오늘날처럼 기술이 고도화된 세상에서는 사이버 공격이 현대판 무장 강도와 같습니다. 이제 범죄자들은 은행, 상점, 밤길의 시민을 겨냥하는 대신 사이버 공격을 통해 기업·정부·일반인을 대상으로 범죄를 저지릅니다. 이런 공격은 규모, 범위, 대담성 면에서 다양하지만, 결국 거대한 범죄 사업으로 이어집니다.
업계 단체 Cybersecurity Ventures에 따르면, 전 세계 사이버 범죄의 연간 총비용은 현재 10조 달러를 넘습니다. 이 비용은 다음과 같은 부정적 결과의 복합적 영향으로 발생합니다:
- 비즈니스 다운타임 및 그에 따른 생산성 손실
- 사기, 갈취, 횡령을 통한 탈취
- 데이터 유실
- 지식재산권 도난
사이버 범죄자들이 개인 및 단체를 노릴 수 있는 다양한 수법과 공격을 통해 얻을 수 있는 방대한 가치의 정보는 오늘날에도 계속해서 성장 중인 거대한 범죄 시장을 형성하고 있습니다. Cybersecurity Ventures의 데이터에 따르면, 사이버 범죄의 총비용은 지난 10년간 급격히 증가했습니다:
- 2015년: 3조 달러
- 2021년: 6조 달러
- 2025년: 10.5조 달러
일부 기관은 이 총액을 훨씬 낮게 추정하지만, 연간 1~2조 달러의 사이버 범죄 비용만으로도 인도네시아나 네덜란드 전체 GDP에 맞먹는 수준입니다. 그렇다면 세계와 주요 정부는 이처럼 급성장하는 악의적 행위에 어떻게 대응하고 있을까요?
사이버 회복력 법이란 무엇인가
사이버 회복력 법(Cyber Resilience Act, CRA)은 산재한 사이버 범죄 문제를 해결하기 위해 유럽연합이 제정한 규정입니다. 이 법안은 기술 기업 및 기타 제조사가 사이버 공격에 강하고 일반 EU 시민의 데이터 및 자금 자산을 표적으로 한 범죄의 통로가 될 가능성이 적은 하드웨어·소프트웨어를 제작하도록 요구합니다. 유럽연합집행위원회는 공식 웹사이트에서 사이버 회복력 법의 목적을 “디지털 제품 전체 생애주기에 걸쳐 명확하고 의무적인 사이버보안 요구사항을 설정하는 것”이라고 설명합니다.
CRA는 2022년 유럽연합집행위원회(EC)에 의해 처음 제안되었습니다. 이후 2년이 지난 2024년 유럽의회가 CRA 법안을 공식 채택하였고, 유럽이사회도 이를 승인했습니다. 11월 EU 공식 저널에 게재된 이후, CRA는 2024년 12월 공식적으로 발효되었습니다.
CRA가 규제 범위 내 기업들에게 상당히 광범위한 의무를 부과함에 따라, EU는 기업들이 규제 준수를 준비할 수 있도록 충분한 유예 기간을 두고 있습니다. 이 법은 2026년 9월부터 2027년 12월까지 약 15개월에 걸쳐 단계적으로 시행됩니다.
사이버 회복력 법의 주요 요구사항
EU CRA는 적용 대상 조직에 다양한 의무를 부과합니다. 이 규정의 목적은 기업들로 하여금 더 안전하고 회복력 있는 디지털 제품을 개발하도록 법적으로 강제하고, 사이버보안 사고 대응 프로토콜을 강화하며, 완화 조치 및 전반적 보안 수준에 대해 소비자와 이해관계자에게 더 큰 투명성을 제공하도록 하는 데 있습니다.
사이버 회복력 법의 주요 요건은 '기본 사이버보안 요건'이라는 제목의 법률 부속서 I에서 확인할 수 있습니다. 이들은 두 가지 영역으로 나뉩니다: 대상 기업이 제조하는 디지털 제품이 갖춰야 할 속성과 법 준수를 위해 제조사가 수행해야 하는 프로세스입니다.
