사이버 복원력법 하 24시간 내 취약점 신고 방법

• CRA 제14조: 악용되는 취약점/심각 사건 24시간 내 신고.
• 신고는 ENISA 플랫폼을 통해 조정 CSIRT에 진행.
• 비EU 제조업체는 공인 대리인 지정 필수.
• REP27 — Europe Services, SE: 연간 €490(갱신 €440) 비용(가격 검증됨).
• 숨겨진 비용: 내부 엔지니어링, 지원 기간, 적합성 평가.
• 제공업체별 공개 가격, 포함 내역, 투명성 차이 존재.

업데이트됨 20 October 2026 · 12 출처 확인됨

비교된 제공자

가격은 20 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

사이버 복원력법 요구사항 (조문별)

사이버 복원력법(CRA)은 EU 시장에 출시되는 하드웨어든 소프트웨어든 모든 디지털 요소가 포함된 제품에 적용되는 포괄적 규정입니다(제1조, 출처). 핵심 목표는 제품의 설계, 개발, 유지보수 전 과정에 사이버보안을 필수 요소로 포함시키는 것입니다. 이 법은 2024년 12월 10일 발효되었으나(제71조(1)), 신고를 포함한 대부분 의무는 2026년 9월 11일부터 제14조에 따라 본격 적용되며, 2027년 12월 11일부터 완전 시행됩니다(제71조(2)).

제14조는 사고 대응의 핵심으로, 제조업체는 제품 보안에 영향을 미치는 적극적으로 악용되는 취약점 또는 심각한 사고를 인지한 시점부터 24시간 내 ENISA 플랫폼을 통해 조정 CSIRT에 신고해야 합니다. 신고 시점은 인지 순간부터 시작하며 조사나 확인 이후가 아닙니다. 72시간 내에 전체 통지, 14일 내 최종 보고서를 제출해야 합니다. 신고 기간은 주말과 공휴일을 포함하며 연장이나 중단은 없습니다.

제18조는 비EU 제조업체가 EU 내에 공인 대리인을 지정하도록 요구합니다. 이 대리인은 공식 신고 경로이자 당국 연락 창구 역할을 합니다. 대리인 지정이 없으면 수입업자나 유통업자가 기본적으로 책임을 지게 되어 상업적 및 준수 위험이 발생할 수 있습니다.

2027년 12월 11일 이전 출시된 제품은 그 이후 실질적 변경이 있을 경우에만 CRA 적용 대상입니다(제69조(2)). 미준수 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5%까지 벌금이 부과될 수 있습니다(출처).

• 제14조: 악용되는 취약점/심각 사건 24시간 신고
• 제18조: 비EU 제조업체 공인 대리인 지정
• 제69조(2): 기존 제품 규정

CRA 공인 대리인 선택 방법

비EU 제조업체에게 적합한 CRA 공인 대리인 선택은 매우 중요합니다. 대리인은 EU 내 취약점 신고 및 규제 당국 연락의 공식 채널입니다. 고려할 주요 요소는 다음과 같습니다:

• 가격 투명성: 검증된 가격을 공개하는 업체는 소수입니다. REP27 — Europe Services, SE는 명확한 연간 €490(갱신 €440) 비용을 제공하며, kadano는 €999, Euverify는 £590를 공개합니다. 기타 업체는 별도 문의가 필요합니다.
• 서비스 범위: 비용에 포함된 내용을 확인하세요. 제18조 대리인 임명이 기본이며, 일부 업체는 모니터링, 증거 보관, 자체 평가 문서 등 추가 서비스를 제공합니다(CRAguard, ProvenVEX, SECURiMENT 참조).
• 제외 사항: 적합성 평가, 보안 테스트, SBOM 생성은 대리인 비용에 포함되지 않으며 별도 비용이 발생합니다.
• 인증서 및 검증: QR 코드 및 공개 검증 페이지가 포함된 인증서를 제공하는 업체를 선택하세요(REP27 제공).
• 갱신 조건: 첫 청구 전에 갱신 비용이 명확히 서면으로 안내되어야 합니다. 불명확한 갱신 조건은 문제를 일으킬 수 있습니다.
• 응답 프로세스: 당국 요청 처리 방식, 지원 언어, 운영 시간 등을 문의하세요. 24/7 인력 배치가 24시간 신고 마감 준수에 필수입니다.

아래 표는 공개된 정보 기준 업체별 포함 및 제외 내역 비교입니다:

계약 체결 전 포함 내역, 제외 사항, 갱신 조건을 반드시 서면으로 확인하세요.

