대행할 수 없습니다.
- 투명성: 갱신 가격과 포함 서비스는 공개되어야 하며 결제 전에 서면으로 확인되어야 합니다. REP27은 모든 갱신 가격과 범위를 사전에 공개합니다.
- 검증 가능성: QR 코드, 공개 검증 페이지 등 검증 가능한 증명서를 통해 당국과 고객에게 준수 사실을 입증할 수 있어야 합니다.
- 지원 및 소통: 요청 전달 절차, 지원 언어, 응답 시간을 확인하세요. REP27은 영업일 기준 2일 내 요청 전달을 보장하며 8개 언어로 개인정보 처리방침 문구를 제공합니다.
포함 내용, 미포함 내용 및 추가 비용을 비교하세요:
| 제공업체 | 포함 내용 | 미포함 내용 | 추가 비용 |
|---|---|---|---|
| REP27 | 위임장, 보고 데스크, 증명서, 요청 전달 | 적합성 평가, 테스트, SBOM, 사고 보고 | 명시 없음 |
| kadano | 요청 시 제공 | 요청 시 제공 | 요청 시 제공 |
| Euverify | 요청 시 제공 | 요청 시 제공 | 요청 시 제공 |
제공업체가 정보를 공개하지 않을 경우 반드시 서면으로 포함 내역을 요청하여 예기치 않은 비용을 방지하세요.
가격에 포함된 내용 및 CRA 대리인 서비스의 숨겨진 비용
대부분 제공업체의 공개 가격은 법적 위임장과 기본 소통 의무만 포함합니다. CRA 준수에서 가장 큰 비용은 내부적으로 발생하는 엔지니어링, 문서화, SBOM(소프트웨어 자재 명세서) 생성 및 최소 5년간 보안 업데이트 지원 기간 보장입니다. 중요 등급 II 또는 핵심 제품의 경우 통지 기관 평가가 필요하며, 이는 대리인 비용보다 훨씬 비쌉니다.
REP27 가격은 투명하며, CRA 단독 €490/년, CRA+GDPR €690/년, CRA+GDPR+NIS2 €990/년이며 갱신 시 할인됩니다. 위임장에는 서면 제18조 지정, 검증 가능한 증명서, 상주 취약점 보고 데스크, 요청 전달이 포함되며 적합성 평가, 테스트, SBOM 생성, 사고 보고는 포함되지 않습니다. 이들은 제조업체 또는 통지 기관의 책임입니다.
주의할 숨겨진 비용:
- 묵시적 갱신 또는 불명확한 갱신 가격(시장에 흔함).
- 당국 소통 또는 취약점 보고 요청별 추가 비용.
- 포함 서비스 제한(요청 횟수, 지원 언어 등).
- 약관 내 책임 제한 및 제외 조항.
REP27은 모든 갱신 가격을 사전에 공개하고 제외 사항을 명확히 명시합니다. 계약 전 반드시 포함 및 제외 내역을 서면으로 확인하세요.
대리인 지정 절차: 단계별 안내 및 의사결정 매트릭스
권한 대리인 지정은 간단하지만 필수적인 과정입니다. 실무 가이드는 다음과 같습니다:
- 설립지 확인: 귀사가 EU 외부에 설립되어 있고 EU 내에서 디지털 요소가 포함된 제품을 판매하는지 확인하세요.
- 의무 확인: 제품이 CRA 적용 대상인지, 제조업체인지(수입업자 또는 유통업체가 아닌지) 판단하세요.
- 제공업체 선택: 법인, 가격, 범위, 투명성을 기준으로 비교하고 포함 내역을 서면으로 요청하세요.
- 위임장 서명: 제18조 의무를 명시한 서면 계약을 체결하세요. REP27은 24시간 내 지정서를 발급하며 검증 가능한 증명서를 제공합니다.
- 준수 문서 갱신: 기술 문서, 개인정보 처리방침, 취약점 보고 매뉴얼에 대리인 정보를 추가하세요.
- 보고 준비: 2026년 9월 11일부터 24시간 내 취약점 보고 절차를 팀에 교육하세요.