부속서 I, 1부 · 디지털 제품이 갖춰야 할 속성
이 조항은 법 규정의 핵심이라 할 수 있습니다. EU는 유럽에서 판매되는 디지털 제품이 사이버 범죄로부터 더 안전하기를 원하며, 이를 위해 다음과 같은 규제가 필요하다고 봅니다. CRA에 따라 디지털 제품은 EU 시장에 설계·출시 시 다음 특성을 가져야 합니다:
- 1 이미 알려진 취약점이 없어야 함
- 2 기본값부터 안전한 구성(secure by default) 설정 — 즉, 기기 또는 제품의 기본 설정이 안전하게 되어 있어야 함
- 3 보안 업데이트, 자동 업데이트(명확한 옵트아웃 기능 포함) 등으로 취약점을 효과적으로 해결할 수 있어야 함
- 4 인증·신원 확인·접근관리 등 메커니즘을 통한 무단 접근 방지
- 5 암호화 등 수단을 통한 저장 데이터의 기밀성 보장
- 6 외부 조작 또는 변경으로부터 데이터·프로그램·설정의 무결성 보호
- 7 제품의 지속적 기능에 반드시 필요한 데이터만 수집
- 8 사이버 공격을 받은 후에도 제품의 기본 기능 유지
- 9 다른 장치 또는 네트워크에 대한 사이버 공격의 부정적 영향 최소화
- 10 공격 표면(악의적 공격자가 이용 가능한 노출 또는 취약점 지점) 최소화
- 11 사이버 공격 성공 시 영향 및 효과를 제한하는 메커니즘 마련
- 12 보안 이벤트(데이터 또는 기능 변경 포함) 기록 기능 제공 — 사용자에게 옵트아웃 기능 필요
- 13 사용자가 제품의 모든 데이터 및 개인화 설정을 삭제할 수 있는 기능 제공
부속서 I, 2부 · 제조사가 이행해야 할 프로세스
적절한 보안 기능의 디지털 제품을 설계·생산하는 데 그치지 않고, 제조사 역시 제품 전체 수명주기에 걸쳐 능동적으로 사이버 공격 완화에 기여할 준비가 되어 있어야 합니다.
제품 제조사는 다음의 조치를 이행해야 합니다:
- 1 제품 취약점 식별 및 문서화(주요 의존성 전체를 포괄하는 자재 명세서(BOM) 작성 포함)
- 2 보안 취약점 발견 즉시 조치 및 수정(보안 업데이트 등 포함)
- 3 디지털 제품에 대한 지속적 보안성 테스트 수행
- 4 취약점 및 보안 이벤트 관련 정보(영향, 심각도, 사용자 조치 방법 등) 공유
- 5 공식적·협업적인 취약점 공개(CVD, Coordinated Vulnerability Disclosure) 정책 수립
- 6 취약점 공유·보고 체계 구축(연락처 주소 공개 등 포함, 누구나 보안 문제를 신고할 수 있게 함)
- 7 모든 디지털 제품에 적시에, 가능하다면 자동으로 보안 업데이트를 배포할 수 있는 메커니즘 마련
이러한 메커니즘은 사용자 및 제품에 신속하고, 무료로, 관련 정보와 필요시 사용자 조치 안내 메시지와 함께 전달되어야 합니다.
CRA 적용 대상 기업
사이버 회복력 법은 매우 넓은 범위를 적용 대상으로 합니다. EU 내에서 영업하는 많은 기업들은 이 규정 준수 의무를 지게 됩니다. 전반적으로 CRA는 EU 시장에서 이용 가능한 '디지털 요소가 포함된 제품'을 제조하는 모든 기업에 적용됩니다. 더 간단히 말하자면, 인터넷 또는 다른 기기와 연결 가능한 모든 하드웨어 제품이나, 모든 소프트웨어(프로그램·앱·펌웨어 등)가 CRA 적용 범위 안에 있습니다.
