유럽연합(EU), 디지털 제품 대상으로 사이버보안 강화하는 사이버복원력법(CRA) 시행

[보안뉴스 엄호식 기자] 2016년 CCTV와 DVR, 라우터 등 IoT 기기를 감염시켜 대규모 DDoS 공격을 일으킨 ‘미라이 봇넷’(Mirai Botnet)의 발생으로 기본 패스워드 금지 등 보안 내재화가 본격적으로 추진됐다. 그리고 2017년 전 세계 약 40억달러의 피해액을 발생시키며 150여개국 30만대 이상의 PC를 감염시킨 ‘워너크라이 랜섬웨어’(WannaCry Ransomware)는 최소 5년간 보안 업데이트 제공을 의무화하는 한편, 네트워크의 세분화와 백업 강화의 필요성을 강조하는 계기가 됐다.

또한 2021년 ‘로그4셀’은 SBOM(SW 자재명세서) 의무화를, 2025년 ‘배드박스 2.0’은 출시 전 엄격한 보안 검증(적합성 평가)이 필수가 되게 했다. 그리고 올해 자율적으로 수천개의 제로데이 취약점을 발견하고 실제 익스플로잇을 제작했으며, 샌드박스를 탈출해 인터넷에 접속하는 등 기존 보안 패러다임을 뒤흔든 ‘미토스’(Mythos)는 ‘프로젝트 글래스윙’(Project Glasswing)이라는 글로벌 방어 연합을 구축하게 하는 한편, AI 모델 사용 제한 및 취약점 공개 체계 강화 등의 추진을 이끌었다.


[출처: gettyimagesbank]

이러한 가운데 유럽연합(EU)이 국가 차원의 규제 정비를 통해 디지털 제품을 대상으로 사이버보안을 강화하는 사이버복원력법(CRA)을 시행한다는 소식이 전해졌다. 이에 EU CRA의 내용은 무엇이고 어떻게 준비해야 하며, 다른 나라들은 어떻게 준비하고 있는지 살펴봤다.

사이버 복원력(Cyber Resilience)은 사이버 공격이나 시스템 장애, 내부자 위협 등 불가피한 사고 발생 시에도 핵심 기능을 유지하고 신속하게 회복할 수 있는 조직의 능력을 뜻한다.

그리고 EU CRA는 EU 내에서 디지털 제품을 통한 사이버 공격의 피해를 예방하기 위해 도입되는 법안이다. 발생빈도가 잦아지고 범죄 유형이 고도화하며 그 피해액이 지속해서 늘어나는 사이버 위협에 따라 2022년 9월 EU 집행위원회에서 사이버복원력법 필요성을 제안했고, 2024년 10월 EU 이사회에서 최종 승인했다.

그리고 EU는 CRA 지원을 위해 유럽 표준화 기구인 △유럽통신표준협회(ETSI: European Telecommunications Standards Institute)와 △유럽표준화위원회(CEN: European Committee for Standardization) △유럽전기기술표준화위원회(CENELEC: European Committee for Electrotechnical Standardization)에 총 41개 항목에 해당하는 조화표준 개발을 의뢰했다.


▲유럽 표준화 기구의 표준화 작업에 대한 역할 분담 [출처: TTA]

그리고 2027년 12월 CRA의 전면 적용을 목표로 수평 4종과 수직 31종 등 총 35종의 조화표준을 개발하고 있다. 수평 4종은 모든 디지털 제품에 필수 적용되는 것으로 M/606의 수평 15개 항목을 EN 40000 시리즈 4개 표준으로 통합 개발하며, Class Ⅰ·Ⅱ 및 Critical 제품에 추가 적용되는 M/606의 수직 26개 항목을 IT와 OT로 구분해 총 31종을 개발한다.