가격에 실제 포함된 내용

공개 가격에 포함된 내용과 제외된 내용을 명확히 이해하는 것은 예산 편성과 준수 계획에 필수적입니다. 제18조 대리인 임명 비용은 일반적으로 법적 임명과 EU 내 신고 데스크 운영만을 포함합니다. 구체적으로:

• 임명 및 신고 데스크: 대리인은 취약점 신고의 공식 연락 창구 역할을 합니다. REP27은 24/7 인력 배치, CSIRT/ENISA 채널 관리, QR 코드가 포함된 검증 가능한 인증서를 제공합니다. Kadano와 Euverify도 유사한 임명을 제공하지만 추가 기능은 공개하지 않습니다.
• 패키지 서비스: CRAguard, ProvenVEX, SECURiMENT 등 일부 업체는 종속성 모니터링, 증거 보관, 사고 대응 워크플로우 등 추가 서비스를 제공합니다. 다만 공개 가격에 포함되지 않으며 상당한 추가 비용이 발생할 수 있습니다.
• 미포함 항목: 적합성 평가, 보안 테스트, SBOM 생성은 모두 별도 비용이며, 통상 공인 기관이나 내부 엔지니어링 팀에서 처리합니다.
• 갱신 가격: REP27만 갱신 비용(€440/년)을 공개하며, 이는 첫 해 비용보다 낮습니다. Kadano와 Euverify는 갱신 조건을 공개하지 않습니다.

비교 시 가격에 포함된 내역과 추가 비용 발생 가능 항목을 반드시 문의하세요. 일부 업체는 GDPR 제27조 또는 NIS2 대리인 서비스를 결합해 할인된 가격으로 제공하기도 합니다(REP27: CRA+GDPR €690/년, CRA+GDPR+NIS2 €990/년).

요약 표:

숨겨진 비용과 제외 사항

대리인 임명 비용은 CRA 준수 비용 중 가장 적은 부분일 수 있으나, 숨겨진 비용과 제외 사항은 상당할 수 있습니다:

• 내부 엔지니어링 시간: 자체 평가, 문서화, SBOM 준비는 필수이나 대리인 비용에 포함되지 않으며 전담 기술 인력이 필요합니다.
• 지원 기간: CRA는 대부분 제품에 대해 최소 5년간 보안 업데이트를 요구합니다. 단발성 프로젝트가 아닌 제품 라인 유지보수 예산을 책정해야 합니다.
• 적합성 평가: 중요 등급 II 또는 핵심 제품은 공인 기관 평가가 필요하며, 수천 유로 및 수개월 소요될 수 있습니다. 대리인이 비용을 부담하지 않습니다.
• 사고 탐지: 대리인은 취약점 탐지를 하지 않으며, 보안팀이 탐지 및 초기 분류를 담당합니다.
• 사건별 또는 요청별 추가 비용: REP27은 추가 비용 없다고 명시하나, 다른 업체는 추가 서비스나 사건 관리에 비용을 청구할 수 있습니다. 반드시 서면 확인하세요.
• 책임 한계: 대리인은 임명 범위 내에서만 책임을 지며, 내부 실패로 인한 신고 누락은 책임지지 않습니다.
• 통지 기간 및 갱신 조건: 불명확한 갱신은 예상치 못한 비용이나 보장 공백을 초래할 수 있습니다. REP27은 갱신 조건을 공개하지만, 타 업체는 그렇지 않을 수 있습니다.

제공업체가 보통 언급하지 않는 점:

• 임명은 취약점 탐지, 패치, 사용자 통지 등을 포함하지 않으며, 이는 제조업체 책임입니다.
• 당국의 문서 요청은 준비가 미흡하면 지연될 수 있습니다.
• 임명이 제18조(3)로 명확히 제한되지 않으면 대리인 변경이 복잡할 수 있습니다.

계약 전 제외 사항 목록을 요청하고 모든 조건을 서면으로 확인하세요.

임명 절차: 단계별 안내

CRA 공인 대리인 임명은 체계적인 절차를 따릅니다. 실제 단계와 팁은 다음과 같습니다:

1. 상태 확인: EU 시장에 디지털 요소가 포함된 제품을 제조하는지 확인하세요. 그렇다면 다음 단계로 진행합니다. 수입업자나 유통업체라면 제품을 자신의 이름으로 출시하는지 확인하세요.
2. 법인 설립 여부 확인: EU 내 법인이 없다면 반드시 공인 대리인을 지정해야 합니다. EU 자회사가 제조업체로 활동한다면 직접 신고 가능합니다.
3. 제공업체 선택: 공개 가격, 서비스 범위, 투명성 기준으로 비교하세요. REP27, kadano, Euverify는 가격 공개, 기타는 문의 필요.
4. 서면 임명 계약 체결: 제공업체(REP27 등)로부터 서명된 지정서(대개 eIDAS 전자 서명 및 검증 가능한 인증서 포함)를 받으세요. 임명 범위가 제18조(3) 업무로 제한된 것인지 확인하세요.
5. 준수 문서 업데이트: 대리인 정보를 기술 문서, 런북, CRA 요구 문서에 추가하세요.
6. 신고 프로세스 구축: ENISA 신고 플랫폼 접근 권한이 있는 제출자 2명 이상 지정하세요. 사전 경고 및 통지 템플릿을 준비하세요.
7. 트리거 및 내부 프로세스 정의: 악용 취약점 또는 심각 사고 인지 기준, 신고 권한자, 필요한 증거(예: 악용 관찰, 신뢰할 수 있는 고객 보고)를 문서화하세요.
8. 기록 관리: 인지 시점, 신고 제출, 업데이트 타임스탬프를 보관하세요. 마감 준수 증빙 자료가 됩니다.
9. 지속적 준비: 팀 교육, 신고 프로세스 테스트, 런북 정기 검토를 실시하세요.