포괄적 목록은 아니지만, 사이버 회복력 법의 조항에 따라 규제받는 주요 품목 예시는 다음과 같습니다:
- 소비자 전자제품: 노트북, 스마트폰, 태블릿, 라우터, 스위치
- 스마트 디바이스: 스마트 가전, 스마트 스피커, 가상 비서, 경보 시스템
- 웨어러블 기술: 스마트 워치, 피트니스 트래커, 스마트 글래스, 스마트 링
- 소프트웨어·펌웨어: 모바일 및 데스크톱 애플리케이션, 운영체제, 기기 펌웨어
- 전자 부품: 그래픽 프로세서, 중앙처리장치(CPU), 마이크로프로세서(MPU)
디지털 및 기술 제품은 다양한 제조사, 공급업체, 하위 공급업체가 참여하는 복잡한 공급망을 보유하고 있습니다. EU는 법을 준수해야 하는 세 가지 특정 그룹, 즉 ‘경제 운영자(economic operators)’를 지정하고 있습니다:
제조사
이들은 자사 브랜드로 제품을 제조하고 마케팅하는 기업입니다. 흔히 OEM(Original Equipment Manufacturer, 주문자상표 부착 생산자)으로 지칭되며, 수십, 수백, 심지어 수천 개의 직접 및 간접 공급업체로 구성된 대규모 공급망에서 소싱하는 경우가 많습니다. 이 제조사는 Cyber Resilience Act(CRA) 규제 준수 책임을 집니다.
수입업체
이 운영자들은 명칭 그대로 EU 외부에서 디지털 제품을—주로 OEM 또는 기타 제조사로부터—수입하여 EU 시장에 판매하는 사업체입니다.
유통업체
유통업체는 제조사와 수입업체 이외의 모든 주체를 포함하는 포괄적 용어로, EU 시장에 디지털 제품을 판매하는 책임이 있습니다. 유통업체에는 소매업체 및 관련 비즈니스가 포함되며, 소비자에게 직접 판매하는 경우도 많습니다.
EU의 CRA 집행 방법
CRA는 모든 EU 회원국이 법 집행과 대상 기업의 감독을 담당하는 시장 감독기관을 지정하도록 요구합니다. 이 감독기관은 정부 부처, 에이전시 또는 모니터링·집행 역량이 있는 기타 조직일 수 있습니다. 지정된 시장 감독기관은 CRA 범위 내 운영자에게 기술 문서 제출을 요구하거나, 제품 리콜을 시행하거나, 특정 제품이 CRA 규정 미준수로 시장 진입을 제한하는 조치를 취할 권한을 가집니다.
아울러, 당국은 법 위반자에게 벌금 및 제재를 부과할 수 있습니다.
CRA 미준수 시 결과
Cyber Resilience Act를 준수하지 않는 기업은 상당한 벌금에 직면할 수 있습니다.
- CRA 필수 요구사항 위반: 회사 전 세계 매출액의 2.5% 또는 1,500만 유로 중 더 높은 금액의 벌금 부과 가능
- 기타 CRA 의무사항 위반 (문서화 요건 및 CE 마킹 절차 포함): 회사 전 세계 매출액의 2% 또는 1,000만 유로 중 더 높은 금액의 벌금 부과 가능
- 시장 감독기관이나 지정기관에 허위 또는 불완전 정보 제공: 회사 전 세계 매출액의 1% 또는 500만 유로 중 더 높은 금액의 벌금 부과 가능
Cyber Resilience Act에서 인증기관의 역할
기업이 Cyber Resilience Act 준수를 위해 인증기관 또는 지정기관과 협력해야 하는지 여부는 해당 기업이 제조, 수입 또는 유통하는 제품의 리스크 등급에 따라 달라집니다. CRA는 모든 디지털 제품을 네 가지 제품 등급 중 하나에 배정합니다:
- 기본 제품: 이 카테고리는 EU 시장 내 대부분의 디지털 제품을 포함하며, 소비자 전자제품, 완구, 대부분의 스마트 기기가 이에 해당합니다. 기본 등급 제품을 제조, 수입, 유통하는 기업은 타사 기관의 평가를 받을 필요가 없습니다.
- 중요 제품(1등급): 이 등급은 라우터, 모뎀, 브라우저, 가상사설망(VPN) 등 특별한 보안 책임이 있는 항목에 해당합니다. 이 등급 제품은 일반적으로 CRA 규제 준수를 증명하는 지정기관의 평가가 필요하며, 경제 운영자가 관련 사이버보안 조화 표준 준수 또는 CRA에서 승인된 EU 사이버보안 인증 획득을 증명하지 않는 한 제3자 평가가 요구됩니다.