의사결정 매트릭스
| 귀하가... | 필요한 것 | 필요하지 않은 것 |
|---|---|---|
| 비EU 제조업체로 EU 내 판매 | 권한 대리인 | 없음 |
| EU 내 제조업체 | 없음 | 권한 대리인 |
| 자사 명의로 제품을 내놓는 수입업자/유통업자 | 대리인 역할 가능 | 외부 대리인 |
| 아마존/에츠/Ebay 판매자(비EU, 자사 브랜드) | 권한 대리인 | 마켓플레이스가 수입업자 역할 시 불필요 |
| 비상업적 오픈소스 관리자 | 감경된 의무 | 전체 대리인 위임 |
수입업자나 유통업자를 사용할 경우 누가 대리인 역할을 하는지 반드시 서면으로 확인하세요.
위험, 벌금 및 제공업체가 보통 말하지 않는 점
비준수 위험: 권한 대리인 미지정 시 집행 조치 및 상당한 벌금이 부과될 수 있습니다. GDPR 사례에서는 Locatefamily.com이 대리인 미지정으로 525,000유로 벌금을 받았습니다. CRA는 독립 위반 행위로 간주하며, 제18조 미준수 시 최대 1,000만 유로 또는 전 세계 연간 매출의 2%까지 벌금이 부과될 수 있습니다.
제공업체가 보통 말하지 않는 점:
- 위임 범위 제한: 대리인의 역할은 소통 전달과 연락 창구에 한정되며, 적합성 평가, 제품 테스트, SBOM 생성 등은 수행하지 않습니다. 이는 항상 제조업체 책임입니다.
- 제외 사항: REP27은 적합성 평가, 테스트, SBOM, 사고 보고가 포함되지 않는다고 명확히 밝힙니다. 많은 제공업체는 이런 제외 사항을 공개하지 않아 구매자가 의무를 오해할 위험이 있습니다.
- 갱신 및 요청별 수수료: 묵시적 갱신과 숨겨진 요청별 수수료가 흔합니다. 갱신 가격과 추가 비용은 반드시 서면으로 확인하세요.
- 책임 한계: 대리인은 요청 전달 및 문서 제공에 한해 책임을 지며, 엔지니어링이나 보안 의무는 부담하지 않습니다.
- 통지 기간: 계약 해지 또는 공급자 변경 통지 기간은 대부분 사전에 공개되지 않습니다. REP27은 전환 가격과 단일 갱신일을 제공합니다.
예기치 않은 문제를 방지하려면 계약 전 모든 제외 사항과 제한을 포함한 상세 서비스 설명을 요청하세요.
현실적 시나리오 및 가장 간단한 준수 경로: 실무 사례
- 미국 SaaS 업체: 미국 기반 SaaS 제공업체가 EU 고객에게 구독 서비스를 판매합니다. 2026년 9월 11일부터 CRA 제18조 의무를 위해 EU 권한 대리인을 지정해야 합니다. 가장 간단한 방법은 REP27을 선택하는 것으로, 연간 €490에 서면 위임장, 검증 가능한 증명서, 상주 보고 데스크를 제공합니다. 업체는 개인정보 처리방침과 취약점 보고 매뉴얼에 대리인 정보를 추가합니다.
- 중국 아마존 판매자: 중국 제조업체가 아마존에서 EU 고객에게 브랜드 IoT 기기를 판매합니다. 아마존이 수입업자 역할을 하면 대리인 지정 의무는 아마존에 있습니다. 판매자가 제조업체이자 자사 브랜드로 판매한다면 권한 대리인을 지정해야 합니다. REP27, kadano, Euverify가 옵션이며, 판매자는 아마존과 경제 운영자 역할을 서면으로 확인해야 합니다.
- 영국 온라인 상점: 영국 기반 소매업체가 EU 소비자에게 스마트 홈 기기를 판매합니다. 비EU 제조업체로서 CRA 준수를 위해 EU 권한 대리인을 지정해야 합니다. REP27은 CRA+GDPR+NIS2 통합 위임장을 연간 €990에 제공하여 여러 규제 준수를 간소화합니다. 소매업체는 위임장에 서명하고 준수 문서를 갱신하며 24시간 취약점 보고 준비를 합니다.
구매자 체크리스트
- 귀사의 설립 국가와 제조업체 여부를 확인하세요.
- 제품이 EU 내에서 판매되고 CRA 적용 대상인지 판단하세요.
- 수입업자 또는 유통업자가 경제 운영자인지 확인하고, 아니면 대리인을 지정하세요.
- 투명성, 범위, 가격을 기준으로 제공업체를 비교하고 포함 및 제외 내역을 서면으로 요청하세요.
