CRA 공인 대리인 고용 대안: 제공업체 및 2026년 가격

• CRA 제18조는 EU 외 제조업체가 EU 내 공인 대리인 지정 요구
• EU 기반 제조업체는 공인 대리인 필요 없음
• 수입업자 또는 유통업자가 지정될 경우 대리인 역할 가능
• 검증된 2026년 가격은 연간 €490에서 €999 사이
• 위임 범위는 대리 역할에 한정되며 적합성 평가나 테스트는 포함되지 않음
• 비EU B2B 및 B2C 디지털 제품 판매자는 일반적으로 이 서비스 필요

업데이트됨 19 October 2026 · 7 출처 확인됨

비교된 제공자

가격은 19 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

사이버 복원력법 요구사항 (조항 번호 포함)

사이버 복원력법(CRA, 규정 (EU) 2024/2847)은 EU 시장에 출시되는 모든 디지털 요소가 포함된 제품에 대해 필수 사이버 보안 요구사항을 설정하는 포괄적인 규정입니다. 이 법은 신제품과 기존 제품 모두에 적용되며, 설계·개발부터 유지보수 및 제품 수명 종료까지 전 제품 수명 주기를 포괄합니다. CRA는 2024년 12월 10일 발효되었으며 2027년 12월 11일부터 완전 적용됩니다.

제18조는 비EU 제조업체에 핵심적입니다: EU 외부에 설립된 제조업체는 EU 내에 공인 대리인을 지정해야 합니다. 이 대리인은 시장 감시 당국의 공식 연락 창구 역할을 하며, 통신 및 문서 전달을 책임집니다. EU 기반 제조업체는 대리인 지정이 필요하지 않습니다. 비EU 제조업체는 대리인을 지정하거나 수입업자 또는 유통업자가 이 역할을 공식적으로 맡도록 해야 하며, 지정은 서면으로 명확히 문서화되어야 합니다.

제14조는 제품 보안에 영향을 미치는 적극적으로 악용되는 취약점 또는 심각한 사건에 대해 엄격한 24시간 보고 의무를 도입합니다. 제조업체는 해당 사건 인지 후 24시간 이내에 ENISA(유럽연합 사이버보안청)에 통지해야 하며, 72시간 이내에 완전한 통지, 14일 이내에 최종 보고서를 제출해야 합니다. 기한은 근무시간이 아닌 달력 시간 기준이며, 보고 플랫폼은 ENISA가 관리합니다. 이 의무는 수입업자나 유통업자가 아닌 제조업체에 부과됩니다(단, 제품을 자신의 이름으로 시장에 출시한 경우 제외).

제53조는 미준수 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5% 중 높은 금액까지 벌금을 규정합니다. CRA는 CE 마킹과 시장 감시를 통해 집행되며, 제조업체 소재지와 관계없이 EU 내 디지털 요소가 포함된 모든 제품에 적용됩니다.

• 제18조: 비EU 제조업체를 위한 공인 대리인
• 제14조: 24시간 취약점 보고
• 제53조: 벌금 및 집행

법률 전문은 공식 EU 요약에서 확인하세요.

CRA 공인 대리인 선택 방법

비EU 제조업체에게 적합한 CRA 공인 대리인 선택은 매우 중요합니다. 대리인은 규제 및 시장 감시 관련 EU 내 공식 연락 창구 역할을 합니다. 고려해야 할 주요 요소는 다음과 같습니다:

• 법인 및 위치: 제공업체가 EU 내 등록된 법인인지 확인하세요. 예를 들어, REP27 — Europe Services, SE는 체코 프라하에 설립되어 체코 상업 등기부에서 확인 가능합니다.
• 가격 투명성: 첫 해 및 갱신 가격을 명확히 공개하는 업체를 선택하세요. REP27은 첫 해 €490, 갱신 €440를 명시하며, 묶음 위임 시 할인도 제공합니다. 많은 업체가 갱신 가격을 공개하지 않아 예상치 못한 비용이 발생할 수 있습니다.
• 서비스 범위: 위임에 포함된 내용을 확인하세요. 제18조 위임은 서면 지정, 검증 가능한 증명서, 당국 통신 전달 요청 데스크를 포함해야 합니다. 일부 업체는 추가 서비스를 주장하지만, 법적으로 대리인은 적합성 평가나 제품 테스트를 수행할 수 없습니다.
• 검증 및 문서화: 인증서에 QR 코드 또는 공개 검증 페이지가 포함되어 당국과 구매자가 쉽게 준수를 확인할 수 있어야 합니다.
• 제외 사항 및 한계: 적합성 평가, SBOM 생성, 사고 대응 등 포함되지 않는 항목을 명확히 밝히는 신뢰할 수 있는 업체를 선택하세요. 이는 오해와 숨겨진 비용을 방지합니다.

아래는 알려진 범위 및 제외 사항 비교 요약입니다:

계약 전 범위, 제외 사항, 갱신 조건에 대해 반드시 서면 확인을 받으세요.

