|
|
보고 의무 시행 중 · 2026-09-11~
|
CRA Watch
공식 원문으로 확인한 월간 CRA 브리핑 · 2호 · 2026-09-30
|
| |
|
이번 호 한눈에
9월 11일 CRA 보고 의무가 시작되면서 유럽연합 사이버보안청(ENISA)의 신고 플랫폼(SRP)도 문을 열었습니다. 이번 달 꼭 알아 둘 세 가지입니다.
| 1 | SRP 화면의 72시간 마감은 법이 정한 기한과 계산 방식이 다릅니다.
법은 사고나 취약점 악용을 알게 된 때부터 72시간을 세지만, 화면은 조기 경보를 제출한 때부터 48시간을 셉니다. 조기 경보를 24시간 안에 냈다면 화면의 마감이 법정 기한과 같거나 더 빠릅니다.→ 두 기한 중 더 빠른 쪽에 맞춰 제출하고, 문제를 알게 된 시각은 회사에서 따로 기록해 두세요. |
| 2 | 담당자를 여러 명 두려면 신고처의 검증을 먼저 받아야 합니다.
예비 담당자를 추가하려면 먼저 신고처(각국 CSIRT)가 대표 담당자를 우리 회사 담당자로 검증(Verified)해 줘야 합니다. 검증에 걸리는 시간은 신고처마다 다르고, 등록 자체는 신고할 일이 생겼을 때 해도 됩니다.→ 휴가나 퇴사에 대비해 담당자를 여러 명 두려면 미리 등록해 검증을 받아 두세요. |
| 3 | 어느 나라에 신고할지는 법이 정한 순서로 정해집니다.
EU에 주 사업장이 있으면 그 나라이고, 없으면 공식 대리인·수입자·유통자가 설립된 나라를 차례로 따진 뒤 마지막으로 사용자가 가장 많은 나라를 봅니다(CRA 제14조 7항). 잘못 고르면 신고가 무효 처리되어 다시 내야 할 수 있습니다.→ 플랫폼에 등록하기 전에 우리 회사의 신고처를 확인하고, 그 근거를 적어 두세요. |
|
|
|
24시간
조기 경보
|
72시간
상세 통지
|
최종 보고
취약점: 시정·완화 조치가 나온 날부터 14일 이내
사고: 72시간 통지 제출 후 1개월 이내
|
24·72시간은 알게 된 순간부터 돕니다(CRA 제14조). 플랫폼 화면은 영어로만 제공됩니다.
|
|
SRP 화면의 72시간 마감 시각을 그대로 믿으면 안 됩니다
플랫폼 화면은 72시간 상세 통지의 마감을 «알게 된 시각 + 72시간»이 아니라 «조기 경보를 낸 시각 + 48시간»으로 표시합니다. ENISA가 FAQ에서 직접 밝힌 내용이고, 고치겠다고 했지만 시점은 정하지 않았습니다.
그래서 법정 72시간이 지나기 전에 화면에 «기한 초과»가 뜰 수 있고, ENISA는 이 표시가 법정 기한을 지킬 책임을 대신하지 않는다고 적었습니다.
지금 할 일
| – | 사고나 취약점 악용을 «알게 된 시각»을 사내 기록에 따로 남기세요. 법정 기한은 이 시각부터 셉니다. |
| – | 72시간 통지는 «알게 된 뒤 72시간»과 «조기 경보를 낸 뒤 48시간» 중 먼저 오는 시각에 맞추세요. 아일랜드 신고처는 뒤쪽을 의무로 적었습니다(아래 주요 소식). |
| – | 취약점 최종 보고에는 화면 카운터가 아직 없습니다. «시정·완화 조치가 나온 날부터 14일»은 사내에서 계산하세요. |
CRAdle 사용자라면 이 변화가 이미 화면에 들어와 있습니다 — ENISA 포털 바로가기, 새 «악용된 취약점의 발생 일시» 칸, 예비 담당자 초청 안내, 차례·마감 알림(이메일·문자·카카오 알림톡).
cradle.acelabs.co.kr
출처: ENISA SRP FAQ(2026-09-17판) Q26 · 아일랜드 NCSC 지침(2026-08-31) · CRA 제14조 — 원문 대조 2026-09-28
|
|
플랫폼에서 신고를 입력하는 사람을 ENISA는 «지정 담당자(AR)»라 부릅니다. CRA 제18조의 «공식 대리인»과는 다른 플랫폼 용어로, 회사를 대신해 로그인하고 입력하는 실무 담당자입니다. 제조사마다 대표 담당자 1명과 예비 담당자 최대 20명을 둘 수 있습니다. ENISA FAQ(9월 17일판, 32문항)에서 자주 묻는 것을 추렸습니다.