인증 대상과 관리 범위의 확대
EU CRA는 기존 CE 인증 면제 품목이었던 백신과 같은 독립형 SW와 임베디드 OS와 같은 B2B 디지털 제품(소비자에게 직접 판매되는 완제품이 아닌, 다른 제조사가 자신의 제품에 통합(내장)하기 위해 구매하는 하드웨어 또는 소프트웨어 구성요소) 그리고 상업용 오픈소스까지 인증 대상으로 추가됐다.


▲추가 인증 대상 [출처: TTA]

또한 제품의 기획·설계부터 ‘보안 내재화’ 및 ‘SBOM 생성·관리’가 요구되며, 출시 후 최소 5년 또는 폐기 전까지 지속적인 보안 패치 및 취약점 관리·공시가 의무화된다. 배포된 보안 업데이트 관리 및 관련 문서 보관은 최소 10년 또는 폐기 전까지다


▲CRA 단계별 관리 범위 [출처: TTA]

CRA 지금 준비해야 하는 이유
산업통상자원부의 2025년 연간 및 12월 수출입 동향과 산업통상자원부 및 과학기술정보통신부의 2025년 연간 및 12월 정보통신산업(ICT) 수출입 동향, 한국은행 2025년 지식서비스 무역 통계 등에 따르면 2025년 기준 對 EU 전체 수출액인 777억3000만달러 대비 ICT 제품 수출액이 차지하는 비중은 17.2%(134억2000만불, 기존 CE 인증 대상)이며, EU CRA 시행 시 CE 인증을 획득해야 하는 대상은 상당하게 늘어날 것으로 예상된다.

이와 더불어 기업들이 겪게 될 주요 애로사항으로는 제품당 최소 5개월 이상이 소요될 CE 인증 획득기간과 이에 수반되는 비용이다(유사 컨설팅 및 시험 비용은 건당 1억5000만원에서 2억원 소요). 여기에 규제 대응 가능한 전담인력 채용 및 유지도 어려울 것이며, 전문성이 필요한 위험평가와 취약점 점검, SBOM 생성·관리, 오픈소스 등 제3자 SW 보안 결함 통제 등도 어렵다.

2027년 12월 전면 시행을 앞둔 EU CRA는 우리나라 ICT 수출의 무역장벽으로 작용할 것으로 예상되며, 무엇보다 2026년 9월부터 취약점 및 중대사고 발생에 대해 24시간 내 보고 의무가 선제 적용되기 때문에 정부 차원의 대응이 시급하다.


▲EU CRA 주요 일정 [출처: TTA]

주요 국가들은 어떻게 대응하고 있나
그렇다면 이러한 EU의 변화에 미국과 일본 그리고 중국 등 주요 국가는 어떻게 대응하고 있을까?

미국은 IoT 제품에 한정해 상호연계 방안을 논의 중인 것으로 알려졌다. 미국 연방통신위원회(FCC)가 운영하는 무선 소비자 IoT 제품 보안 라벨링 프로그램인 ‘Cyber Trust Mark’는 UL Solutions의 철회 이후, 올해 4월 사물인터넷 제조사 연합인 ‘ioXt Alliance’를 새 총괄 운영기관으로 지정했다. 이에 따라 프로그램 운영체계 재정비가 추진되고 있으나, EU CRA와의 구체적인 제도 연계는 아직 확인되지 않았다. 마이크로소프트 등 주요 기업들은 개별적으로 CRA 대응체계 마련 및 시험·인증·검사 기관 브랜드인 ‘TÜV’ 등 유럽 인증기관(NB)을 통해 CRA 컨설팅 및 CE 인증을 준비하고 있는 것으로 알려졌다.

