2026.9.11 제조업체 보고 의무 — 지금 준비할 것

한눈에

언제부터

2026.9.11 — CRA 최초 의무
(전면 적용 2027.12.11보다 15개월 앞섬)

누가

EU 시장에 출시한 디지털 요소 제품(PDE) 제조업체

무엇을

① 적극 악용된 취약점 ② 중대 사고

시한

조기경보 24시간 · 통지 72시간 · 최종 14일/1개월

어디에

담당 CSIRT + ENISA 단일 보고 플랫폼(SRP)
— 9.11 가동 예정

위반 시

최대 €15M 또는 매출 2.5% · 시장 철수

01왜 “지금” 인가

CRA의 대부분 의무는 2027년 12월 전면 적용됩니다. 그런데 제조업체 보고 의무(제14조)만 15개월 앞선 2026년 9월 11일에 먼저 시작됩니다 — 기업이 가장 먼저 마주하는 실질 의무입니다. 게다가 24·72시간은 영업일이 아니라 ‘달력 시간’이라, 사고가 터진 뒤엔 준비할 수 없습니다. 그래서 인증·적합성보다 보고 체계를 먼저 세우는 것이 순서입니다.

02무엇을, 언제까지

보고는 두 가지 사건에서 발생합니다 — ① 적극 악용된 취약점 ② 중대(severe) 사고. 인지 즉시 담당 CSIRT와 ENISA에 단일 보고 플랫폼(SRP)으로 한 번 제출하며, 시한은 3단계입니다.³

단계	적극 악용된 취약점	중대 사고
조기 경보	24시간 이내	24시간 이내
통지	72시간 이내	72시간 이내
최종 보고	시정 가용 후 14일 이내	통지 후 1개월 이내

03놓치기 쉬운 세 가지

준비는 생각보다 까다롭습니다. 특히 이 세 가지에서 막힙니다.

① 창구(SRP)는 9월 11일에 열립니다 — 그 전엔 ‘등록’ 자체가 불가합니다(플랫폼 URL이 개시일에 공개). EU Login 계정은 지금 만들 수 있지만 그것만으론 제출 권한이 아니고, ENISA도 “제출이 필요할 때 등록”을 권합니다. 그래서 지금 할 일은 등록이 아니라 담당자 지정 · 등록·검증 ‘계획’ · 보고 체계를 세우는 것입니다 — 9월 11일 이후 첫 사고에서 등록·검증·제출을 24시간 안에 몰아서 하지 않으려면요.¹

② 24시간은 ‘반응형’으로 불가능 — 당직·중대성 판정 권한·승인 라인이 사전에 서 있어야 시한을 맞춥니다. 엑셀·메일은 마감을 알려주지 않습니다.

③ 어디로 내는지 — 여러 곳이 아니라 ‘하나’ — 판매국이 여러 개여도 제출은 하나의 조정(coordinating) CSIRT로 하며, 그 나라는 제품·법인 구조가 결정합니다.

그런데 이 세 가지의 구체적인 답 — 우리 제품이 대상인지, 어느 등급·어느 CSIRT인지, 지금 무엇을 어디까지 준비해야 하는지 — 은 제품과 법인 구조마다 다릅니다.

04위반하면

제재 (제64조)

필수 요구사항 및 제13·14조 의무 위반 시 최대 €15,000,000 또는 전세계 연매출의 2.5% 중 높은 금액의 과징금, 그리고 시장감시당국의 시정·회수·시장 철수 명령.² 가장 빠른 마감에 달력시간 시한이라, 리스크가 실질적입니다.

05그래서, 최소한 이 정도는

9월 11일 전에 갖춰야 할 최소 항목입니다. 각 항목을 우리 제품·구조에 맞춰 ‘어디까지 됐는지’ 점검하는 것이 실제 관건입니다.

·담당 CSIRT 매핑·당국용 보안 연락처·제품·EU 판매국 목록·24시간 당직 체계·EU Login·SRP 담당자 지정·모의 보고 훈련

그런데 이걸 ‘실무’로 옮기면 — 24·72시간 시계는 달력 시간으로 돌고, 제출은 영어이며, 판정·승인은 사람이 하고, 증적은 10년을 갑니다. 엑셀·메일·담당자의 기억으로 버티다 진짜 사고가 터진 순간, 흩어진 것들이 그대로 벽이 됩니다.

CRA 보고 의무를 하나의 시스템으로 — 시한 추적 · 단계별 보고 작성 · 역할과 결재선 · 10년 증적 보관까지.

cradle.acelabs.co.kr →

보고의 책임 주체는 언제나 제조사입니다. CRAdle은 그 제조사가 스스로 감당하도록 돕는 도구입니다.

먼저, 우리 회사는 지금 어디까지 준비됐을까?

대상 여부·등급 판정부터 보고 체계·당직·담당자 점검까지 — ACE LABS가 현황 진단부터 함께 봅니다. (인증 전 준비도·갭 진단 자문)

CRA 자가진단 시작 →보고 체계 진단 문의

출처 · 근거

1SRP 가동 예정일(2026-09-11)·사전 테스트 및 운영 상태 — European Commission, “CRA — Reporting obligations” (EC) · ENISA, “Single Reporting Platform (SRP)” (ENISA, 최신 상태 확인처). 2026년 중반 기준 아직 정식 가동 전.
2과징금·제재 — Regulation (EU) 2024/2847 제64조 (EUR-Lex)
3보고 트리거·시한 — 동 규정 제14·16조 (EUR-Lex)

본 글은 공개 법령 Regulation (EU) 2024/2847(사이버복원력법) 제14·16·64조와 European Commission·ENISA의 공개 자료를 바탕으로 한 일반 정보이며, 법적 자문이나 적합성 판단이 아닙니다. 적용 여부·구체적 의무와 시한, SRP 정식 가동 시점·세부 운영은 원문 및 각 기관의 최신 공식 안내와 개별 상황 검토가 필요합니다. ACE LABS(주식회사 에이스랩스)는 인증기관이 아닌 인증 전(前) 준비도·갭 진단 독립 자문사입니다.