사이버 레질리언스법(CRA) 취약점 보고 서비스 공급자 비교

• CRA 취약점 보고는 2026년 9월 11일부터 의무화됨
• 일부 공급자만 가격과 포함 내역을 공개함
• 대표 지정은 신고 전달만 담당하며 기술 평가 포함 안 됨
• 제외 사항, 갱신 조건, 검증 절차 비교 필수
• 미보고 시 최대 1,500만 유로 또는 매출의 2.5% 벌금 부과 가능
• 대표 지정은 평가, SBOM, 기술 지원 미포함

업데이트됨 21 October 2026 · 12 출처 확인됨

비교된 제공자

가격은 21 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법률 요구사항: 의무, 조항 및 기한

사이버 레질리언스법(CRA), 규정 (EU) 2024/2847은 EU 내 하드웨어 및 소프트웨어를 포함한 디지털 요소가 포함된 제품을 시장에 내놓는 자에게 엄격한 의무를 부과합니다. 주요 의무는 다음과 같습니다:

• 공인 대표 지정 (제18조): 제조사가 EU에 설립되어 있지 않으면 서면으로 EU 내 대표를 지정해야 합니다. 이 대표는 취약점 및 심각 사고 신고를 CSIRT, ENISA 등 권한 당국에 전달하는 역할을 합니다.
• 취약점 보고 (제14조): 2026년 9월 11일부터, 제조사는 제품 보안에 영향을 주는 적극적으로 악용된 취약점 또는 심각 사고를 인지한 후 24시간 이내에 ENISA 플랫폼을 통해 CSIRT에 신고해야 합니다.
• 완전한 통지 및 최종 보고: 최초 신고 후 72시간 이내에 상세한 통지와 초기 시정 조치를 제공해야 하며, 14~30일 내에 취약점 및 해결책에 관한 최종 보고서를 제출해야 합니다.
• 모든 디지털 제품에 적용: 신규 및 기존 시장 제품 모두 해당하며, 업데이트 및 지원도 포함됩니다.
• 벌금: 미준수 시 최대 1,500만 유로 또는 전 세계 매출의 2.5%까지 벌금이 부과될 수 있습니다.

CRA 취약점 보고는 GDPR(개인정보 침해) 및 NIS2(서비스 사고)와 구분되어야 하며, 각각 대상, 기한, 플랫폼이 다릅니다.

공급자 선택 방법: 실용적 기준과 위험

CRA 취약점 보고 공급자 선택은 실용적이고 투명한 기준에 따라야 합니다. 주요 평가 포인트는 다음과 같습니다:

• 공개된 명확한 가격: 가격과 갱신 비용을 명확히 공개하는 공급자를 선호하세요. '초기 가격'이나 숨겨진 갱신 비용은 피해야 합니다.
• 포함 서비스 확인: 대표 지정 및 신고 전달만 제공하는지, 기술 지원, 문서화, SBOM 또는 고급 워크플로를 포함하는지 확인하세요. 대부분 공급자는 법적 대표 지정에 한정됩니다.
• 검증 가능한 인증서: QR 코드와 공개 검증 페이지가 있는 인증서는 감사 및 사고 대응 시 분쟁 위험을 줄입니다.
• 24/7 데스크 운영: 신고는 언제든 가능해야 하므로, 연중무휴 데스크 운영 여부를 반드시 확인하세요.
• 언어 및 대응 시간: 영어 및 필요 시 다른 EU 언어로 요청을 처리할 수 있어야 하며, 24시간 이상 지연 시 준수 위험이 있습니다.
• 제외 사항 및 한계: 기술 평가, 보안 테스트, SBOM 생성, 엔지니어링 지원은 대표 지정에 포함되지 않으며, 제조사 또는 전문 공급자가 담당해야 합니다.

제외 사항이 명확하지 않은 공급자는 서비스 범위를 제대로 정의하지 않은 위험이 있습니다.

가격에 포함된 실제 내용: 비교 표 및 분석

대부분 공급자는 대표 지정과 신고 전달만 제공하며, 기술 서비스는 소수만 제공합니다. 비교 표는 다음과 같습니다:

일반 공급자(REP27, kadano, Euverify)는 법적 최소 의무만 다루며, 고급 서비스 제공자(Attestra AI, Seentrix, Illicium)는 보안 워크플로, 자동화 SBOM, 펜테스팅 등을 제공합니다. 그러나 제18조 및 제14조 준수를 위해서는 대표 지정과 신속한 신고 전달만으로 충분합니다.

