EU 사이버 복원력법(CRA) 보고 규칙을 어떻게 준수할까?

CRA의 핵심은 제품을 한 번 검사해 통과시키는 데 있지 않고, 출시 뒤에도 취약점을 찾아 고치고 사고를 보고할 수 있는지를 제조업체가 책임지는 데 있습니다. 그래서 기업은 CE 마킹 준비만으로 대응이 끝났다고 여겨서는 안 됩니다. 제품 수명주기 전체를 관리하는 보안 운영 체계가 실제 준수의 중심이 될 가능성이 큽니다.

기사에 따르면 CRA는 디지털 요소가 있는 하드웨어와 소프트웨어에 설계·개발·유지보수 단계의 보안 의무를 부과하고, 제조업체가 제품 수명주기 동안 취약점을 처리하도록 합니다. 보고 의무는 2026년 9월 11일부터, 주요 의무는 2027년 12월 11일부터 적용됩니다. 이 일정은 기업에 준비 시간을 주지만, 보고 의무가 먼저 시작된다는 점은 특히 중요합니다. 취약점이나 사고를 발견한 뒤 누가 판단하고 어떤 절차로 보고할지 정하지 못했다면, 기술적 결함뿐 아니라 조직의 대응 지연도 위험이 될 수 있습니다.

다만 이 기사는 ‘어떻게 준수할까’라는 질문에 비해 실무 절차를 충분히 보여주지는 않습니다. 어떤 제품이 적용 대상인지 분류하는 법, 공급업체에서 받은 구성요소 정보를 어떻게 추적할지, 취약점의 심각도를 누가 평가할지, 보고 업무의 책임자를 어떻게 정할지에 대한 구체적인 설명은 본문에 없습니다. 집행위원회가 2026년 7월 27일 실무 지침을 공개했다는 사실은 제시하지만, 지침의 핵심 내용이나 기업이 당장 취할 조치까지는 알기 어렵습니다. 따라서 이 글은 규정의 큰 그림을 파악하는 데는 유용해도, 그대로 준수 체크리스트로 쓰기에는 부족합니다.

기업은 우선 제품별 적용 여부와 위험 수준을 확인하고, 개발·보안·법무·고객지원 부서가 함께 취약점 접수부터 수정 배포와 보고까지 이어지는 절차를 점검할 필요가 있습니다. 공급망 전 단계의 의무라는 설명을 고려하면, 외부 라이브러리나 공급업체의 보안 정보와 업데이트 지원 여부도 관리 대상에 포함하는 편이 안전해 보입니다. 이는 기사에 적힌 세부 법률 요건을 그대로 옮긴 것이 아니라, 수명주기와 가치 사슬에 걸친 책임을 실제 업무로 만들기 위한 대응 방향입니다.

CE 마킹도 과신해서는 안 됩니다. 기사는 CE 마킹이 CRA 요건 준수 여부를 나타내며, 일부 제품은 시장 출시 전에 공인기관의 제3자 평가를 받을 수 있다고 설명합니다. 하지만 마킹 자체가 제품에 취약점이 전혀 없거나 앞으로도 안전하다는 보증은 아닙니다. 오히려 이용자와 구매자는 마킹을 출발점으로 삼고, 업데이트 지원과 취약점 대응에 관한 제조업체의 설명을 함께 확인해야 할 가능성이 큽니다.

결국 CRA는 보안을 제품 출시 전의 관문에서 출시 후까지 이어지는 책임으로 바꾸려는 규제입니다. 국가 시장 감시 당국이 집행을 맡는 만큼 기업의 문서화와 대응 품질도 중요해질 수 있지만, 이 기사만으로 구체적인 집행 방식이나 제재 수준을 단정할 수는 없습니다. 기업에 필요한 것은 일정표를 기억하는 데 그치지 않고, 취약점을 발견했을 때 실제로 움직이는 조직을 지금부터 만드는 일입니다.