일본은 2025년 5월 ‘사이버보안 역량강화법’(Active Cyber Defense Act) 시행을 통해 공공과 민간의 정보공유 체계를 정비했다. 또한 올해 1월 EU CRA와 일본의 IoT 라벨링 제도인 ‘JC-STAR’의 IoT 제품 한정 상호연계 방안을 논의하기도 했다. 이에 2026년 5월 제4차 EU-일본 디지털 파트너십 위원회에서 JC-STAR - EU CRA 요구사항의 정합성 확보를 추진하기로 했다. 이어 6월에 열린 제3차 EU-일본 전문가 워크숍에서 JC-STAR와 EU CRA 간 보안요구사항과 제품범위, 추가 기술분석 필요영역을 비교하는 매핑 작업을 수행했다.

대만은 대만 경제부(MOEA) 산하 표준검험국(BSMI)에서 자발적 제품인증(VPC) 제도를, 민간 분야에서는 대만 정보통신 표준협회(TAICS)에서 IoT 보안 마크(IoT Cybersecurity MARK) 제도를 운영하고 있으나 제도 간의 연계 노력은 확인되고 있지 않다. EU CRA에 대해서는 정부의 디지털발전부 산하기관인 디지털산업서에서 올해 5월 EU CRA 사이버보안 규제 대응 지원사업을 추진해 對 EU 수출기업의 CRA 대응역량 강화를 지원하고 있다.

지원사업은 ①사이버보안 컨설팅 ②SW 설계 보안검사 도구 ③지능형 문서·증거 점검 등 3가지 지원 수단을 운영하고 있다. ‘사이버보안 컨설팅’에서는 전문가가 기업을 대상으로 CRA의 요구사항과 보안설계·취약점 관리·기술문서 준비 방향을 상담·지도하며 기업별 CRA 대응 전략을 수립한다. ‘SW 설계 보안검사 도구’에서는 제품 개발 단계에서 소프트웨어 취약점과 설계상 보안 리스크를 점검해 Security by Design 대응을 준비하도록 돕는다. ‘지능형 문서·증거 점검’에서는 기술문서와 적합성 증빙·감사 가능한 증거자료를 자동 점검·검정해 기술문서·적합성 입증을 돕는다.

한편 중국은 EU 사이버보안법(CSA) 개정에 따른 외교·통상 마찰로, 현재 EU CRA에 대한 국가 차원의 대응은 진행되지 않는 것으로 나타났다

[이용호 TTA 사이버보안시험팀 팀장과 함께 Q&A로 풀어보는 EU CRA]
Q. 기존 CE 인증과 CRA의 가장 큰 차이는 무엇인가요
CE 인증은 한 번 통과하면 끝나는 인증이었지만, CRA는 디지털 요소가 들어간 제품을 기획할 때부터 생산·판매하고, 시장에서 없어질 때까지(최소 5년 또는 폐기될 때까지) 보안을 계속 관리하는 요구사항을 명시하고 있습니다. 이는 개별 기업이 스스로 감당하기에는 너무 복잡하고 비용이 많이 들기 때문에 국내 기업들이 원스톱으로 기술 지원을 받을 수 있는 검증센터 구축이 꼭 필요합니다.

Q. 기존 EU 수출보다 상당히 복잡하고 어려워진 느낌이 듭니다
유럽 시장에 제품을 판매하려면 이제부터는 ①어떤 법과 표준을 따라야 하는지 분석하고 ②제품의 위험성 평가와 취약성 점검을 수행하고 ③SBOM을 만들고 제품이 폐기되기 전까지 관리해야 합니다. 이외에도 ④CRA 요구사항이 적용된 CE 인증을 취득하고 ⑤유럽 시장에서 제품이 사용되는 동안 새로운 취약성을 분석해서 보안 업데이트도 제공해야 합니다. 이 모든 것을 중소기업 혼자 감당하는 것은 사실상 불가능에 가깝습니다.