가격은 명시된 서비스만 포함하며, 추가 기술 서비스는 별도 견적로 훨씬 비쌀 수 있습니다.

숨겨진 비용, 제외 사항 및 공급자가 말하지 않는 점

많은 공급자가 갱신 가격을 공개하지 않거나, 근무 외 요청, 추가 인증서 발급, 비영어 지원에 추가 비용을 부과합니다. 주의할 점은 다음과 같습니다:

• 갱신 비용: 계약 전 반드시 갱신 가격을 서면으로 확인하세요. REP27은 €440로 명확히 공개하며, 다른 공급자는 요청 시 안내합니다.
• 제외 사항: 준수 평가, 보안 테스트, SBOM 생성, 기술 지원은 대표 지정에 포함되지 않으며 별도 비용이 발생합니다.
• 책임 한계: 공급자는 기술 오류, 고객 미신고, 취약점 관리에 대한 책임을 지지 않습니다.
• 통지 기간: 일부 공급자는 서비스 종료나 대표 변경 시 사전 통지를 요구합니다. 계약 조건을 반드시 확인하세요.
• 요청별 비용: 공개 정보가 없으면, 추가 요청, 신규 인증서 발급, 긴급 지원 비용 여부를 반드시 문의하세요.

결정 표:

요약하면, 제외 사항과 숨겨진 비용에 대한 명확한 이해가 불필요한 문제와 완전한 준수를 보장합니다.

대표 지정 절차: 단계별 및 실용 체크리스트

CRA 대표 지정은 다음 주요 단계를 따릅니다:

1. 의무 확인: EU 내 설립되지 않은 디지털 제품 제조사인지 확인하세요. 해당 시 의무 대상입니다.
2. 공급자 선택: 가격, 포함 내용, 제외 사항, 검증 절차를 비교하세요. 24/7 데스크 및 공개 인증서가 있는 공급자를 선호하세요.
3. 위임장 서명: 서면으로 공급자 법인(예: REP27의 Europe Services, SE)이 서명한 위임장을 받으세요. 제18조 의무만 포함하고 제13조까지 포함하는 위임장은 피하세요.
4. 인증서 수령: QR 코드와 온라인 검증 페이지가 포함된 인증서를 받으세요.
5. 내부 실행 매뉴얼 준비: 대표자 정보, 에스컬레이션 절차, 신고 연락처를 내부 문서에 포함하세요.
6. 신고 채널 구성: 취약점 및 사고 신고를 위한 내부 채널을 마련하고, ENISA 플랫폼에 최소 두 명의 제출자를 지정하세요.
7. 팀 교육: 신고 대상과 시기를 숙지시키고, 신고 절차를 시뮬레이션으로 테스트하세요.

실용 체크리스트:

1. 제품 분류 및 EU 내 대상 확인
2. 판매 및 유통 채널 전수 조사
3. 24/7 데스크 및 갱신 가격 공개 공급자 선정
4. 에스컬레이션 및 신고 절차 문서화
5. ENISA 플랫폼에 제출자 최소 2명 지정
6. 신고 흐름 시뮬레이션 테스트 완료

이 과정을 따르면 비준수 및 벌금 위험을 최소화할 수 있습니다.

위험, 벌금 및 실제 사례: 현실적 시나리오

취약점 24시간 내 미신고 시 최대 1,500만 유로 또는 전 세계 매출의 2.5% 벌금, 평판 손상, EU 내 판매 중단 위험이 있습니다. 현실적 시나리오는 다음과 같습니다:

• 미국 SaaS 업체: EU 고객 대상 서비스 제공 시 CRA 대표를 지정하고 24/7 신고 채널을 운영해야 하며, 악용 취약점 모두 신고해야 합니다. 대표 공급자는 ENISA를 통해 신고를 전달하고 당국 요청에 대응합니다.
• 중국 아마존 판매자: 디지털 제품 제조사라면 대표 지정 및 신고 기한 준수가 필수입니다. 단순 재판매자라면 제조사가 의무를 집니다. 신고 채널은 2026년 9월 11일까지 준비해야 합니다.
• 영국 온라인 샵: 펌웨어 포함 기기를 EU 고객에 판매 시 대표 지정이 필요합니다. 비디지털 서비스만 제공하면 의무 대상이 아닙니다. 사고 발생 시 24시간 내 신고해야 하며, EU 외 소재라도 적용됩니다.

준비 미흡(내부 매뉴얼 부재, 신고 채널 미테스트, 인증 불가 대표 지정)은 대응 지연과 법적·경제적 불이익을 초래할 수 있습니다.