- Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
- Directive (EU) 2022/2555 — NIS2, for entities also in its scope
- Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected
누가 지정해야 하는가
2026년 9월 11일부터 EU 시장에 디지털 요소가 포함된 제품을 배치하는 모든 제조업체. 크기나 산업에 관계없이 제조업체에게 의무가 있으며, 수입업체나 유통업체가 아닌 제조업체가 책임을 집니다. 그러나 유럽연합 외부의 제조업체는 일반적으로 승인된 대리인이나 지침에 따라 행동하는 데스크를 통해 이를 이행합니다. 오픈 소스 관리자는 더 가벼운 별도의 보고 의무가 있습니다.
기준과 면제
크기 기준 없음. 의무를 촉발하는 것은 사실적입니다: 귀하의 제품에서 적극적으로 악용되고 있는 취약점 또는 제품의 보안에 영향을 미치는 심각한 사건. '적극적으로 악용됨'은 누군가가 무단으로 코드를 실행하거나 제품에 영향을 미쳤다는 신뢰할 수 있는 증거가 있다는 것을 의미합니다. 의심은 촉발 요인이 아니지만, 기준은 증거에 대한 인식이며 전체 그림의 확인이 아닙니다.
라벨에 표시할 사항
라벨링 의무가 아닙니다. 공개해야 하는 것은 취약점 보고를 위한 단일 연락처로, 귀하의 웹사이트에서 쉽게 찾을 수 있어야 하며, 보고가 수신되고 분류되며 응답되는 방법을 설정하는 조정된 취약점 공개 정책과 함께 제공되어야 합니다.
마켓플레이스 항목
시장 필드로는 해당되지 않습니다. 대신 기업 조달 및 보안 질문서에서 나타나며, 구매자는 이제 서명하기 전에 취약점 연락처, 공개 정책 및 보고 프로세스의 증거를 요청합니다.
보관해야 할 문서
누가 인식을 선언하는지, 누가 초안을 작성하는지, 누가 승인하는지, 누가 파일링하는지를 정의하는 내부 처리 절차. 각 단계에 대한 타임스탬프가 있는 취약점 등록부. 조정된 취약점 공개 정책. 시정 조치의 증거와 해당 조치가 가능해진 날짜. 사용자 알림 기록, 제14조는 또한 영향을 받은 사용자에게 사건에 대해 알리고, 필요한 경우 적용해야 할 시정 조치에 대해 알릴 것을 요구합니다.
표준과 시험
해당되지 않습니다. 사후에 검토되는 것은 타임라인입니다: 제조업체가 인식하게 된 시점, 조기 경고가 제출된 시점, 그리고 간격이 충족되었는지 여부.
언어 요건
보고서는 단일 보고 플랫폼을 통해 제출되며, 영어를 수용합니다. 국가 CSIRT와의 커뮤니케이션은 해당 회원국의 언어로 진행될 수 있으며, 사용자 알림은 관련 사용자의 언어로 제공되어야 합니다.
언제부터 적용되는가
세 가지 기한이 있으며, 모두 확인이 아닌 인식에서 시작됩니다. 24시간 이내에 조기 경고를 제출하여 적극적으로 악용되는 취약점이나 심각한 사건이 존재함을 알리고, 다른 회원국이 영향을 받는지 여부를 포함하며, 전체 세부 정보가 없더라도 CSIRT가 조치를 취할 수 있을 만큼 충분한 정보를 제공합니다. 72시간 이내에 취약점 또는 사건 알림을 제출하며, 제품에 대한 일반 정보, 악용의 성격 및 취해지거나 권장된 시정 조치에 대한 정보를 포함합니다. 시정 조치가 가능해진 후 14일 이내 또는 심각한 사건에 대한 72시간 알림 후 1개월 이내에 최종 보고서를 제출하며, 취약점, 그 심각성, 악용 및 수정 사항을 설명합니다.
문서 보관 기간
지원 기간 동안 최소한 취약점 등록부, 제출된 알림 및 해당 타임스탬프를 보관합니다. 이는 집행 사건을 결정하는 증거입니다. 질문은 언제 알았는지가 될 것입니다.
미준수 시 결과
제조업체의 의무 위반에 대해 최대 1,500만 유로 또는 전 세계 연간 총 매출의 2.5%. 노출은 취약점 자체가 귀하의 잘못이 아닌 경우에도 발생할 수 있습니다: 귀하가 작성하지 않은 의존성이 악용되면 24시간 카운트가 시작됩니다. 당국은 문제 해결이 완료되지 않은 상태에서 제품을 철수할 것을 명령할 수도 있습니다.
집행 기관
귀하의 주요 설립지의 회원국에서 조정자로 지정된 CSIRT, 또는 유럽연합 내에 없을 경우 귀하의 승인된 대리인을 위해 지정된 CSIRT. ENISA는 단일 보고 플랫폼을 통해 알림을 병행하여 수신합니다. 시장 감시 당국이 집행합니다.
경계선
이 의무는 나머지 CRA보다 1년 이상 먼저 적용되며, 이 간격이 대부분의 제조업체가 놓치는 부분입니다. 이는 NIS2 보고와 함께 있으며, 유사한 기한이 있지만 다른 촉발 요인이 있습니다 — 귀하의 서비스에 영향을 미치는 사건, 판매하는 제품의 취약점이 아닌 경우 — 그리고 개인 데이터가 관련된 GDPR 제33조 위반 알림과 함께 있습니다. 하나의 사건이 세 가지 다른 법적 근거로 세 가지 다른 당국에 대해 모두 요구할 수 있습니다.
자주 받는 질문
- 누가 취약점이 적극적으로 악용되고 있는지 결정합니까?
- 귀하가 가지고 있는 증거에 따라 귀하가 결정합니다. 안전한 방법은 조기 경고를 제출하고 72시간 알림에서 이를 다듬는 것입니다. 여전히 확인 중이어서 늦게 제출하는 것은 당국이 수용하지 않을 것이라고 신호를 보낸 실패 모드입니다.
- 토요일에 연구자로부터 알게 되면 어떻게 됩니까?
- 시계는 인식에서 시작되며, 다음 영업일이 아닙니다. 그래서 절차에는 지정된 대리인과 비업무 시간 경로가 필요합니다: 24시간은 달력 시간입니다.
- 보고가 우리에게 책임을 노출합니까?
- 보고서는 CSIRT 및 ENISA에 제출되며, 공개되지 않으며, 규정은 그 사용을 제한합니다. 노출을 초래하는 것은 보고가 아닙니다: 보고되지 않은 악용된 취약점이 나중에 공개되는 것은 모두 위반이며 그 증거입니다.
- 결함이 있는 제3자 구성 요소를 사용하는 경우 — 여전히 우리의 보고서입니까?
- 예, 귀하가 시장에 배치한 제품이 영향을 받는 경우입니다. 구성 요소의 유지 관리자를 알릴 필요가 있을 수도 있지만, 이는 귀하의 의무를 면제하지 않습니다.