다른 담당자가 먼저 낸 신고를 이어서 쓸 수 있나요?
→ 네. 같은 제조사의 담당자라면 누가 냈든 열람·갱신할 수 있습니다. 단 초안은 쓴 사람에게만 보이니, 제출 전 내용은 사내 양식에 쓰세요. 실제 화면 동작은 확인하지 못했습니다.
예비 담당자는 언제 초청할 수 있나요?
→ 대표 담당자의 제조사 연결이 «검증됨(Verified)»이 된 뒤에만 가능합니다. 연결을 스스로 해제하는 것도 검증 뒤에야 되고, 제조사 이름을 잘못 적었다면 다시 등록하면 됩니다.
등록은 미리 해야 하나요?
→ ENISA는 신고가 필요할 때 등록하라고 권합니다. 등록은 몇 분이면 되고, 검증 전인 담당자도 그 제조사 명의로 20건까지 낼 수 있습니다. 다만 담당자를 둘 이상 두려면 미리 해 두는 편이 유리합니다.
신고처를 잘못 고르면요?
→ 신고가 무효 처리되고 올바른 신고처에 다시 제출해야 할 수 있습니다.
9월 11일 전에 알았던 악용도 신고하나요?
→ 아니요. 다만 9월 11일 이후에 알게 됐다면 오래된 취약점이라도 신고 대상입니다.
플랫폼이 멈추면 이메일로 대신하나요?
→ 아니요. 급하면 신고처에 직접 연락할 수 있지만, 복구되면 플랫폼으로 제출해야 합니다.
화면은 한국어로도 나오나요?
→ 아니요, 영어뿐입니다.
출처: ENISA SRP FAQ(2026-09-17판) Q9·Q13·Q18·Q24·Q25·Q32 · ENISA AR User Manual v1.1 4.6.1 · 참고: ENISA «AR Interface functions»(2026-09-12판)은 이어받기를 다르게 적고 있음 — 원문 대조 2026-09-28
|
🇮🇪 아일랜드 신고처, CRA 보고 지침 공개 8/31 · 9/11
아일랜드 국가사이버보안센터(NCSC)가 CRA 보고 의무 지침을 냈습니다. 조기 경보를 냈다면 상세 통지는 그로부터 48시간 안에 제출해야 하고, 플랫폼 사전 등록은 필요 없다고 적었습니다.
→ 아일랜드가 신고처라면 72시간 통지 마감을 «조기 경보 + 48시간»으로 잡으세요.
출처: 아일랜드 NCSC «Guidelines on reporting obligations under Article 14 of the CRA»(2026-08-31) · 지침 스스로 준수 근거로 인용할 수 없다고 밝힘 — 원문 대조 2026-09-25
📘 집행위원회 CRA 구현 FAQ 1.4판 9/4
ENISA가 보고 의무 해석의 근거로 가리키는 집행위원회 FAQ가 개정됐습니다(오픈소스 관리자 항목 추가). 2027년 12월 11일 전에 출시한 제품도 신고 대상이고(다른 의무는 CRA상 요구되지 않지만 사용자 통지 의무는 남음), 부품 취약점은 자사 제품에서 악용될 수 없으면 의무 신고 대상이 아닙니다(부품 제조사에 알릴 의무는 남음).
→ 이미 판매한 제품도 신고 대응 범위에 넣으세요.
