사이버 복원력법 24시간 취약점 신고: 제공업체 및 가격 (2026)

• CRA 제14조는 ENISA에 24시간 내 악용된 취약점 신고를 요구합니다.
• 비EU 제조사는 신고를 위해 EU 내 공인 대리인을 지정해야 합니다.
• REP27 — Europe Services, SE는 제18조 의무를 위해 연간 €490를 청구합니다.
• 경쟁사 가격: kadano (€999/년), Euverify (£590/년), 기타는 문의 필요.
• REP27은 법률 자문, SBOM 생성, 적합성 평가를 포함하지 않습니다.
• 수입업자, 유통업자 또는 2026년 9월 11일 이전 출시된 구형 제품은 해당 의무가 없습니다.

업데이트됨 17 October 2026 · 8 출처 확인됨

비교된 제공자

가격은 17 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법적 요구사항: CRA 제14조 및 제18조

사이버 복원력법(CRA)은 EU 시장에 디지털 요소가 포함된 제품을 출시하는 제조사에 엄격한 규제를 도입합니다. 제1조는 범위를 정의하며, 연결된 장치, 펌웨어, 앱을 포함한 하드웨어 및 소프트웨어가 대상입니다. 제10조는 제품 수명주기 전반의 사이버보안 필수 요건을 설정하며, 제11조는 위험 평가, 취약점 처리, 적합성 평가 등 제조사의 의무를 상세히 규정합니다.

중심 조항인 제14조는 제조사가 실제로 악용된 취약점 또는 제품 보안에 심각한 사고를 인지한 후 24시간 이내에 ENISA에 단일 신고 플랫폼을 통해 보고할 것을 요구합니다. 이 의무는 단순 취약점 발견이 아닌 악용 증거나 중대한 보안 사건이 있을 때 발동됩니다. 24시간은 달력 시간 기준이며, 야간, 주말, 공휴일도 포함됩니다.

EU 외 제조사는 제18조에 따라 EU 내에 공인 대리인을 지정해야 하며, 이 대리인이 24시간 신고 절차를 담당하고 EU 당국의 공식 연락 창구 역할을 합니다. 수입업자 및 유통업자는 제12조에 따른 별도 의무가 있으나, 주요 신고 의무는 제조사 또는 그 대리인에게 있습니다.

2026년 9월 11일 이전 EU 시장에 출시된 제품은 24시간 신고 의무에서 면제되지만, 다른 CRA 조항은 준수해야 합니다. 미준수 시 최대 €1500만 또는 전 세계 연간 매출의 2.5% 중 높은 금액의 벌금이 부과될 수 있습니다. 법은 명확합니다: 이 날짜 이후 EU에서 디지털 제품을 판매하는 비EU 제조사는 모든 적격 사고 발생 시 24시간 내 대응할 공인 대리인을 반드시 지정해야 합니다.

CRA 공인 대리인 선택 방법

적합한 공인 대리인 선택은 준수 및 운영 효율성에 매우 중요합니다. 제공업체의 법인, EU 내 설립 여부, 실적을 확인하세요. 예를 들어, REP27 — Europe Services, SE는 체코 프라하에 2018년 설립되어 24개국 기업과 계약을 체결한 경험이 있습니다.

주요 선택 기준은 다음과 같습니다:

• 투명한 가격: 명확한 공개 가격과 갱신 조건을 확인하세요. REP27은 첫해 및 갱신 가격을 모두 공개합니다. kadano, Euverify도 가격을 공개하지만, 일부는 견적 문의가 필요합니다.
• 위임 범위: 위임이 제18조 의무에 한정되어야 합니다. 제13조 의무까지 포함하는 과도한 위임은 제18조(2)에 의해 금지됩니다. REP27은 제18조 신고에만 범위를 명확히 제한합니다.
• 가용성: 신고 데스크는 주말 및 공휴일 포함 24시간 운영되어야 합니다. REP27은 연중무휴 대응을 보장하며, 다른 업체는 확인이 필요합니다.
• 증명서 검증: REP27의 QR 코드 및 공개 검증과 같은 검증 가능한 증명서는 지정 사실을 입증하며 당국이나 고객이 확인할 수 있습니다.
• 제외사항: 법률 자문, SBOM 생성, 기술 테스트 등 포함되지 않는 항목을 명확히 하세요. REP27은 모든 제외사항을 명확히 표기하며, 경쟁사들은 그렇지 않은 경우가 많습니다.

기술 스캐닝, SBOM 생성 등 통합 서비스가 필요할 경우 숨겨진 비용, 갱신 가격 불명확성, 모호한 서비스 설명 여부를 반드시 확인하세요. 요청 처리 방식, 지원 언어, 운영 시간 등 절차를 서면으로 받으세요.

마지막으로, 위임 사실이 검증 가능하고 당국 요청 전달 절차가 신속하고 문서화되어 있는지 확인하세요. 이는 단순 준수 체크리스트가 아니라, 지연이나 오해가 법적·상업적 문제를 초래할 수 있기 때문입니다.

