유럽연합 사이버 복원력법(Cyber Resilience Act, CRA)은 2024년 제정된 규정(EU) 2024/2847로, 스마트홈 기기·라우터·소프트웨어 등 디지털 요소가 포함된 제품의 보안 요건을 공통으로 정한 법률임. 제조사가 기획·설계·판매 단계뿐 아니라 제품 지원 기간 동안 취약점 처리, 보안 업데이트, 취약점·중대 사고 신고 등에 책임을 지도록 하는 것이 핵심임. 제품 유형에 따라 적합성 평가와 CE 표시가 요구되며 EU 시장에서 판매되는 다양한 디지털 제품에 적용될 수 있음.
2022년 법안 제안과 2023년 정치적 합의, 2024년 채택·발효를 거쳐 단계적으로 적용됨. 적합성 평가기관 관련 규정은 2026년 6월, 취약점 및 중대 사고 신고 의무는 2026년 9월 11일 적용됐으며, 주요 제품 보안 의무의 전면 적용은 2027년 12월 11일 예정됨. 소비자·기업 보호와 공급망 전반의 보안 책임을 강화한다는 의의와 함께, 중소 개발사의 준수 비용, 오픈소스 생태계의 적용범위, 국제 제품 공급망에 미치는 영향 등이 중요한 쟁점임.
추가 정보
적용 대상과 핵심 의무
디지털 요소가 포함된 하드웨어·소프트웨어를 EU 시장에 공급하는 제조사가 주요 규제 대상임. 이미 다른 EU 부문별 보안 법률로 충분히 규율되는 제품 등에는 일부 적용 제외·조정 규정이 있음. 공개 소스코드라는 사실만으로 모든 개발자가 동일한 제조사 의무를 부담하는 것은 아니며, 상업적 제품 공급과 오픈소스 소프트웨어 스튜어드의 의무를 구별함.
단계적 시행과 쟁점
2024년 법령이 발효됐지만 모든 의무가 즉시 적용된 것은 아님. 취약점 신고 의무가 2026년 9월 먼저 적용되고 주요 제품 보안·적합성 요건은 2027년 12월 적용됨. 조기 취약점 공개와 신고 통합 플랫폼의 보안, 제조사의 업데이트 지원 기간, 소프트웨어 개발사의 규제 부담이 핵심 논점임.