한눈에
01왜 '조직 전체'의 일인가
CRA는 제품 하나를 고치는 게 아니라, 기획 단계부터 사후 지원까지 제품 생애주기 전체에 보안을 요구합니다(Annex I). 그런데 대부분 기업의 개발 프로세스는 기능·납기 중심으로 설계돼 있어, '사이버보안'이라는 단계 자체가 존재하지 않습니다. 그래서 CRA 준비는 한 부서의 과제가 아니라, 개발·품질·구매·법무·인증·서비스가 각자 보안 책임을 나눠 갖는 조직의 문제입니다.
02제품 생애주기 전 단계 — 무엇이 필요한가
각 단계마다 새로 갖춰야 할 보안 업무가 생깁니다. 범위만 짚으면 이렇습니다.
※ 각 항목의 범위·깊이는 제품 분류(Default/Important/Critical)에 따라 가감됩니다.
03진짜 어려움은 '무엇'이 아니라 '누가'
목록을 아는 것보다 어려운 건 "이 업무를 누가 맡느냐"(R&R)입니다. 대부분의 새 보안 업무는 기존 팀의 '본연 역할'이 아니어서, 부서 간 경계가 모호해집니다.
여기서 책임 공백(사각지대)이나 중복이 생기고, 정작 사고가 났을 때 "누가 EU에 보고하는가"가 비어 있게 됩니다. 조직 준비의 성패는 사실상 이 R&R을 어떻게 정의하느냐에 달려 있습니다.
04그래서 — 우리 조직은 지금 어디쯤?
· 정답이 없음 — 무엇이 비었고 누가 맡을지는 조직·제품마다 완전히 다릅니다.
그래서 첫걸음은 '완벽한 준비'를 목표로 삼는 게 아니라, 지금 우리 조직의 역량과 R&R 갭을 정확히 진단하는 것입니다. 그 진단과 설계는 규제·보안 전문가와 함께할 때 가장 빠르고 확실합니다.
우리 조직은 지금 어디까지, 무엇이 비어 있나?
적용 여부·등급 판정부터 생애주기 보안 업무·R&R 설계까지 — ACE LABS가 준비도·갭 진단부터 체계 구축, 인증 취득 지원까지 함께합니다. (인증기관이 아닌 인증 전 준비도·갭 진단 독립 자문)
출처 · 근거
제품 요구·의무 근거 — Regulation (EU) 2024/2847 제13·14·28·30·31·32조 · Annex I/II/V/VII/VIII (EUR-Lex) · European Commission (EC)
본 글은 공개 법령 Regulation (EU) 2024/2847(사이버복원력법)과 European Commission의 공개 자료를 바탕으로 한 일반 정보이며, 법적 자문이나 적합성 판단이 아닙니다. 적용 여부·구체적 의무·조직별 R&R은 원문과 개별 상황에 대한 검토가 필요합니다. ACE LABS(주식회사 에이스랩스)는 인증기관이 아닌 인증 전(前) 준비도·갭 진단 독립 자문사입니다.