가격에 포함된 내용: 제공업체 비교

공개 가격에 무엇이 포함되는지 이해하는 것은 예기치 않은 비용을 피하는 데 필수적입니다. 아래는 각 제공업체가 제공하는 내용을 기반으로 한 상세 비교입니다:

REP27의 가격(연 €490, 갱신 €440)은 제18조 위임에 한정되며 제외사항이 명확합니다. kadano와 Euverify는 가격을 공개하지만 포함 및 제외사항은 공개하지 않습니다. ResilienceWP와 Seentrix는 SBOM, 스캐닝, 문서화 등 추가 기술 서비스를 제공하며, 가격과 범위는 문의해야 합니다.

계약 전 반드시 상세 서비스 설명과 갱신 가격 확인을 요청하세요. 기술 준수나 법률 자문이 포함된다고 가정하는 실수가 가장 비용이 많이 듭니다.

숨겨진 비용 및 제공업체가 보통 언급하지 않는 사항

표면 가격도 중요하지만, 숨겨진 비용과 제외사항은 준수 예산과 운영 위험에 큰 영향을 미칩니다. 제공업체가 보통 사전에 공개하지 않는 내용은 다음과 같습니다:

• 제외사항: REP27은 법률 자문, DPO 서비스, 기술 준수 평가, SBOM 생성, 테스트가 포함되지 않음을 명확히 합니다. 많은 경쟁사는 제외사항을 공개하지 않으니 반드시 문의하세요. 기술 준수 비용(SBOM, 적합성 평가, 엔지니어링)은 공인 대리인 위임에 포함되지 않으며 별도 예산이 필요합니다.
• 갱신 가격: 일부 업체는 첫해 저렴한 가격을 제시하지만 갱신 가격을 공개하지 않습니다. REP27은 처음과 갱신 가격을 모두 공개하므로 서면 확인을 받으세요.
• 요청별 수수료: 일부 대리인은 당국 또는 데이터 주체 요청, 긴급 신고에 대해 추가 비용을 청구할 수 있습니다. REP27은 별도 비용을 명시하지 않지만, 다른 업체는 다를 수 있으니 계약 전 확인하세요.
• 통지 기간 및 계약 해지: 위임 종료 또는 제공업체 변경 절차는 거의 공개되지 않습니다. 통지 기간과 수수료 여부를 문의하세요.
• 책임 한도: 대부분 대리인은 신고 지연 또는 오류에 대한 책임 한도를 설정하며, 공개 페이지에 명시되지 않는 경우가 많습니다.
• 통합 서비스: SBOM, 스캐닝 등 기술 서비스를 제공하는 업체는 상당한 추가 비용이나 장기 계약을 요구할 수 있습니다. 범위와 가격을 서면으로 확인하세요.

요약하면, 준수 비용은 대리인 비용뿐 아니라 내부 엔지니어링, 기술 준수, 24/7 사고 대응 유지 비용도 포함됩니다. 계약 전 모든 조건을 서면으로 명확히 받으세요.

위임 절차: 단계별 안내

CRA 공인 대리인 위임은 신중한 계획과 문서화가 필요한 절차입니다. 현재 모범 사례와 법적 요구사항을 반영한 단계별 가이드는 다음과 같습니다:

1. 적용성 평가: 제품이 2026년 9월 11일 이후 EU 시장에 출시된 디지털 요소(하드웨어/소프트웨어)인지 확인하세요. 해당 시 CRA 24시간 신고 의무가 적용됩니다.
2. 제공업체 선택: 공개 가격, 범위, 제외사항, 평판을 비교하세요. 모든 조건과 갱신 가격을 서면으로 요청하세요.
3. 계약 및 위임: 선택한 대리인과 서면 위임 계약을 체결하세요. REP27은 24시간 내에 서명된 제18조 위임장과 검증 가능한 증명서를 발행합니다. 법인은 EU 내 설립되어 상업 등록부에 등재되어야 합니다.
4. 문서 업데이트: 대리인 정보를 준수 매뉴얼에 기록하고, 신고 절차(사고 선언자, 증거 문서화 방법 등)를 명확히 준비하세요.
5. 내부 준비: ENISA 플랫폼 제출자 2명 이상을 지정하고, 가능하면 시차가 있는 지역에 배치하세요. 조기 경고 템플릿을 미리 작성하고, 72시간 통지 및 사용자 커뮤니케이션 책임자를 지정하세요.
6. 사고 대응: 적격 취약점 또는 사고 인지 시 즉시 대리인에게 통보하세요. 대리인은 24시간 내 ENISA/CSIRT에 조기 경고를 신고하고, 72시간 통지 및 최종 보고를 후속 조치합니다.
7. 기록 유지: 인지 시점, 신고 시간, 커뮤니케이션 로그를 상세히 보관하세요. 이는 당국 조사 시 중요합니다.
8. 지속적 검토: 절차, 연락처, 템플릿, 책임자를 정기적으로 검토 및 업데이트하세요.

이 절차는 CRA 엄격한 기한을 준수하고 벌금을 피하는 데 필수입니다. 핵심은 사전 준비: 신고 조건 정의, 역할 할당, 법 시행 전 시뮬레이션입니다.

