에스코어 인사이트
원문에 앞서 국내 개발·보안·컴플라이언스 조직이 함께 점검할 만한 사항을 간단히 정리했습니다.
•
24시간·72시간 보고 체계를 실제로 돌려보기: 취약점이나 중대 사고를 인지한 시점부터 누가 판단하고, 누가 보고서를 작성하며, 누가 규제기관과 소통할지 담당자와 대체 인력을 미리 정하고 모의훈련으로 확인합니다.
•
출시 제품과 SBOM을 연결해 두기: 단순히 SBOM을 보유하는 데서 끝내지 말고 실제 출시 버전별 구성요소와 직접·전이 의존성을 추적할 수 있어야 새로운 취약점이 공개됐을 때 영향 제품을 빠르게 특정할 수 있습니다.
•
판단 근거와 조치 이력을 남기기: 언제 무엇을 알았고, 어떤 위험을 평가했으며, 어떤 조치를 언제 취했는지 추적 가능한 형태로 보존해 사고 대응과 규제 보고에 동일한 증적을 활용할 수 있도록 합니다.
Sonatype 원문 번역
유럽연합(EU)의 사이버 복원력 법(Cyber Resilience Act, CRA)은 더 이상 먼 미래의 컴플라이언스 과제가 아닙니다. 첫 번째 주요 의무의 시행일이 이제 며칠 남지 않았습니다.
CRA의 나머지 주요 의무는 2027년 12월 11일부터 적용됩니다. 그러나 보고 의무는 그보다 먼저 시작됩니다. 이번 시행을 통해 조직은 짧은 시간 안에 취약점 정보와 제품 현황을 확인하고, 엔지니어링 대응과 대외 커뮤니케이션까지 연결해 처리할 수 있어야 합니다.
많은 소프트웨어 조직에서 이 과정은 쉽지 않습니다. 취약한 구성요소를 발견하는 것만으로는 충분하지 않습니다. 그 구성요소가 실제 출시 제품에 포함돼 있는지, 현재 실제 공격에 사용되고 있는지, 누가 대응을 맡아야 하는지, 규제기관에 무엇을 보고해야 하는지까지 판단해야 합니다. 이 모든 판단과 조치를 정해진 보고 기한 안에 끝내야 합니다.
CRA 보고 의무는 2026년 9월 11일부터 시작된다
CRA는 2024년 12월 발효됐습니다. 대부분의 요구사항은 2027년 12월부터 적용되지만 보고 의무는 먼저 시행됩니다.
CRA에 따라 제조업체는 디지털 요소가 포함된 자사 제품에서 실제로 악용되고 있는 취약점과 제품 보안에 영향을 미치는 중대한 사고를 보고해야 합니다.
유럽연합 집행위원회가 밝힌 보고 절차는 다음과 같습니다.
•
실제로 악용되고 있는 취약점이나 중대한 사고를 인지하면 24시간 안에 조기 경보를 제출합니다.
•
72시간 안에 후속 통지를 제출합니다.
•
실제로 악용되고 있는 취약점은 시정 조치가 제공된 뒤 늦어도 14일 안에 최종 보고서를 제출하고, 중대한 사고는 1개월 안에 최종 보고서를 제출합니다.
보고서는 CRA 단일 보고 플랫폼(Single Reporting Platform)을 통해 제조업체의 주된 사업장이 위치한 국가의 컴퓨터 보안 사고 대응팀(CSIRT)에 제출합니다. 특별한 사정이 없다면 유럽연합 사이버보안청(ENISA)에도 관련 정보가 전달됩니다.
24시간 조기 경보, 72시간 후속 통지, 최종 보고 기한을 맞추려면 사고 대응 조직만 준비해서는 부족합니다. 소프트웨어 공급망을 정확히 파악할 수 있어야 합니다. 어떤 출시 제품에 문제의 구성요소가 들어 있는지 확인하고, 해당 취약점이 자사 환경에 어떤 영향을 미치는지 평가한 뒤, 대응 책임자와 적용 가능한 수정 사항까지 빠르게 파악할 수 있어야 기한 안에 근거 있는 보고를 할 수 있습니다.
집행위원회의 새 지침으로 준비 항목이 더 구체화됐다
2026년 7월 유럽연합 집행위원회는 CRA의 신속한 이행을 돕기 위한 실무 지침을 발표했습니다. 이 비구속 지침은 원격 데이터 처리 솔루션과 자유·오픈소스 소프트웨어를 포함해 중대한 변경, 지원 기간, 보고 의무, 위험 평가 등 CRA의 적용 범위를 두고 제기돼 온 주요 질문에 답합니다.