가격에 실제 포함된 내용

CRA 공인 대리인 비용은 전체 준수 예산 중 가장 작은 항목일 수 있으나, 실제 구매하는 내용을 이해하는 것이 중요합니다. 공개된 CRA 대리인 가격은 제18조 위임에만 해당하며, 일반적으로 다음을 포함합니다:

• EU 내 대리인 서면 지정
• QR 코드 또는 공개 검증 페이지가 포함된 지정 증명서
• 시장 감시 및 CSIRT 등 EU 당국으로부터의 통신 수신 및 전달 요청 데스크

가격에 포함되지 않은 항목:

• 적합성 평가(중요한 클래스 II 및 중요 제품에 필요하며, 공인 기관이 수행, 대리인은 수행 불가)
• 보안 테스트 또는 SBOM(소프트웨어 구성 내역) 생성
• 사고 대응 또는 엔지니어링 작업
• ENISA 보고(대리인은 전달만 하며 보고서 작성 및 제출 책임은 제조업체에 있음)

GDPR 제27조, NIS2, GPSR 위임과 묶음 서비스가 할인된 가격으로 제공될 수 있습니다. 예를 들어 REP27은 CRA와 GDPR을 묶어 연 €690, CRA+GDPR+NIS2 모두 묶어 연 €990에 제공합니다. 갱신 가격이 고정인지 변동 가능한지, 다른 대리인에서 전환 시 추가 요금 부과 여부를 반드시 확인하세요.

아래는 공개 가격 및 포함 내역 요약입니다:

위임 서명 법인을 반드시 확인한 후 결제하세요.

숨겨진 비용 및 제외 사항

CRA 공인 대리인 비용은 명확한 편이지만, 실제 CRA 준수 비용은 내부 엔지니어링, 문서화, 지속 제품 지원 등에서 주로 발생합니다:

• 적합성 평가: 중요 클래스 II 및 중요 제품은 공인 기관이 적합성 평가를 수행해야 하며, 수천 유로 비용과 수개월 소요가 발생할 수 있습니다. 대리인은 이 서비스를 제공하지 않습니다.
• 보안 테스트 및 SBOM: 소프트웨어 구성 내역 생성 및 보안 테스트는 엔지니어링 팀이나 외부 보안 업체가 수행해야 하며, 대리인 위임 범위에 포함되지 않습니다.
• 지원 기간: CRA는 제조업체가 최소 5년간 보안 업데이트를 제공하도록 요구합니다. 단발 프로젝트가 아닌 제품 라인 단위로 유지보수 및 패치 예산을 계획해야 합니다.
• 사고 대응: 대리인은 취약점 보고를 전달하지만, 사고 조사, 보고 및 수정 책임은 제조업체에 있습니다.
• 묵인 갱신 및 가격 인상: 일부 업체는 갱신 가격을 공개하지 않거나 사전 통보 없이 인상할 수 있으므로, 계약 전 갱신 가격을 서면으로 확인하세요.

아래는 알려진 포함 및 제외 사항 요약입니다:

예상치 못한 비용을 피하려면 제외 항목, 해지 통지 기간, 요청별 수수료 등을 반드시 확인하세요.

위임 절차: 단계별 안내

CRA 공인 대리인 지정은 간단하지만 준수를 위해 신중히 처리해야 합니다. 단계별 안내는 다음과 같습니다:

1. 적용 여부 확인: 회사가 EU 외부에 설립되었고 EU 시장에 디지털 요소가 포함된 제품을 출시하는지 확인하세요. EU 기반 제조업체는 대리인 지정이 필요 없습니다.
2. 경로 결정: CRA 공인 대리인을 지정할지, 수입업자 또는 유통업자가 대리인 역할을 맡을지 결정하고, 이를 서면으로 합의하세요.
3. 제공업체 선택: 공개 가격, 서비스 범위, 투명성을 기준으로 비교하고, 포함 및 제외 사항을 서면으로 요청하세요.
4. 위임 서명: 제공업체가 전자 서명된 지정서를 발행합니다. 문서에 범위와 법인명이 명확히 기재되어야 합니다.
5. 증명서 수령: QR 코드 또는 공개 검증 페이지가 포함된 지정 증명서를 받아 기술 문서 및 준수 파일에 포함하세요.
6. 문서 업데이트: 대리인 정보를 기술 문서, 실행 매뉴얼, 조달 자료에 추가하세요.
7. 보고 준비: 제14조 24시간 보고 기한을 준수할 수 있도록 취약점 보고 프로세스를 구축하고, 대리인 및 ENISA 플랫폼 연락처를 숙지하세요.

오늘의 체크리스트:

1. CRA 적용 제품 포트폴리오 파악
2. EU 판매 채널(직접, 마켓플레이스, 유통업자) 확인
3. 대리인 역할 담당자 결정(필요 시)
4. 제공업체 가격, 범위, 갱신 조건 서면 확인 요청
5. 취약점 보고 프로세스 준비 및 담당자 지정

적시 지정과 명확한 문서화는 시장 진입 지연 및 규제 조치 방지에 필수적입니다.