출처: European Commission «FAQs on the Cyber Resilience Act» v1.4(2026-09-04) 5.3·5.4·5.5 · CRA 제14조 8항·제13조 6항 · 문서 스스로 집행위 공식 입장 아님을 밝힘 — 원문 대조 2026-09-24
📍 27개 회원국 신고처 목록 공개 9/4 · 9/10
ENISA가 27개 회원국 신고처(조정 CSIRT) 연락처 목록을 공개했습니다. 신고처는 EU 주 사업장이 있는 나라이고, 없으면 ① 가장 많은 제품을 대리하는 공식 대리인이 설립된 나라 ② 가장 많은 제품을 출시하는 수입자가 설립된 나라 ③ 가장 많은 제품을 공급하는 유통자가 설립된 나라 ④ 사용자가 가장 많은 나라 순으로 정합니다.
→ 판정 결과와 근거를 문서로 남기세요.
출처: ENISA «List of CSIRTs Designated as Coordinators»(2026-09-10 갱신) · CRA 제14조 7항 · ENISA SRP FAQ(2026-09-17판) Q18 — 원문 대조 2026-09-28
🗂️ 용어집에 칸 하나 추가 — 판 번호는 그대로 9/25
ENISA 용어집이 판 번호(1.3)는 그대로 둔 채 «악용된 취약점의 발생 일시(UTC)» 칸을 넣었습니다. 72시간 통지에서 필수(조기 경보는 선택)이고 «알게 된 시각»과는 다른 값이지만, ENISA 예시가 «취약점이 존재하기 시작한 시점»으로도 설명해 무엇을 적을지는 아직 분명하지 않습니다.
→ 사고 기록에 «악용·취약점 발생 시점» 항목을 두세요.
출처: ENISA SRP Glossary Version 1.3(Last update 2026-09-25, 2026-09-10판과 대조) · 실제 입력 화면 반영은 미확인 — 원문 대조 2026-09-28
|
|
조화표준이 EU 관보에 실리면, 그 표준을 따른 제품은 CRA 보안 요구(부속서 I)를 충족한 것으로 추정받습니다.
| 관보에 실린 CRA 조화표준 |
🔴 0건 |
부속서 I를 직접 대조해 평가 |
| 피지정기관(제3자 적합성 평가) 목록 |
🔴 아직 없음 |
2026년 12월 11일까지 충분한 수 확보 노력(제35조 2항) |
| 수평 표준 FprEN 40000-1-1·1-2 |
🟡 승인 단계(FprEN) |
다음 단계 2026-10-01 예정 |
| 취약점 처리 표준 prEN 40000-1-3 |
🟡 승인 단계 |
— |
→ 조화표준 전에도 요구 내용은 확정돼 있습니다. 리스크 평가·취약점 처리·문서화는 지금 준비할 수 있습니다.
출처: EC «CRA standardisation»·«CRA conformity assessment» 페이지(2026-07-31 갱신, 2026-09-28 확인) · CEN/CLC/JTC 13/WG 9 작업 프로그램(2026-09-03 확인) · CRA 제35조 2항
|
|
다음 호는 다음 달에 이어집니다 — 소식이 없으면 보내지 않습니다.
이 브리핑이 유용하셨다면 동료에게 전달해 주세요.
|
|
귀사의 보고 대응은 어디까지 준비되셨습니까?
ENISA 공식 모델 기반 30문항 자가진단 — 무료, 약 8~10분.
|
|
|
|
|
|
CRA Watch는 ACE LABS(주식회사 에이스랩스)가 만듭니다.
독립 자문사로서 한국 제조사의 CRA 대응을 지원하며, 신고·시한 관리·ENISA 제출 준비를 하나의 시스템에 담은 CRAdle을 운영합니다.
보고의 법적 주체는 제조사이고, ACE LABS는 그 준비와 제출을 지원합니다.
CRAdle 살펴보기 ·
ACE LABS 소개
|
|
|
이 페이지는 이메일로 발송되는 CRA Watch의 웹 게시판입니다.
본 뉴스레터는 일반적인 정보 제공을 위한 것으로, 법률 자문이 아닙니다.
내용은 발행일 기준 공식 출처(EUR-Lex·EC·ENISA·CEN 공식 DB·각국 CSIRT)를 직접 확인해 작성했습니다.
ACE LABS(주식회사 에이스랩스) · 대표 노민석 · 사업자등록번호 273-81-03550
서울특별시 영등포구 국제금융로2길 17, 4층 444호 (여의도동, 씨티프라자) · ceo@acelabs.co.kr · cradle.acelabs.co.kr
© 2026 ACE LABS. All rights reserved.
|
