EU Cyber Resilience Act — 사이버보안을 제품 책임으로 전환하는 법규의 실무 영향

핵심 개념: 보안 책임을 상류로 이동

• 기존 모델: 사고 터진 후 누가 피해 봤나, 누가 패치 안 했나를 따지는 구조
• CRA 모델: 애초에 왜 불안전한 제품이 시장에 나왔는지를 묻는 구조
  • 제조사/개발자/수입업자/유통업자에게 책임 부과
  • 제품이 secure by design, secure by default여야 함
• 규정 번호: Regulation (EU) 2024/2847

타임라인

• 2024년 12월 10일: 발효
• 2026년 9월 11일: 보고 의무 시작
• 2027년 12월 11일: 주요 의무 전면 적용
• 2026년 3월 3일: EU 집행위원회가 실무 적용 가이던스 초안 발표
  • 적용 범위, 지원 기간, FOSS, 타 EU 규정과의 중복 등 다룸

적용 대상이 생각보다 넓음

• "디지털 요소가 포함된 제품" 전체가 대상
  • 장난감, 가전, 의료기기, 산업장비, 라우터, 농업장비, 차량 등
• 장난감 회사도 해당됨: 연결성, 마이크, 카메라, 앱, 클라우드가 있으면 사이버보안이 제품 안전 항목에 포함
• 칩 내장 제품: "모듈은 외부에서 구매한 것"이라는 변명이 안 통함
  • 제조사가 적합성, 취약점 처리, 지원 책임을 져야 함
  • 공급망 불투명성이 기술적 불편이 아닌 컴플라이언스 문제가 됨

기업이 지금 해야 할 것

• SBOM(Software Bill of Materials) 구축
• 보안 개발 프로세스(SDL) 의무화
  • 안전한 제품이라도 적합성을 증명 못 하면 규제 문제가 됨
• 패칭 인프라 확보 및 지원 기간 정의
• 취약점 수집/분류 프로세스 마련 — 보고 의무가 2027 전에 시작됨
• 공급업체 계약 재검토 — 미지원/불투명 컴포넌트가 법적 리스크로 전환
• 제품 사이버보안 오너십 명확화
  • 엔지니어링, 제품, 법무, 컴플라이언스, 보안, 조달, 경영진 모두 조각을 갖고 있어서 명시적으로 지정 안 하면 아무도 안 함

AI와의 교차점

• AI 탑재 제품은 AI Act과 CRA 둘 다 충족해야 함
  • AI 기능 추가 = 공격 표면 추가 + 모델 업데이트 문제 + 데이터 무결성 문제
• AI를 컴플라이언스 도구로 활용 가능: 코드 리뷰, 취약점 우선순위 지정, SBOM 분석, 이상 탐지
  • 단, AI 생성 코드의 보안 책임은 여전히 사람이 져야 함

미국 기업도 해당됨

• EU 시장에 제품을 판매하면 본사 위치 무관하게 적용
• GDPR처럼 글로벌 기준으로 상향 평준화될 가능성 높음
  • EU용/비EU용 제품을 따로 만들기보다 전체를 높은 기준에 맞추게 될 것

보안 전문가 역할의 변화

• 기존: 인시던트 대응, 감사, 엔터프라이즈 방어
• CRA 이후: 제품 아키텍트, 라이프사이클 어드바이저, 엔지니어링-법무 간 번역자
  • secure default 정의, 위협 모델 평가, 공급업체 리스크 평가, 보고 경로 설계, 적합성 문서화

---

기술 맥락

• CRA는 SBOM 의무화, 보안 개발 라이프사이클, 취약점 공시/보고 체계를 법적으로 강제하는 수평적 규제임. 기존에는 의료기기·산업제어 등 섹터별 규제만 있었으나, CRA는 "디지털 요소가 있는 제품" 전체를 포괄함
• AI Act과의 교차 적용이 핵심 복잡성 요인으로, AI 탑재 제품은 두 규제를 동시에 충족해야 하는 이중 컴플라이언스 부담이 생김. 특히 모델 업데이트에 따른 보안 표면 변화 관리가 새로운 과제임