EU 사이버복원력법(Cyber Resilience Act, CRA) 제14조에 따른 소프트웨어 취약점 24시간 신고 의무가 2026년 9월 11일부터 실제로 가동됐다. 유럽 시장에 디지털 요소가 포함된 제품을 파는 제조사라면, EU 안에 법인이 있든 없든 이 규정에서 자유롭지 않다. 문제는 규정 자체보다 실무다. 능동 악용 취약점을 발견했을 때 24시간 안에 무엇을, 어디에, 어떤 양식으로 보고해야 하는지 알아야 벌금 리스크를 피할 수 있다.
📌 핵심 요약
- CRA 제14조 취약점·사고 보고 의무는 2026년 9월 11일부터 시행 — CRA 전체 조항 중 가장 먼저 발효
- 능동 악용 취약점 인지 후 24시간 내 조기경보, 72시간 내 상세통지, 최대 1개월 내 최종보고
- 보고 창구는 ENISA 단일 신고 플랫폼(SRP), 시행일과 동시에 가동
- EU·비EU 소재 불문, 신규 제품은 물론 이미 유통 중인 제품도 적용 대상
- 중대 위반 시 최대 1,500만 유로 또는 전 세계 매출 2.5% 중 높은 금액 과징금
EU 사이버복원력법(CRA)이란 무엇인가 — 2026년 9월 11일 시행의 의미
사이버복원력법은 디지털 요소가 포함된 하드웨어·소프트웨어 제품 전반에 사이버보안 요건을 의무화하는 EU 규정이다. 스마트홈 기기부터 산업용 제어 소프트웨어, 모바일 애플리케이션까지 사실상 코드가 들어간 대부분의 제품이 적용 범위에 들어간다. 2026년 9월 11일 시행된 것은 CRA의 수많은 의무 중 딱 한 조각, 제14조의 취약점·사고 보고 의무다.
나머지 의무 — 설계 단계 보안 요건, 기술문서 작성, 적합성 평가 등 — 는 2027년 12월 11일부터 순차 적용된다. 즉 지금은 "전체 CRA 대응"이 아니라 "보고 체계 구축"에 집중해야 하는 시기라는 뜻이다. 우선순위를 잘못 잡으면 정작 발등에 불이 떨어진 24시간 신고 의무는 준비가 안 된 채로 2027년 대비 문서 작업에만 매달리는 상황이 벌어진다.
특히 눈여겨봐야 할 지점은 과징금 규모다. 중대 위반 시 최대 1,500만 유로 또는 전 세계 매출의 2.5% 중 더 높은 금액이 부과된다. 매출 규모가 큰 기업일수록 정액 상한보다 매출 비례 산정이 더 아플 수 있다는 뜻이라, 단순히 "1,500만 유로짜리 리스크"로 축소해서 보면 오산이다. 구체적인 산정 기준은 다음과 같다.
최대 1,500만 유로 또는 매출 2.5%
CRA 제14조 중대 위반 시 과징금 상한 · 출처: The Register
24시간 조기경보부터 최종보고까지 — 보고 의무 타임라인 총정리
CRA 제14조가 요구하는 보고는 한 번에 끝나지 않는다. 능동 악용되는 취약점이나 중대 사고를 인지한 시점부터 세 단계 시계가 동시에 돌아간다. 첫 단계인 24시간 조기경보는 상세 분석 없이도 "이런 사고가 발생했다"는 사실만으로 접수해야 하는 신속 보고다.
두 번째 단계인 72시간 상세통지에서는 사고 경위, 영향 범위, 잠정 대응 조치를 담아야 한다. 이후 시정조치가 가용해진 시점 기준 14일 이내, 중대 사고의 경우 1개월 이내에 최종보고를 제출해야 완결된다. 접수 창구, 담당 부서 지정, 보고서 양식 준비까지 미리 갖춰두지 않으면 24시간이라는 시간은 순식간에 지나간다.
| 보고 단계 | 기한 | 필수 내용 |
|---|---|---|
| 조기경보 | 인지 후 24시간 | 사고·악용 취약점 발생 사실 신고 |
| 상세통지 | 인지 후 72시간 | 경위·영향 범위·잠정 대응 조치 |
| 최종보고 | 시정조치 가용 후 14일(중대 사고 1개월) | 근본 원인·최종 시정조치 내역 |
ENISA 단일 신고 플랫폼(SRP) 활용법 — 신고 절차 단계별 가이드
모든 보고는 ENISA(유럽연합 사이버보안청)가 운영하는 단일 신고 플랫폼, SRP를 통해 접수한다. SRP는 CRA 제14조 시행일인 2026년 9월 11일에 맞춰 가동을 시작했고, 회원국 CSIRT와 정보가 공유되는 구조로 설계됐다. 제조사 입장에서는 국가별로 창구를 따로 찾을 필요 없이 단일 접수 경로만 확보하면 된다는 뜻이다.