미준수 시 위험 및 벌금

CRA 대리인 지정 의무를 준수하지 않을 경우 심각한 결과가 발생할 수 있습니다. 제53조에 따라 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5% 중 높은 금액까지 벌금이 부과될 수 있습니다. 대리인 미지정, 보고 및 문서화 의무 불이행 시 적용됩니다.

미준수 위험은 다음과 같습니다:

• 규제 벌금: 대리인 미지정, 취약점 보고 기한 미준수, 문서 미비 시 막대한 재정적 제재가 부과될 수 있습니다.
• 시장 진입 지연: 대리인 없이는 구매자 및 당국이 준수 증명을 요구하여 조달, 인증, 판매 주기가 지연될 수 있습니다.
• 사고 대응 실패: 시장 감시 또는 CSIRT 요청에 기한 내 대응하지 못하면 추가 벌금 및 평판 손상이 발생할 수 있습니다.
• 조달 장벽: 대형 구매자 및 유통업체가 유효한 대리인 위임 증명을 요구하며, 없으면 거래를 거부할 수 있습니다.
• 책임은 제조업체에 있음: 대리인은 연락 창구 역할만 하며, 제품 준수, 보안, 사고 대응에 대한 모든 법적 책임은 제조업체가 집니다.

이 위험을 줄이려면 지정 문서화, 보고 프로세스 강화, 준수 파일 최신화를 철저히 하세요. 대리인의 역할은 사고 시 지연과 오해를 방지하는 것이며, 제품 책임을 대신하지 않습니다.

CRA 공인 대리인 필요 여부 결정 매트릭스

다음 매트릭스를 사용해 CRA 공인 대리인 지정 필요 여부를 판단하세요:

마켓플레이스의 수입업자 역할 여부를 반드시 서면으로 확인하세요. 그렇지 않으면 대리인 지정 책임이 귀하에게 있습니다.

제공업체가 보통 말하지 않는 점

CRA 대리인 제공업체가 마케팅 자료에서 잘 언급하지 않는 몇 가지 사항은 다음과 같습니다:

• 범위 제한: 제18조 위임은 대리 역할에 한정되며, 적합성 평가, SBOM, 사고 대응은 포함되지 않습니다. 이를 포함한다고 주장하는 것은 오해의 소지가 있습니다.
• 갱신 가격: 많은 업체가 갱신 가격을 공개하지 않아 묵인 인상 위험이 있습니다. 갱신 조건을 반드시 서면으로 받으세요.
• 책임: 대리인은 제품 준수나 보안 사고에 대한 법적 책임을 지지 않습니다. 모든 책임은 제조업체에 있습니다.
• 해지 및 전환 조건: 계약 종료 또는 제공업체 변경 조건이 공개되지 않는 경우가 많으니, 계약 전 반드시 확인하세요.
• 요청별 또는 행정 수수료: 특정 요청이나 긴급 통신 처리에 추가 비용이 발생할 수 있으니 사전에 명확히 하세요.
• 언어 및 대응 가능 시간: 다국어 처리 및 근무 시간 외 대응 능력은 업체마다 다릅니다. 예를 들어 REP27은 24시간 직원 데스크를 운영하지만, 다른 업체는 아닐 수 있습니다.

투명성이 중요하므로 제외 항목, 한계, 조건 목록을 반드시 요청하세요.

현실적 시나리오: 어떤 경로를 선택할까

• 미국 SaaS 기업이 EU 기업에 판매하는 경우: 비EU 제조업체로서 EU 시장에 디지털 제품을 출시하므로 CRA 공인 대리인 지정이 필요합니다. 또한 GDPR 제27조 대리인도 필요합니다. REP27과 같은 제공업체를 이용해 두 위임을 묶음으로 처리하면 단일 연락 창구와 명확한 갱신 가격을 확보할 수 있어 가장 간단하고 비용 효율적입니다.
• 중국 Amazon 판매자: Amazon이 공식 수입업자 역할을 한다면 별도의 CRA 대리인 지정이 필요 없을 수 있습니다. 그러나 직접 판매하거나 수입업자 역할을 하지 않는 마켓플레이스를 통해 판매하는 경우 CRA 대리인 지정이 필요합니다. 마켓플레이스 역할을 반드시 서면으로 확인해 준수 공백을 방지하세요.
• 영국 온라인 매장이 EU 소비자에게 IoT 기기 판매: 브렉시트 이후 영국 제조업체는 비EU로 간주됩니다. EU 소비자에게 직접 판매하거나 대리인 역할을 하지 않는 유통업자를 통해 판매하는 경우 CRA 공인 대리인 지정이 필요합니다. 유통업자나 수입업자가 자신의 이름으로 제품을 EU 시장에 출시하면 그들이 대리인 역할을 할 수 있습니다.

각 시나리오에서 핵심은 위임 계약을 문서화하고, 기술 파일을 업데이트하며, 24시간 취약점 통지 요건에 맞게 보고 프로세스를 준비하는 것입니다.