EU, 사이버복원력법 적용지침 공개…국내 수출 기업 대응은?

유럽연합(EU)의 디지털 제품 보안 규제가 오는 9월 신고 의무를 시작으로 실제 운영 단계에 들어간다. EU 집행위원회는 27일(현지시간) 사이버복원력법(CRA)의 적용 범위와 취약점 신고 절차, 보안 지원기간 등을 구체화한 적용지침을 공개했다. CRA는 EU 시장에 공급하는 ‘디지털 요소가 포함된 제품’에 사이버보안 의무를 부과한다. 독립형 소프트웨어와 연결기기뿐 아니라 제품 작동에 필요한 원격 서버와 클라우드 기능도 대상이 될 수 있다. 제조사는 제품을 설계하고 개발할 때 보안 요구사항을 반영하고, 제품 사용기간 동안 취약점을 관리해야 한다. 이번에 공개된 지침에서 EU집행위원회는 어떤 제품이 CRA 대상인지, 소프트웨어 변경을 언제 새로운 제품으로 볼 것인지, 보안 지원기간을 어떻게 정할 지를 명시했다. 오픈소스와 외부 소프트웨어 부품, 원격 데이터 처리 기능을 사용하는 제조사의 책임도 사례로 제시했다. 지침은 법적 구속력이 없지만 EU 집행위원회의 해석을 담고 있어 기업과 감독기관이 CRA를 적용하는 기준으로 활용될 예정이다. 악용 취약점, 24시간 안에 알려야 CRA의 주요 보안 의무는 2027년 12월 11일부터 전면 적용된다. 다만 실제 공격에 악용된 취약점과 제품 보안에 영향을 준 중대사고의 신고 의무는 오는 9월 11일부터 먼저 시행한다. 제조사는 제품에 포함된 취약점이 실제 공격에 악용되고 있다는 사실을 인지하면 24시간 안에 조기경보를 해야 한다. 72시간 안에는 취약점의 성격과 제품 영향, 대응 상황을 추가로 통지해야 한다. 수정이나 완화조치를 마련한 뒤 14일 안에는 최종보고서를 내야 한다. 중대사고도 24시간 안에 조기경보하고 72시간 안에 추가 정보를 제출해야 한다. 최종보고 기한은 72시간 통지 후 1개월이다. 신고는 유럽연합 사이버보안청(ENISA)의 단일 신고 플랫폼을 통해 회원국 침해사고대응팀(CSIRT)에 제출해야 한다. 모든 취약점을 신고하는 것은 아니다. 제조사가 초기 조사를 거쳐 자사 제품의 취약점이 실제로 악용되고 있다는 합리적인 확신을 얻은 시점부터 신고기한을 계산한다. 외부 소프트웨어 부품에서 발생한 취약점도 자사 제품에서 악용됐다면 완제품 제조사가 신고해야 한다. 신고 의무는 2027년 12월11일 이전에 EU 시장에 공급한 제품에도 적용된다. 국내 기업이 이미 수출한 소프트웨어와 연결기기도 신고 대상이 될 수 있다. AI·클라우드 붙은 장비도 적용 여부 확인 CRA는 AI 제품에만 적용되는 법이 아니다. 모바일 앱과 컴퓨터 프로그램, 사물인터넷(IoT) 기기, 노트북, 반도체, 산업용 제어장비처럼 기기나 네트워크와 데이터를 주고받는 제품이 모두 대상에 포함된다. 국내 기업은 먼저 EU에 공급하는 제품이 어느 규제 범위에 들어가는지를 확인해야 한다. 채용·신용평가처럼 개인의 권리와 기회에 영향을 주는 AI는 EU 인공지능법 적용 여부를 살펴야 한다. 의료기기와 산업기계의 안전 기능에 AI를 사용한다면 기존 제품 안전 규제와 인공지능법까지 함께 검토해야 한다. 