실무 준비 절차는 대략 이렇다. 먼저 SRP 계정을 등록하고 사내 보고 책임자를 지정한다. 이후 취약점 대응 프로세스 안에 "인지 시점 기록" 단계를 넣어야 24시간 기산점을 놓치지 않는다. 마지막으로 조기경보·상세통지·최종보고 각 단계에 맞는 보고서 템플릿을 미리 준비해두면 실제 사고 발생 시 작성 시간을 크게 줄일 수 있다.
적용 대상과 과징금 — 우리 회사도 해당되는지 확인하는 법
CRA 제14조는 EU에 법인을 둔 기업만의 문제가 아니다. EU 시장에 디지털 요소 포함 제품을 유통하는 모든 제조사, 즉 비EU 소재 기업도 예외 없이 적용받는다. 여기에 더해 시행일 이후 새로 출시되는 제품뿐 아니라, 시행일 시점에 이미 EU 시장에 나와 있던 제품에도 소급 적용된다는 점이 실무에서 가장 자주 놓치는 부분이다.
즉 "이번에 신제품을 낼 계획이 없으니 우리는 해당 없다"는 판단은 틀렸을 가능성이 크다. 이미 판매 중인 소프트웨어·펌웨어·IoT 제품 라인업 전체를 대상으로 대상 여부를 다시 점검해야 한다. 신규 출시 제품과 기존 유통 제품 사이에 어떤 차이가 있는지 비교하면 다음과 같다.
| 구분 | 보고 의무 적용 | 주의할 점 |
|---|---|---|
| 신규 출시 제품 | 적용 | 출시 전 보고 체계 선반영 필요 |
| 기존 유통 제품 | 적용(소급) | 재고 소프트웨어까지 전수 점검 필요 |
| 비EU 소재 제조사 | 적용 | EU 내 대리인 지정 여부 확인 필요 |
제조사 유형별 대응 전략 비교 — 지금 무엇을 준비해야 하는가
대응 여력은 기업 규모에 따라 크게 갈린다. 대기업은 이미 보안 대응팀(CSIRT)과 법무·컴플라이언스 조직을 갖춘 경우가 많아 SRP 연동과 보고 프로세스 편입이 상대적으로 수월하다. 반면 중소 규모 제조사는 취약점 대응 자체를 외부 보안 업체에 의존하는 경우가 많아, 24시간이라는 촉박한 기한 안에 내부 의사결정과 외부 보고를 동시에 처리하는 체계부터 새로 짜야 한다.
소프트웨어 카테고리별로도 준비 방식이 다르다. 오픈소스 컴포넌트를 다수 포함한 제품이라면 업스트림 커뮤니티의 취약점 공지 속도와 자사 신고 기한 사이의 간극을 미리 시뮬레이션해봐야 한다. 임베디드·IoT 제품군은 펌웨어 업데이트 배포 자체에 시간이 걸리는 구조적 특성이 있어, "시정조치 가용 시점"의 정의를 사내 기준으로 명확히 세워두는 작업이 선행돼야 한다.
제조사 유형별 대응 전략 비교 — 지금 무엇을 준비해야 하는가 조회하기
실전 체크리스트 — 2027년 CRA 전면 시행 전 준비 로드맵
24시간 신고 의무는 시작일 뿐이다. 2027년 12월 11일부터는 설계 단계 보안 요건, 기술문서, 적합성 평가까지 CRA 전 영역이 발효된다. 지금 보고 체계를 세우는 과정에서 확보한 인지·기록·보고 프로세스는 2027년 전면 시행 대응의 뼈대가 된다는 점에서, 이번 준비를 일회성 대응이 아니라 장기 컴플라이언스 인프라 구축으로 접근하는 편이 유리하다.
당장 점검할 항목은 다음과 같다. SRP 계정과 보고 책임자 지정, 취약점 인지 시각 기록 체계, 조기경보·상세통지·최종보고 템플릿, EU 비소재 기업의 경우 EU 내 대리인 지정 여부까지 순서대로 확인하면 누락을 줄일 수 있다.
CRA 제14조 보고 의무는 유예 기간이 없다. EU 시장에 제품을 유통 중이라면 지금 바로 ENISA SRP 계정 등록 절차부터 조회해보는 것이 첫걸음이다.