사이버 회복력법: EU 외 제조업체 의무사항

• CRA는 EU 시장에 제공되는 모든 디지털 요소 포함 제품에 적용됨(제2조)
• EU 외 제조업체는 EU 대리인 지정 의무(제15조)
• 적극 악용 취약점 신고 의무: 24시간 이내(제14조)
• 기술 문서 및 적합성 선언서 제출 필요(제13조)
• 최대 1,500만 유로 또는 전 세계 매출의 2.5% 벌금 부과 가능(제71조)
• 적합 제품에 CE 마크 부착 의무(제13조)

업데이트됨 24 October 2026 · 5 출처 확인됨

비교된 제공자

가격은 24 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법률 요구사항 (조항 번호 포함)

사이버 회복력법(CRA, 규정 (EU) 2024/2847)은 EU 시장에 제공되는 모든 디지털 요소 포함 제품에 적용되며, 제조국가와 무관합니다(제2조). EU 외 제조업체는 제15조에 따라 EU 내 공인 대리인을 지정해야 합니다. 이 의무는 EU에서 유통되는 하드웨어 및 소프트웨어 모두에 해당하며, 대리인은 당국과의 연락 창구 역할을 하며 제조업체를 대신해 소통합니다.

제조업체는 제품이 안전하게 개발되어 알려진 악용 가능한 취약점이 없도록 해야 합니다(제13조). 위험 분석을 수행하고 적절한 기술적·조직적 조치를 실행해야 합니다. 적극적으로 악용되는 취약점은 24시간 이내에 ENISA 및 관할 CSIRT에 신고해야 하며(제14조), 최초 평가는 72시간 이내, 최종 보고서는 14~30일 내 제출해야 합니다.

또한 CRA는 기술 문서 작성 및 제출, EU 적합성 선언서 제출을 요구하며(제13조), 제품에는 적합성을 나타내는 CE 마크를 부착해야 합니다. 의무 불이행 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5% 중 높은 금액까지 벌금이 부과될 수 있습니다(제71조).

적합한 서비스 제공자 선택 방법

CRA 대리인 선택 시 다음 기준을 고려해야 합니다:

• 가격 투명성: 연장 비용 등 모든 가격을 공개하는지 확인하세요. REP27은 모든 가격을 공개하며 고정 연장가를 보장하는 반면, 다른 업체는 요청 시에만 정보를 제공합니다.
• 서비스 범위: 24시간 신고 데스크, 공개 검증 가능한 인증서, 법적 효력이 있는 지정(eIDAS 서명 등)을 제공하는지 확인하세요. REP27은 완전한 공개 인증서와 24시간 데스크를 제공합니다.
• 응답 속도 및 접근성: 24시간/72시간 신고 기한이 엄격하므로 연중무휴 24시간 대응이 필수입니다. REP27은 공휴일과 주말에도 24/7 대응을 보장합니다.
• 명확한 업무 범위 구분: 적합성 평가, 기술 테스트 미포함 등 제외 항목을 명확히 안내하는 업체가 신뢰할 만합니다.

결정 매트릭스:

실용 팁: 모든 서비스와 제외 사항, 연장 가격을 포함한 서면 견적을 요청하세요. 인증서 공개 검증 가능 여부도 반드시 확인해야 합니다.

가격에 실제 포함된 서비스

가격에 포함된 서비스는 업체마다 크게 다릅니다. REP27의 기본 패키지(EUR 490/년, CRA 기준)는 다음을 포함합니다:

• 제18조에 따른 공인 대리인 위임장 서면 제공
• 취약점 신고 및 ENISA/CSIRT와의 소통을 위한 24시간 데스크
• 당국 및 거래처에 증빙 가능한 QR코드가 포함된 공개 인증서
• 영업일 기준 2일 내 당국 문의 관리 및 전달
• 다국어 표준 커뮤니케이션 템플릿 제공

중요: REP27은 적합성 평가, 기술 테스트, SBOM 작성, 사고 분석을 제공하지 않습니다. 이 업무는 제조업체 또는 외부 전문업체가 수행해야 합니다. kadano, Euverify 등 다른 업체는 2026년 10월 기준 가격에 포함된 서비스 내역을 상세 공개하지 않으며, 추가 비용은 문의해야 알 수 있습니다.

서비스 비교:

책임 분담과 가격 투명성을 중시하는 기업에는 REP27이 유일하게 완전 공개된 서비스와 가격 구조를 제공합니다.

