사이버 복원력법(CRA): 귀하의 제품에 적용됩니까?
사이버 복원력법은 EU에서 판매되는 하드웨어와 소프트웨어 제품에 사이버보안 요구사항을 정합니다. 보고 의무는 2026년 9월 11일부터, 나머지는 2027년 12월 11일부터 적용됩니다.
2026년 10월 7일에 출처와 대조하여 확인
규정 (EU) 2024/2847(사이버 복원력법)
2026년 10월 7일에 출처와 대조하여 확인
귀하의 제품은 어느 CRA 등급입니까?
구성 요소 중 하나가 아니라 제품 자체가 주로 하는 일에 맞는 범주를 고르십시오.
범주를 고르면 등급과 이용할 수 있는 적합성 평가 경로가 표시됩니다.
규정 (EU) 2024/2847 부속서 III, IV 및 제7조, 제8조, 제32조, 이행규정 (EU) 2025/2392의 기술적 설명. 2026년 10월 7일 확인.
기술 파일 및 인증기관 대비 상태
이미 갖춘 항목에 표시하면 부족한 부분과 각 부속서 근거가 표시됩니다. 기술 파일은 모든 경로에 필요하며, 인증기관은 아래 신청 항목도 요구합니다.
13개 중 0개 준비됨
아직 부족한 항목:
- 일반 설명: 의도된 목적, 적합성에 영향을 주는 소프트웨어 버전, 하드웨어의 사진이나 그림, 부속서 II의 사용자 정보 (Annex VII(1))
- 해당하는 경우 도면과 시스템 아키텍처를 포함한 설계 및 개발 정보 (Annex VII(2)(a))
- 취약점 처리: 소프트웨어 자재 명세서(SBOM), 조정된 취약점 공개 정책, 취약점 신고 연락처, 업데이트를 안전하게 배포하는 방법 (Annex VII(2)(b))
- 생산 및 모니터링 절차와 그 검증 방법 (Annex VII(2)(c))
- 부속서 I 제1부의 각 필수 요건이 어떻게 적용되는지 보여 주는 사이버보안 위험 평가(제13조) (Annex VII(3))
- 지원 기간을 정하는 데 사용한 정보(제13조 제8항) (Annex VII(4))
- 전부 또는 일부 적용한 조화 표준, 공통 사양 또는 인증 체계, 또는 대신 사용한 해결책 (Annex VII(5))
- 제품과 취약점 처리 절차의 적합성을 검증하는 시험 보고서 (Annex VII(6))
- EU 적합성 선언서 사본 (Annex VII(7))
- 제조자의 이름과 주소, 해당하는 경우 수권대리인의 이름과 주소 (Annex VIII, Part II, 3.1)
- 동일한 신청을 다른 인증기관에 제출하지 않았다는 서면 선언 (Annex VIII, Part II, 3.2)
- 필요한 경우 시험 결과를 포함한, 설계 및 취약점 처리 해결책에 대한 근거 자료 (Annex VIII, Part II, 3.4)
- 인증기관이 검사할 제품의 핵심 부품 견본 하나 이상 (Annex VIII, Part II, 2)
규정 (EU) 2024/2847 부속서 VII와 부속서 VIII 기준입니다. 의무는 2027년 12월 11일부터 적용되며, 인증기관은 2026년 6월 11일부터 지정될 수 있습니다(제71조 제2항). 인증기관이 더 많은 자료를 요구할 수 있습니다.
대상 제품
디지털 요소가 있는 제품: 원격 데이터 처리를 포함한 하드웨어와 소프트웨어 제품으로, 의도된 사용이나 합리적으로 예견 가능한 사용에 기기나 네트워크와의 데이터 연결이 포함되는 것입니다. 스마트홈 기기, 라우터, 앱, 연결형 완구와 많은 산업용 구성품이 대표적인 예입니다.
제외 대상
이미 분야별 사이버보안 규칙이 적용되는 제품: 의료기기와 체외진단기기, 자동차, 민간 항공 및 선박 장비. 국가 안보나 국방만을 위해 개발된 제품도 제외되며, 상업 활동 과정에서 공급되지 않는 무료 오픈소스 소프트웨어도 마찬가지입니다.
날짜
| 날짜 | 적용 내용 |
|---|---|
| 2026년 6월 11일 | 적합성 평가 기관에 관한 규칙. |
| 2026년 9월 11일 | 제조자는 실제로 악용되는 취약점과 중대한 사고를 보고: 24시간 이내 조기 경보, 72시간 이내 통보, 이후 최종 보고서. |
| 2027년 12월 11일 | 그 밖의 모든 요구사항: 보안 설계, 취약점 처리, 적합성 평가, CE 마킹, 기술 문서. |
보고 의무의 자세한 내용: 기한, 단일 보고 플랫폼, 이용할 CSIRT. CRA 보고를 보십시오.
제조자에게 요구하는 것
- 설계와 생산에서 필수 사이버보안 요구사항 충족,
- 지원 기간 동안 취약점 처리, 일반적으로 최소 5년,
- 적합성 평가: 대부분의 제품은 자체 평가, 중요 제품과 핵심 제품은 조화 표준 또는 제3자 기관,
- 기술 문서, EU 적합성 선언서와 CE 마킹.
유료 CRA 문서 키트가 기술 문서, 사이버보안 위험 평가, 판매 국가 언어로 된 EU 적합성 선언서, 사용자 정보를 Word 파일로 작성합니다.
연결형 소비자 제품은 GPSR의 대상이기도 한 경우가 많습니다. GPSR 확인으로 확인하십시오.