유럽연합 집행위원회가 ‘디지털 요소가 포함된 제품’에 기본 사이버보안 요건을 부과하는 규정안을 제안함. 사물인터넷 기기와 소프트웨어의 취약점, 보안 업데이트 부재, 제품 수명주기 전반의 책임 공백을 해소하기 위한 최초의 범용 EU 입법 구상임.
유럽연합 사이버 복원력법(Cyber Resilience Act, CRA)은 2024년 제정된 규정(EU) 2024/2847로, 스마트홈 기기·라우터·소프트웨어 등 디지털 요소가 포함된 제품의 보안 요건을 공통으로 정한 법률임. 제조사가 기획·설계·판매 단계뿐 아니라 제품 지원 기간 동안 취약점 처리, 보안 업데이트, 취약점·중대 사고 신고 등에 책임을 지도록 하는 것이 핵심임. 제품 유형에 따라 적합성 평가와 CE 표시가 요구되며 EU 시장에서 판매되는 다양한 디지털 제품에 적용될 수 있음.
2022년 법안 제안과 2023년 정치적 합의, 2024년 채택·발효를 거쳐 단계적으로 적용됨. 적합성 평가기관 관련 규정은 2026년 6월, 취약점 및 중대 사고 신고 의무는 2026년 9월 11일 적용됐으며, 주요 제품 보안 의무의 전면 적용은 2027년 12월 11일 예정됨. 소비자·기업 보호와 공급망 전반의 보안 책임을 강화한다는 의의와 함께, 중소 개발사의 준수 비용, 오픈소스 생태계의 적용범위, 국제 제품 공급망에 미치는 영향 등이 중요한 쟁점임.
8 타임라인
8 관련 링크
추가 정보
적용 대상과 핵심 의무
디지털 요소가 포함된 하드웨어·소프트웨어를 EU 시장에 공급하는 제조사가 주요 규제 대상임. 이미 다른 EU 부문별 보안 법률로 충분히 규율되는 제품 등에는 일부 적용 제외·조정 규정이 있음. 공개 소스코드라는 사실만으로 모든 개발자가 동일한 제조사 의무를 부담하는 것은 아니며, 상업적 제품 공급과 오픈소스 소프트웨어 스튜어드의 의무를 구별함.
단계적 시행과 쟁점
2024년 법령이 발효됐지만 모든 의무가 즉시 적용된 것은 아님. 취약점 신고 의무가 2026년 9월 먼저 적용되고 주요 제품 보안·적합성 요건은 2027년 12월 적용됨. 조기 취약점 공개와 신고 통합 플랫폼의 보안, 제조사의 업데이트 지원 기간, 소프트웨어 개발사의 규제 부담이 핵심 논점임.
수록 이벤트 분포 점을 선택하면 해당 이벤트로 이동할 수 있습니다.
2022년 2026년
유럽연합 집행위원회 5건
규정(EU) 2024/2847이 발효됨. 법령의 발효와 모든 실질 의무의 적용은 구별되며, 적합성 평가기관 통지·사고 신고 의무가 먼저 단계적으로 적용되고 일반 제품 보안 의무의 전면 적용은 2027년 12월 11일로 예정됨.
2026-06-11 milestone
EU 사이버 복원력법, 적합성 평가기관 통지 규정 적용 개시
사이버 복원력법에 따라 회원국의 적합성 평가기관 통지에 관한 조항이 적용되기 시작함. 제품 유형에 따라 독립된 제삼자 적합성 평가가 필요한 경우를 준비하는 단계로, 보안 심사를 수행할 기관을 지정·통지하는 제도적 기반을 마련함.
2026-07-27 milestone
유럽연합 집행위원회, 사이버 복원력법 첫 이행 지침 발표
집행위원회가 제조사·개발자와 중소기업의 사이버 복원력법 이행을 지원하기 위한 실무 지침을 공개함. 제품의 적용범위와 컴플라이언스 준비에 관한 안내가 제공되며, 2026년 신고 의무와 2027년 전면 적용을 앞둔 이행 준비가 본격화됨.
디지털 요소가 포함된 제품 제조사에 대해 적극적으로 악용된 취약점 및 보안에 영향을 주는 중대 사고의 신고 의무가 적용되기 시작함. 인지 후 24시간 이내 초기 경고와 72시간 이내 후속 통지가 핵심이며, 단일 신고 플랫폼을 통한 당국 통지와 사후 보고 절차를 규정함. 모든 제품의 일반 보안 의무가 이 날 전면 발효된 것은 아님.
유럽연합 3건
2023-11-30 milestone
EU 이사회·유럽의회, 사이버 복원력법 잠정 합의
EU 이사회 의장국과 유럽의회 협상단이 제품 보안 의무와 취약점 대응을 규율하는 법안에 잠정 합의함. 제품 출시 시점에만 보안을 평가하는 것을 넘어 취약점 보고·수정과 제조사의 사후 지원에 책임을 부여하는 방향의 정치적 절충이 이뤄짐.
2024-10-10 milestone
EU 이사회, 사이버 복원력법 최종 승인
EU 이사회가 디지털 요소를 포함한 제품의 사이버보안 요건을 규율하는 법률을 공식 채택함. 연결 카메라·장난감·스마트가전·소프트웨어 등 광범위한 제품의 설계·판매·보안 유지 과정에 제조사 책임을 부과하는 유럽 단일시장 규제 전환점임.
유럽의회와 EU 이사회가 2024년 10월 23일자로 규정(EU) 2024/2847을 제정함. 법령은 11월 20일 유럽연합 관보에 공표됐으며, 사이버보안 기본 요건과 취약점 처리·업데이트 지원, 적합성 평가 및 시장 감독 체계를 규정함.
갱신 2026-10-29