- 중요 제품(2등급): 이 그룹은 방화벽, 하이퍼바이저, 침입 탐지 시스템 등 보안 인프라 중에서도 더 중요한 제품군에 해당합니다. 이 제품을 제조, 수입, 유통하는 기업은 CRA 규정 준수를 증명하기 위해 항상 지정기관의 제3자 평가를 받아야 합니다.
- 핵심 제품: 이 카테고리는 가장 높은 리스크를 가진 분야로, 하드웨어 보안 모듈, 스마트카드, 스마트 미터 게이트웨이가 여기에 포함됩니다. 3등급과 마찬가지로, 이 제품을 EU 시장에 공급하는 기업은 반드시 지정기관의 제3자 평가를 받아야 합니다.
Cyber Resilience Act 주요 시행 일정
EU는 CRA를 단계적으로 시행할 계획입니다. 해당 법은 2026년 9월부터 2027년 12월까지 약 15개월에 걸쳐 순차적으로 발효됩니다.
9월 11일부터 해당 기업은 사이버보안 취약점 및 중대한 사이버보안 사고에 대한 보고를 개시해야 합니다. 보고 자체가 이 날짜부터 시작되므로 기업은 기한 전에 내부 사고 보고 프로세스를 구축하고 시행해야 합니다.
보고 의무가 시행된 지 15개월 후, 기업은 기타 모든 규제 준수 요건을 준수해야 합니다. 여기에는 디지털 제품 대상 13개 요구사항 및 제품 제조사 대상 8개 의무 이행이 모두 포함됩니다.
기업의 CRA 준수 실천 방안
CRA의 지속적 주요 과제 중 하나는, 해당 규제의 조화 표준이 아직 최종 확정·발표되지 않았다는 점(2026년 가을 기준)입니다. 그럼에도 불구하고 EU는 두 개의 가장 중요한 기한—2026년 9월의 취약점 보고와 2027년 12월의 전체 규정 이행—을 그대로 추진하는 것으로 보입니다.
기존 사이버보안 표준 준수
적용 대상 기업이라면 ‘공식 조화 표준이 없다면 지금 무엇을 준비해야 하는가?’라는 의문이 당연히 생길 수 있습니다. 이러한 의문에는 일정 부분 타당성이 있지만, 기업이 완전히 무력한 것은 아닙니다. CRA 표준 제정에 관여하는 EU 위원회는 이미 확립된 여러 프레임워크를 참고하고 있어, 기업은 명확한 실무 요건이 모두 확정되지 않은 상태에서도 지금 바로 활용할 수 있는 표준을 따를 수 있습니다. CRA에서 참고하는 주요 표준은 다음과 같습니다:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
사고 대응 프로토콜 수립
적용을 받는 조직이 확실히 알아야 할 사실이 있다면, 2026년 9월 11일부터는 취약점 또는 기타 중대한 사이버보안 사고에 대한 보고가 반드시 시작되어야 한다는 점입니다.
즉, Cyber Resilience Act를 효과적으로 준수하기 위해서는 해당일 이전에 사고 보고 프로세스를 갖추고 있어야 합니다. 이 의무의 일환으로, 각 기업은 사이버 인시던트에 대응하고, 취약점을 신속히 식별하며, 위협 수준을 평가하고, 보안 패치를 전 사용자에 배포하는 '제품 보안 사고 대응팀(PSIRT)'을 구축해야 합니다.
대상 기업은 이제 이 의무 수행을 위한 전문 인력, 디지털 도구, 프로세스, 문서 요건을 미리 준비해야 합니다.
철저한 문서화
2027년 12월에 CRA의 모든 의무가 발효되면, 해당 기업은 적합성 평가(내부 자체 평가 또는 타사 지정기관 평가 포함)에 사용되는 광범위한 문서 파일을 작성·보관해야 할 책임이 있습니다. 이 파일에는 자재 명세서(BOM), 사이버보안 리스크 평가, 보안 요구사항에 기반한 설계 결정, 준수된 표준에 대한 설명 등 다양한 항목이 포함되어야 합니다.
기업은 CRA의 조화 표준 완료를 기다릴 필요 없이 지금부터 필요한 정보를 수집하고, 모든 규정 문서 요건을 충족하는 데 착수할 수 있습니다.