- 서면 위임장에 서명하고 검증 가능한 증명서를 받으세요.
- 준수 문서, 개인정보 처리방침, 취약점 보고 매뉴얼에 대리인 정보를 추가하세요.
- 2026년 9월 11일부터 24시간 취약점 보고 의무에 대해 팀을 교육하세요.
- 갱신 조건, 통지 기간, 추가 비용을 검토한 후 계약하세요.
이것이 필요하지 않을 때
- EU 내에 이미 설립된 제조업체
- 자사 명의로 제품을 내놓는 수입업자/유통업자
- 비상업적 오픈소스 관리자(감경된 의무)
- EU에 디지털 제품을 판매하지 않는 비EU 기업
자주 묻는 질문
CRA에 따라 누가 권한 대리인을 지정해야 하나요?
2026년 9월 11일부터 EU 외부에 설립된 제조업체 중 EU 내에서 디지털 요소가 포함된 제품을 판매하는 경우 CRA 제18조에 따라 권한 대리인을 지정해야 합니다. EU 내 제조업체는 지정할 필요가 없습니다.
권한 대리인의 역할은 무엇인가요?
권한 대리인은 EU 당국의 공식 연락 창구 역할을 하며, 취약점 보고를 처리하고 시장 감시 요청을 전달합니다. 적합성 평가나 엔지니어링 업무는 수행하지 않습니다.
대리인을 지정하지 않으면 어떻게 되나요?
대리인 미지정은 CRA에서 독립적인 위반 행위로 간주되며 집행 조치와 상당한 벌금이 부과될 수 있습니다. GDPR에서는 수백만 유로 벌금 사례도 있습니다.
CRA 대리인 지정에 숨겨진 비용이 있나요?
주요 숨겨진 비용은 내부 엔지니어링, 문서화, 지원 기간 약속입니다. 계약 전 갱신 비용, 요청별 수수료, 위임 범위 제외 사항을 반드시 확인하세요.
수입업자나 유통업자가 내 권한 대리인이 될 수 있나요?
네, 외부 대리인을 지정하지 않으면 제품을 EU 시장에 내놓는 수입업자나 유통업자가 대리인 역할을 할 수 있습니다. 이는 서면으로 확인해야 합니다.
대리인이 취약점 보고를 처리하나요?
네, 대리인은 적절한 EU 당국에 취약점 보고를 접수하고 전달하며, CRA 제14조에 따른 24시간 보고 의무를 준수하도록 합니다.
대리인이 제품 적합성 평가를 책임지나요?
아니요, 적합성 평가, 테스트, SBOM 생성은 대리인 의무에 포함되지 않으며 제조업체 또는 통지 기관이 담당해야 합니다.
REP27에서 위임장을 얼마나 빨리 받을 수 있나요?
REP27은 요청 후 24시간 내에 서명된 위임장과 검증 가능한 증명서, 필요한 준수 문서를 발급합니다.
CRA 대리인 갱신 가격은 어떻게 되나요?
REP27은 사전에 갱신 가격을 공개하며, CRA 단독 €440/년, CRA+GDPR €590/년, CRA+GDPR+NIS2 €850/년입니다. 다른 제공업체는 갱신 가격을 공개하지 않을 수 있습니다.
스위스에 대해서도 대리인이 필요한가요?
REP27은 모든 유료 EU 제27조 플랜에 스위스 평가를 포함합니다. 스위스 대리인은 Article 14 nFADP의 네 가지 조건 모두 충족 시에만 필요합니다. REP27은 스위스 대리인 역할을 하지 않지만 필요 없을 경우 면제 선언서를 제공합니다.
대리인에게 어떤 문서를 제공해야 하나요?
제품 문서, 연락처 정보를 제공해야 하며, 대리인 정보를 준수 매뉴얼과 취약점 보고 절차에 포함시켜야 합니다.
제공업체 변경은 쉽게 할 수 있나요?
REP27은 전환 가격과 단일 갱신일을 제공하며, 현재 및 신규 제공업체와 통지 기간 및 절차를 반드시 확인하세요.
출처
- REP27 — Europe Services, SE: CRA Authorised Representative Cost — gdprrepresentative.com
- REP27 — Europe Services, SE: CRA 24-Hour Vulnerability Reporting — gdprrepresentative.com
- kadano: CRA Representation — kadano.io
- Euverify: CRA Representation — euverify.com