텔레매틱스와 원격진단, 자율주행 기능을 탑재한 굴착기나 건설장비도 CRA의 대상이 될 수 있다. 장비를 원격으로 제어하거나 상태를 분석하는 앱과 서버가 제품 기능에 필요하다면 이들 소프트웨어까지 제품 범위에 포함될 수 있다. 지침은 원격 데이터 처리 솔루션(RDPS)을 판단하는 기준도 제시했다. 원격 처리가 없으면 제품 기능을 수행할 수 없고, 해당 소프트웨어를 제조사가 개발했거나 제조사의 책임 아래 개발했다면 제품의 일부로 본다. 산업용 로봇이 카메라 영상을 원격 서버로 보내고 서버가 부품 위치를 계산해 작동 명령을 돌려주는 경우가 대표적이다. 제조사가 해당 소프트웨어를 개발했다면 원격 서버 기능도 제품 위험평가와 기술문서에 포함해야 한다. 반면 제3자가 개발한 범용 서비스형 소프트웨어(SaaS)를 연결한 경우에는 원격 데이터 처리 솔루션으로 보지 않을 수 있다. 그래도 제조사는 외부 서비스가 제품 보안에 미치는 위험을 평가하고 공급자를 검증해야 한다. 오픈소스를 사용했다고 해도, 완제품 제조사의 책임은 그대로 적용된다. 제조사는 제품에 포함한 오픈소스와 외부 부품이 보안 요구사항을 충족하는지 확인해야 한다. 또한 취약점을 발견하면 해당 부품의 개발자나 관리주체에 알리고, 직접 수정코드를 만들었다면 이를 공유해야 한다. 제품의 보안 지원기간도 정해야 한다. 원칙적으로 최소 5년이지만 제품이 5년보다 오래 사용될 것으로 예상되면 실제 사용기간에 맞춰 더 길게 설정해야 한다. 제조사는 구매 시점에 보안 지원이 끝나는 연월을 이용자에게 알려야 한다. 남은 45일, 제품 분류부터 모의훈련까지 CRA의 24시간 내 취약점 신고기한을 맞추려면 보안팀만으로는 대응하기 어렵다. 보안팀이 문제를 발견하면 제품팀이 취약점의 영향 범위를 확인해야 한다. 법무팀은 신고 대상인지 판단하고, 경영진은 제출 내용을 승인해야 한다. 국가기술표준원 무역기술장벽(TBT) AI·사이버보안위원장을 맡고 있는 양송이 커넥트에이아이(CONNECT AI) 대표는 28일 서울 강남구에서 열린 ‘AI·사이버보안 규제 대응 세미나’에서 CRA 대응 방안을 설명하며 “보안팀이 문제를 발견하면 제품팀이 영향 범위를 확인하고 경영진이 승인해 보고할 수 있어야 한다”며 “법무팀과 보안팀, 제품팀이 연결된 운영체계가 필요하다”고 강조했다. 양 대표는 9월 11일까지 기업이 추진할 수 있는 45일 대응계획을 제시했다. 처음 10일 동안 EU에 공급한 제품과 소프트웨어, 앱, 원격 서버를 조사해 CRA 적용 여부와 기업의 역할을 분류한다. 11일부터 25일까지는 취약점 접수와 영향 분석, 내부 승인, EU 신고로 이어지는 운영 통제를 구축한다. 남은 기간에는 신고 양식과 기술문서를 점검하고 실제 상황을 가정한 모의훈련을 진행하는 방식이다. 양 대표는 “45일 뒤 인증서를 받는 것이 목표가 되면 안된다”며 “모의훈련을 통해 회사가 시스템을 어떻게 통제하는지 증명할 수 있는 기록을 미리 준비해야 한다”고 말했다. 기업은 제품별 책임자와 비상연락망도 정해야 한다. 외부 클라우드나 AI 서비스를 사용한다면 공급자의 사고 통지 기한…