Q. 사이버복원력법이라는 키워드가 사이버보안 기업에만 해당되는 것은 아닐까 하는 생각을 갖게 합니다. 물리보안 기업도 관심을 가지고 대비해야 하는 이유가 있을까요
CRA 요구사항은 산업 분야를 구분하지 않으며, CRA에서 제시하는 제품 분류(Important Class Ⅰ, Important Class Ⅱ, Critical)는 디지털 제품의 사용 용도와 목적에 기반해 디지털 요소가 포함된 모든 제품과 이와 연동하는 원격 데이터 처리 솔루션까지도 포함하고 있습니다. 따라서 CCTV나 생체인식, 출입통제 등 물리보안 제품의 경우에도 그동안 고려하지 않았던 사항까지 추가로 준비해야 할 수 있습니다.

몇 가지 예를 들어보면 ①CCTV뿐만 아니라 CCTV와 함께 납품되는 원격 데이터 처리 솔루션(관제SW 등)도 같이 받아야 하며 ②CCTV 사용 용도와 목적에 따라 추가적인 조화표준(CRA가 요구하는 구체적인 기술 기준을 담은 유럽표준(EN 규격))이 적용될 수 있습니다. 그리고 ③CCTV에 내장된 B2B(CCTV를 만들 때 들어가는 임베디드 제품이 있다면 해당 임베디드 제품 제조사도 CRA 요구사항을 충족해야 함) 제품도 적용 대상이 될 수 있습니다.

Q. CRA 위반 시 어떤 제재나 처벌이 발생하나요
CRA 요구사항 미 이행 시 기업에는 최대 연 매출의 2.5% 또는 1500만유로의 과징금이 부과되고, 제품은 유럽시장에서 리콜·퇴출될 수 있습니다

설문을 통해 살펴본 EU CRA에 대한 지식과 대응
그렇다면 보안산업 종사자 및 사용자들은 EU CRA에 대해 얼마나 알고 있으며, 각 기업은 어떻게 대응하고 있을까? 이번 설문은 7월 20일과 21일 양일간 보안뉴스 온라인 회원을 대상으로 했으며, 총 108명이 참여했다.

먼저 설문 참여자의 47.3%는 사이버보안 분야에 속했으며, 물리보안과 공공기관이 각각 25.9%로 나타났다.

이어 귀사는 EU 시장에 제품·서비스를 판매하거나 수출하느냐는 물음에 16.7%는 ‘직접 수출·판매한다’고 답했다. 이어 20.4%는 ‘협력사·OEM을 통해 간접 공급한다’, 24.9%는 ‘지금은 아니지만 향후 수출을 목표로 하고 있다’고 답했으며, 38.0%는 ‘EU 시장 진출에 대한 계획이 전혀 없다’고 밝혔다.


▲설문을 통해 살펴본 EU CRA에 대한 지식과 대응 [출처: 보안뉴스]

유럽연합 사이버복원력법(EU CRA: Cyber Resilience Act)에 대해 알고 있냐는 물음에는 54.6%가 ‘들어봤지만 잘 모른다’고 답했다. 이어 13.0%는 ‘잘 알고 있으며 대응을 준비하고 있다’라고 답한 반면, 32.4%는 ‘들어본 적 없다’고 답했다.

EU CRA가 귀사의 비즈니스에 미칠 영향은 어느 정도라고 생각하느냐는 물음에는 41.7%가 ‘일부 제품과 서비스에 제한적으로 영향을 받을 것 같다’라고 답했으며, 7.4%는 ‘매우 큰 영향을 받을 것 같다’, 24.1%는 ‘상당한 영향을 받을 것으로 예상한다’라고 답했다. 그리고 25.0%는 ‘전혀 영향이 없을 것 같다’라고 밝혔다.

이어 귀사에서 EU CRA 적용 대상이 될 수 있는 제품·서비스는 무엇이냐는 질문에는 ‘소프트웨어·앱’이 33.3%로 가장 높았으며, ‘펌웨어·임베디드 SW’ 20.4%, ‘IoT 기기’ 17.6%, ‘네트워크 인터페이스·게이트웨이’ 14.8%, ‘CCTV 등 영상감시 시스템’ 13.9%, ‘클라우드·원격관리 서비스’ 12.0% 등의 순으로 나타났다.


▲설문을 통해 살펴본 EU CRA에 대한 지식과 대응 [출처: 보안뉴스]

EU CRA 대응을 위해 어떤 준비를 하고 있느냐는 물음에는 16.7%만이 ‘대응 계획을 수립하고 있다’라고 답했으며, 24.1%는 ‘내부 검토 단계다’라고 밝혔다. 하지만 59.2%는 ‘아직 준비하고 있지 않다’고 답했다.


▲설문을 통해 살펴본 EU CRA에 대한 지식과 대응 [출처: 보안뉴스]

EU CRA 대응을 위해 우선적으로 필요한 지원으로는 53.7%가 ‘법·규제 해설 자료’라고 답했다. 이어 ‘기술 가이드라인·조화표준 해설서’ 51.9%, ‘교육·세미나’ 38.9%, ‘국내에서의 CE 인증 획득 지원’ 32.4% 등의 순이었다.

EU CRA와 관련한 정보를 주로 얻는 곳으로는 45.4%와 44.4%의 선택을 받은 ‘언론·뉴스’와 ‘업계 협회·세미나’인 것으로 나타났다. 이어 ‘정부·기관 발표’가 35.2%, ‘외부 컨설팅·인증기관’이 15.7%였으며, 16.7%는 ‘EU CRA에 대한 정보를 전혀 얻고 있지 않다’고 답했다.

더불어 EU CRA 대응 추진 계획을 묻는 질문에는 38.9%가 ‘아직 잘 모르겠다’라고 답했다. 이어 23.1%는 ‘내부 인력으로 자체 대응’을 선택했으며, 16.7%는 ‘외부 컨설팅·전문기관 활용’, 13.9%는 ‘업계 협력 네트워크 참여’를 통해 대응하겠다고 밝혔다.

CRA, 유럽 무역의 장벽이자 기회의 갈림길
EU CRA는 단순한 제도 변화가 아니라, 디지털 제품의 전 생애주기에 걸쳐 보안을 내재화하도록 강제하는 새로운 규범 체계라 할 수 있다. 특히 2026년 9월부터 취약점 및 중대사고 발생 시 24시간 내 보고 의무가 선제적으로 적용되고, 2027년 12월 이후에는 CRA 요건을 충족하지 못한 제품은 유럽 시장 진출 자체가 불가능해진다는 점에서 그 파급력은 막대하다.

설문조사 결과에서도 확인되듯, 응답자의 59.2%가 아직 대응을 준비하지 않고 있으며, 54.6%가 ‘관련 정보·가이드 부족’을, 53.7%가 ‘법·규제 이해 부족’을 가장 큰 애로사항으로 꼽았다. 반면 CRA를 충분히 이해하고 대응을 준비 중인 기업은 13%에 불과해, 대응 역량의 격차가 빠르게 확대되고 있음을 알 수 있다.

따라서 기업들은 지금부터라도 위험평가, SBOM 생성·관리, 보안 업데이트 체계 구축 등 CRA 핵심 요구사항을 충족하기 위한 준비에 착수해야 한다. 인증 획득에만 최소 5개월 이상이 소요되고, 미준수 시 최대 연 매출의 2.5% 또는 1500만유로의 과징금이 부과될 수 있다는 점을 고려하면, 대응 지연은 곧 막대한 손실로 이어질 수 있다.

결국 EU CRA는 유럽 시장에 진출해 있거나 새롭게 진입하고자 하는 기업들에게 새로운 무역장벽이자 동시에 선제적 대응을 통해 경쟁 우위를 확보할 수 있는 기회다. 정부와 업계 협력 네트워크를 적극 활용해 대응 역량을 강화하고, 조속히 준비에 착수하는 것이 무엇보다 시급하다.

[엄호식 기자(eomhs@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>