이 절차는 24시간 신고 마감 준수와 준수 공백 방지에 필수적입니다.

위험 및 벌금

CRA 미준수 시 재정적, 운영적 위험이 큽니다:

• 벌금: 미준수 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5%까지 행정 벌금이 부과될 수 있습니다. 신고 마감 누락, 대리인 미지정, 부적절한 사고 대응 등이 대상입니다(출처).
• 운영 위험: 신고 지연은 규제 조사, 제품 리콜, 시장 접근 금지로 이어질 수 있습니다. 유효한 EU 대리인 없이는 조달 및 유통이 차단될 수 있습니다.
• 평판 손상: 사용자나 당국에 신속히 통지하지 않으면 부정적 홍보와 고객 신뢰 상실이 발생합니다.
• 내부 혼란: 명확한 신고 프로세스 없이는 사고 시 귀중한 시간이 낭비되어 위험과 비용이 증가합니다.

발생 가능한 문제 사례:

• 사고 초기 올바른 CSIRT나 신고 경로를 찾느라 시간 낭비.
• 다른 시간대 사무실에 문서 요청이 도착해 대응 지연.
• 유통업체가 기본 신고 경로로 간주되어 사고 대응 통제 상실.
• 불명확한 갱신 조건으로 임명 보장 공백 발생.

투명하고 신속한 대리인 지정과 견고한 내부 프로세스 유지로 위험을 완화하세요.

판단 매트릭스: CRA 대리인 지정 필요 여부

아래 매트릭스를 참고해 사업 모델과 위치에 따른 CRA 공인 대리인 지정 필요성을 판단하세요:

대리인 지정 전 본인 상태와 의무를 반드시 확인하세요.

체크리스트: CRA 24시간 신고 준수 단계

1. 제품이 CRA 적용 대상인지 확인(디지털 요소 포함, EU 시장 출시 여부).
2. 본인이 제조업체인지 확인(수입업자/유통업체 아님).
3. EU 외부라면 CRA 공인 대리인 지정 및 서면 임명 계약 체결.
4. 대리인 정보를 기술 문서 및 준수 기록에 명시.
5. 취약점 신고용 24/7 접수 채널 구축(내부 또는 대리인 통해).
6. ENISA 신고 플랫폼 접근 권한이 있는 제출자 2명 이상 지정.
7. 신속 신고용 사전 경고 및 통지 템플릿 작성.
8. 신고 트리거 및 24시간 대응 방법에 대해 직원 교육.
9. 취약점 또는 사고 인지 시 필요한 증거 정의 및 문서화.
10. 준수 증빙용 타임스탬프 기록 유지.
11. 런북 및 신고 프로세스 정기 검토 및 업데이트.

이 체크리스트는 가장 흔한 준수 실패를 예방하는 데 도움을 줍니다.

현실적 시나리오: 어떤 의무가 적용되나?

• 미국 SaaS 기업이 EU에 판매하는 경우: 비EU 제조업체로서 REP27 등 CRA 공인 대리인을 지정해야 합니다. 24/7 접수 채널을 구축하고 ENISA 플랫폼 신고 제출자 2명 이상을 확보하세요. 사전 경고 템플릿을 준비하고 취약점 악용 인지 프로세스를 문서화하세요.
• 중국 아마존 판매자(자체 브랜드): 자체 브랜드 디지털 제품을 EU에 판매한다면 CRA 대리인 지정이 필요합니다. 단순 제3자 브랜드 재판매만 한다면 불필요합니다. 대리인 지정, 준수 파일 업데이트, 24시간 신고 준비를 하세요.
• 영국 온라인샵 자체 IoT 기기 판매: EU 소비자 대상 직접 판매 시 제조업체로서 CRA 대리인 지정이 필요합니다. 영국 내 판매만 한다면 CRA 적용되지 않습니다. EU 유통업체가 제품을 자신의 이름으로 출시하면 그들이 책임을 집니다.

모든 경우에 가장 간단한 준수 방법은 투명하고 고정 가격의 대리인을 지정하고 신고 프로세스를 문서화하며 법 적용 전 팀 교육을 완료하는 것입니다.