위험, 벌금 및 준수 기한

사이버 복원력법은 미준수 시 심각한 법적·재정적 위험을 도입합니다. 제15조는 집행 절차와 벌금을 규정합니다. 가장 즉각적인 위험은 악용된 취약점 또는 심각 사고에 대해 24시간 신고 기한을 놓치는 것입니다. 기한은 인지 시점부터 시작하며, 조사 완료 시점이 아닙니다. 지연 시 최대 €1500만 또는 전 세계 연간 매출의 2.5% 중 높은 금액의 벌금이 부과됩니다.

기타 위험:

• 시장 진입 지연: 대리인 미지정 또는 검증 가능한 증명서 미제출 시 제품 출시 지연 또는 조달 중단 발생 가능, 특히 기업 판매 주기에서 영향 큼.
• 집행 조치: 당국이 조사 개시, 문서 요구, 시정 조치 명령 가능.
• 평판 손상: 공개 신고 실패 시 브랜드 및 고객 신뢰 하락.
• 복수 신고 체계: 단일 사고가 CRA, NIS2, GDPR, GPSR 등 다중 신고 의무를 유발할 수 있으며, 각각 다른 기한과 당국 대상임. 예: 랜섬웨어 공격 시 3건 신고 필요 가능.

준수 기한은 엄격하며, 2026년 9월 11일부터 신규 제품에 24시간 신고 의무가 적용됩니다. 이전 출시 제품은 24시간 신고 면제지만 다른 CRA 조항 준수 필요. 보안 업데이트 지원 기간(최소 5년)도 숨겨진 비용으로 제품 라인 단위로 계획하고 예산 편성해야 합니다.

요약하면, 미준수 위험은 크고, 준비 실패 비용은 적격 대리인 지정 비용보다 훨씬 높습니다.

판단 매트릭스: CRA 공인 대리인이 필요한가?

다음 매트릭스를 통해 CRA 공인 대리인 지정 필요 여부를 판단하세요:

대부분 상황을 포괄하며, 의문 시 법률 자문 또는 제공업체에 문의하세요. 신고 의무는 제조사 또는 지정 대리인에게 있으며, 수입업자나 유통업자는 자사 명의로 출시하지 않는 한 해당되지 않습니다.

체크리스트: CRA 24시간 신고 준수 단계

1. 제품 목록 작성: EU에서 판매하는 모든 디지털 요소 제품과 출시일을 정리하세요.
2. 내부 프로세스 평가: 취약점 탐지, 보고, 문서화 절차를 검토하세요.
3. 대리인 선정: 제공업체 비교, 모든 비용·갱신 가격·서비스 범위 서면 확인 요청.
4. 위임 계약 체결: 서명된 제18조 위임장과 검증 가능한 증명서 확보.
5. 문서 업데이트: 대리인 정보 준수 매뉴얼에 추가, 조기 경고 및 통지 템플릿 준비.
6. 신고 역할 지정: ENISA 플랫폼 제출자 2명 이상 지정, 시차 고려.
7. 업무 흐름 테스트: 악용 취약점 시뮬레이션으로 역할과 기한 숙지 확인.
8. 직원 교육: 24시간 신고 시작 조건과 보고 절차 교육.
9. 규제 업데이트 모니터링: 2026년 9월 전 CRA 요건 및 신고 플랫폼 변경사항 확인.
10. 정기 검토 및 갱신: 연간 또는 주요 사고 후 절차 및 문서 재검토.

이 체크리스트를 따르면 CRA 엄격한 신고 의무를 준수하고 벌금을 피할 수 있습니다.

현실적 시나리오: 어떤 경로가 적용되는가?

• 미국 SaaS 기업이 EU 기업에 판매: 비EU 제조사로서 EU 시장에 디지털 제품을 출시합니다. 제18조 신고를 위한 공인 대리인(REP27, kadano, Euverify 등)을 지정해야 합니다. 내부 보안팀이 취약점을 탐지하면 대리인이 24시간 내 ENISA/CSIRT 신고를 처리합니다. 수입업자나 유통업자는 관여하지 않아 신고 의무가 직접적입니다.
• 중국 아마존 판매자가 EU 소비자에 IoT 기기 배송: 제조자이며 EU 외 설립된 경우 공인 대리인 지정이 필요합니다. 아마존이 수입업자 역할을 한다면 신고 의무가 아마존으로 전환될 수 있습니다. 판매자는 플랫폼과 확인하고, 필요 시 대리인을 지정하며 제품 문서를 업데이트해야 합니다.
• 영국 온라인 상점이 EU에 자체 브랜드 라우터 판매: 비EU 제조사로서 24시간 신고를 위한 공인 대리인을 지정해야 합니다. 대리인 정보는 준수 문서에 포함하고, 내부 절차를 신속한 사고 대응에 맞게 준비해야 합니다. 상점이 자사 명의로 수입 또는 유통하는 경우 추가 의무가 적용될 수 있습니다.

이 시나리오들은 공급망을 명확히 파악하고 역할을 분명히 하는 중요성을 보여줍니다. 가장 간단한 준수 방법은 대리인을 지정하고 절차를 문서화하며, 팀을 교육하여 신속 대응 준비를 하는 것입니다.