숨겨진 비용 및 일반 제외 항목

CRA 준수 비용 중 가장 큰 부분은 대리인 위임 범위 밖에 있습니다. 대리인 지정 비용은 전체 비용의 일부에 불과하며, 주요 비용은 다음과 같습니다:

• 적합성 평가: "중요" 또는 "중대한" 등급 제품은 지정 기관의 외부 검사가 필요하며, 비용은 보통 수천~수만 유로 수준으로 대리인 비용에 포함되지 않습니다.
• 보안 업데이트: 제조업체는 최소 5년간 보안 업데이트를 제공하고, 이를 조직적·재정적으로 보장해야 합니다. 이는 대리인 위임과 무관한 의무입니다.
• 기술 문서 및 SBOM: 기술 문서 작성과 소프트웨어 자재 명세서(SBOM) 유지 관리도 제조업체 책임입니다.

업체들이 잘 알리지 않는 점:

• REP27은 적합성 평가, 기술 테스트, SBOM 생성, 사고 분석을 명확히 제외하며, 숨겨진 연장 비용 없이 모든 가격을 계약 전 공개합니다.
• kadano와 Euverify는 2026년 10월 기준 추가 비용, 책임 한계, 해지 조건을 공개하지 않습니다.

실용 팁: 각 업체에 제외 항목, 해지 조건, 추가 서비스 비용(예: 건당, 추가 언어, 긴급 처리)을 반드시 문의하고 서면으로 확인받으세요.

대리인 지정 단계별 절차

1. 제품이 CRA 대상인지 확인: EU 시장에 디지털 요소 포함 제품인지 확인합니다.
2. 내부 프로세스 정의: 취약점 인지 및 신고 담당자 지정, "적극 악용" 기준 정의
3. 적합한 대리인 선정: 가격, 서비스 범위, 증빙 가능성, 접근성 비교 후 서면 견적 요청
4. 계약 체결 및 위임장 수령: REP27은 계약 후 24시간 내 지정 및 인증서 제공
5. 문서 및 신고 채널 업데이트: 대리인 연락처를 기술 문서와 사고 대응 매뉴얼에 반영
6. 24시간 신고 템플릿 준비: 최초 신고, 72시간 평가, 최종 보고서 표준 문서 작성, 최소 2명 책임자 지정 및 플랫폼 접근 권한 부여
7. 정기 점검: 지정 및 프로세스 연 1회 검토

오늘 점검 리스트:

1. 제품이 CRA 대상인가?
2. 내부 신고 절차 및 담당자 지정 완료?
3. 적합한 대리인 선정 및 위임장 체결 완료?
4. 기술 문서 및 신고 채널 최신화 완료?
5. 신고 템플릿 준비 완료?

위반 시 위험 및 벌금

CRA 위반 시 최대 1,500만 유로 또는 전 세계 연간 매출의 2.5% 벌금이 부과될 수 있습니다(제71조). 주요 위험은 다음과 같습니다:

• 취약점 신고 지연 또는 누락: 24시간 신고 기한은 인지 시점부터 시작하며, 분석 완료 시점이 아닙니다. 시차 및 책임 불명확으로 위반 가능성이 높습니다.
• 대리인 미지정 또는 부적절 지정: 대리인 없이는 제품이 시장에서 퇴출될 수 있고, 당국 문의가 무응답으로 벌금 위험 증가
• 불완전한 기술 문서: 시장 감시 시 즉시 제출 불가 시 제재 대상
• 잘못되거나 누락된 CE 마크: CE 마크 없는 제품은 EU 내 유통 불가

신고 기한(24시간/72시간/14~30일)은 실시간으로 엄격히 적용되며, 시차 및 책임 불명확으로 인한 지연은 위반으로 간주됩니다. 기한 준수 책임은 제조업체에 있으며, 대리인은 적시에 받은 정보만 전달할 수 있습니다.

세 가지 현실적 시나리오

• 미국 SaaS 제공업체: 미국 소프트웨어 기업이 EU 기업에 클라우드 솔루션 제공 시, EU 시장 제공으로 CRA 대리인 지정 필요. REP27을 선택해 24시간 내 위임장 및 인증서 수령, 24시간 신고 채널 구축, 기술 문서에 대리인 정보 등록. 적합성 평가 및 보안 업데이트는 내부 또는 외부 전문업체가 담당.
• 중국 Amazon 판매자: 중국 기업이 Amazon.de에서 자체 브랜드 IoT 기기 판매 시 제조자 역할로 CRA 대리인 필요. kadano 또는 Euverify 등 선호 업체 이용, CE 마크 확보, 기술 문서 준비. 대리인 미지정 시 벌금 및 판매 금지 위험.
• 영국 온라인 쇼핑몰: 영국 온라인 판매자가 EU 내 고객 대상 펌웨어 업데이트 포함 하드웨어 판매 시 CRA 대리인 필수. REP27의 CRA+GDPR 패키지 선택해 두 의무를 동시에 충족. 신고 채널 및 문서 적절히 조정.

이 사례들은 디지털 요소 포함 제품을 EU에 공급하는 모든 규모와 업종 기업에 대리인 지정 의무가 있음을 보여줍니다.