CRA는 제품 출시 시점에만 적용되는 규정이 아닙니다. 디지털 요소가 포함된 제품의 전체 수명주기에 걸쳐 적용됩니다. 소프트웨어 제조업체는 자사 제품에 어떤 구성요소가 포함돼 있는지 파악하고, 위험을 평가하고, 취약점을 관리하며, 상황이 바뀌면 적절히 대응할 수 있다는 점을 지속적으로 입증해야 합니다.
집행위원회 지침이 해야 할 일을 줄여 주는 것은 아니지만, 법적 의무를 실제 업무 절차에 반영할 때 무엇을 준비해야 하는지는 한층 분명해졌습니다. 이제는 준비할지 말지를 고민할 때가 아닙니다. 24시간 안에 조기 경보를 제출하려면 필요한 사람과 데이터, 업무 절차가 실제로 갖춰져 있는지 확인해야 합니다.
보고 기한을 맞추려면 소프트웨어 공급망을 정확히 파악해야 한다
현대 애플리케이션에는 직접·전이 의존성, 컨테이너, 프레임워크, 자체 코드뿐 아니라 점점 더 많은 AI 관련 구성요소와 서비스가 포함됩니다. 널리 쓰이는 구성요소 하나에서 보안 사고가 발생해도 여러 제품군과 개발팀을 함께 조사해야 하는 상황으로 빠르게 커질 수 있습니다.
이 때문에 소프트웨어 자재명세서(SBOM)가 중요합니다. SBOM은 소프트웨어 제품에 어떤 구성요소와 의존성이 들어 있는지 보여줍니다. 하지만 SBOM을 보유하는 것만으로는 CRA 보고 준비가 끝나지 않습니다. 최신 상태를 유지하고 실제 출시 제품과 연결해야 하며, 취약점이 발견됐을 때 누가 영향을 받는지와 누가 대응해야 하는지를 판단할 절차도 마련해야 합니다.
새 취약점이 공개될 때마다 소스 저장소와 빌드 시스템, 스프레드시트를 처음부터 수작업으로 뒤져서는 보고 기한을 맞추기 어렵습니다. 문제가 공개되면 자사 제품이 영향을 받는지 바로 확인할 수 있어야 합니다. 당시 어떤 정보를 알고 있었고 어떤 판단과 조치를 했는지도 기록으로 남겨야 이후 대응과 규제 보고에 활용할 수 있습니다.
기한 전에 확인해야 할 네 가지 질문
2026년 9월 11일은 CRA 대응 체계가 실제로 작동하는지 점검할 첫 시험대입니다. 제품 보안, 엔지니어링, 법무, 컴플라이언스, 커뮤니케이션 조직은 사고가 발생하기 전에 다음 질문에 답할 수 있어야 합니다.
•
영향받는 모든 제품을 빠르게 찾을 수 있는가? 직접·전이 의존성을 포함한 최신 구성요소 목록과 SBOM을 유지하고, 이를 실제 출시 제품 버전과 연결합니다.
•
경보를 받은 뒤 실제 대응이 필요한지 판단할 수 있는가? 보고된 취약점이 실제로 악용되고 있는지, 자사 제품에 영향을 미치는지, CRA 보고 대상에 해당하는지를 정해진 절차에 따라 평가합니다.
•
며칠이 아니라 몇 시간 안에 대응을 조율할 수 있는가? 보고 대상 사고가 발생하기 전에 엔지니어링, 제품 보안, 법무, 컴플라이언스 조직의 에스컬레이션 경로와 의사결정 책임자, 커뮤니케이션 채널을 정해 둡니다.
•
대응 과정을 기록하고 보고할 수 있는가? 조기 경보, 후속 통지, 최종 보고에 필요한 정보와 증적을 준비하고, 모의훈련으로 실제 절차를 점검합니다.
모든 보안 사고를 곧바로 컴플라이언스 업무로 다룰 필요는 없습니다. 중요한 것은 CRA 보고 대상에 해당하는 사고가 발생했을 때 필요한 정보와 의사결정 체계, 커뮤니케이션 절차가 제대로 작동하도록 미리 준비하는 것입니다.
9월 11일은 시작일 뿐이다
9월 11일 시작되는 EU 사이버 복원력 법의 보고 의무는 중요한 이정표지만 CRA 이행의 시작에 가깝습니다. 제품 수명주기 전반에 적용되는 사이버보안 요구사항을 포함해 CRA의 주요 의무 대부분은 2027년 12월부터 시행됩니다.
이번 보고 의무 시행을 계기로 구성요소 파악, SBOM 관리, 지속적인 모니터링, 사고 대응 체계를 강화해 두면 이후 적용될 주요 의무에도 더 수월하게 대응할 수 있습니다. 규제기관의 질문에 빠르게 답할 수 있을 정도로 제품과 구성요소, 취약점 정보를 정리해 두는 과정은 보안 사고가 커지기 전에 위험을 줄이는 데도 도움이 됩니다.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide