CRA 보고: 실제로 악용되는 취약점과 중대한 사고
사이버 복원력법 제14조는 규정의 나머지보다 앞서 2026년 9월 11일부터 적용되고 있습니다. 2027년 12월 11일 전에 시장에 출시된 제품을 포함해, 대상이 되는 디지털 요소가 있는 모든 제품에 적용됩니다(제69조 제3항).
2026년 10월 10일에 출처와 대조하여 확인
규정 (EU) 2024/2847 제14조, 제16조, 제69조, 제71조
2026년 10월 10일에 출처와 대조하여 확인
보고 기한 계산기
인지한 시점을 입력하십시오. 기한은 그 순간부터 시간 단위로 계산되므로 현지 시간과 UTC로 표시됩니다. 아무것도 저장되지 않습니다.
ENISA의 단일 보고 플랫폼(Single Reporting Platform)을 통해 EU 내 주 사업장이 있는 회원국의 CSIRT에 보고하십시오. CSIRT는 중간 보고서를 요청할 수 있습니다.
보고해야 하는 것
- 귀하가 인지한, 제품의 실제로 악용되는 취약점(제14조 제1항),
- 제품의 보안에 영향을 주는 중대한 사고(제14조 제3항): 민감하거나 중요한 데이터나 기능의 가용성, 진정성, 무결성 또는 기밀성에 영향을 주거나 줄 수 있는 사고, 또는 제품이나 사용자의 시스템에 악성 코드가 유입되거나 실행되었거나 그럴 수 있는 사고(제14조 제5항).
인지한 때부터 세는 기한
| 단계 | 실제로 악용되는 취약점 | 중대한 사고 |
|---|---|---|
| 조기 경보 | 24시간 이내, 제품이 공급되는 것으로 알고 있는 회원국 기재. | 24시간 이내, 불법적이거나 악의적인 행위가 의심되는지도 기재. |
| 통보 | 72시간 이내: 제품, 악용과 취약점의 성질, 취한 조치와 사용자가 취할 수 있는 조치, 정보의 민감도에 대한 판단. | 72시간 이내: 사고의 성질, 초기 평가, 취한 조치와 사용자가 취할 수 있는 조치, 정보의 민감도에 대한 판단. |
| 최종 보고서 | 시정 또는 완화 조치가 가능해진 후 14일 이내: 심각도와 영향을 포함한 취약점, 악의적 행위자, 보안 업데이트. | 통보 후 1개월 이내: 상세 설명, 가능성 있는 위협이나 근본 원인, 완화 조치. |
통보를 받은 CSIRT는 상황 업데이트에 관한 중간 보고서를 요청할 수 있습니다(제14조 제6항).
보고하는 곳
2026년 9월 11일 개시된 ENISA의 단일 보고 플랫폼을 통해서입니다. EU 내 주된 사업장, 즉 제품의 사이버보안 결정이 주로 내려지는 곳이 있는 회원국에서 조정자로 지정된 CSIRT에 제출합니다. ENISA는 동시에 통보를 받으며, CSIRT는 제품이 공급되는 다른 회원국에 이를 전달합니다(제14조 제7항과 제16조).
EU 밖의 제조자
EU에 주된 사업장이 없다면, 다음 목록에서 처음으로 해당하는 회원국의 CSIRT에 보고합니다(제14조 제7항).
- 귀하의 제품을 가장 많이 담당하는 수권대리인이 설립된 곳,
- 귀하의 제품을 가장 많이 시장에 출시하는 수입자가 설립된 곳,
- 귀하의 제품을 가장 많이 공급하는 유통자가 설립된 곳,
- 귀하의 제품 사용자가 가장 많은 곳.
사용자에게 알리기
영향을 받는 사용자, 그리고 적절한 경우 모든 사용자에게 취약점이나 사고와 그들이 취할 수 있는 조치를 알리십시오. 적절한 경우 구조화된 기계 판독 가능 형식으로 합니다(제14조 제8항). 제때 알리지 않으면 CSIRT가 알릴 수 있습니다.
일이 생기기 전에 준비
- 단일 보고 플랫폼에 등록(ENISA가 사용자 안내서를 게시합니다),
- 취약점이 실제로 악용되는지, 사고가 중대한지 24시간 안에 판단할 사람을 정하기,
- 제품별 판매 회원국과 수권대리인, 수입자, 유통자의 목록 관리,
- 사용자 안내문 양식 준비.
귀하의 제품은 어느 등급이고 인증기관이 필요합니까? 사이버 복원력법 페이지를 보십시오.