왜 필요한가?
EU에 파는 디지털 제품,
사이버보안이 출시 조건이 됩니다
귀사 제품도 CRA 대상인가요?
기기나 네트워크와 데이터 연결이 있는 제품을 EU 시장에 내놓으면 원칙적으로 CRA가 적용됩니다. 완성차와 차량 전용 부품은 제외되지만, 범용 부품과 로봇, 농기계, 건설기계는 대상이 될 수 있습니다.
이미 판매한 제품도 보고 대상인가요?
2026년 9월 11일부터 제조사는 실제로 악용되는 취약점이나 제품 보안에 영향을 주는 중대한 사고를 알게 되면 24시간 안에 조기 경보를 보내야 합니다. 이미 EU에 판매한 제품도 대상입니다.
2027년 12월까지 무엇을 갖춰야 할까요?
2027년 12월 11일부터 EU에 출시하는 제품은 필수 사이버보안 요구사항을 충족하고 기술문서, 적합성 평가, EU 적합성 선언을 거쳐 CE 마킹을 붙여야 합니다. 기기는 출시를 한 대 단위로 판단하므로, 지금 파는 모델도 그날 이후 내놓는 물량은 대상입니다.
서비스 소개
세온이앤에스 CRA 컨설팅
ISO/SAE 21434 사이버보안과 기능안전 경험을 살려 출시 전 준비부터 출시 후 취약점 관리까지 지원합니다.
CRA 적용 진단
적용 여부와 제품 등급, 제조사나 수입자 같은 회사의 역할을 판정하고, 지원 기간과 준비할 일을 정리합니다.
보안 개발 체계 구축
위험 평가와 취약점 처리, 보고 절차를 만들고 공급사 계약 조항을 정합니다. ISO/SAE 21434 체계가 있으면 이어서 씁니다.
SBOM, 취약점 관리
패키지 관리자로 받은 의존성과 소스 코드에 복사돼 들어간 오픈소스까지 찾아 제품별 SBOM을 만들고, 출시 뒤에도 새 취약점을 대조합니다.
기술문서, 적합성 선언 지원
CRA가 요구하는 기술문서와 EU 적합성 선언 작성을 돕고, 제3자 평가가 필요한 제품은 인증기관 대응까지 지원합니다.
서비스 영역
CRA 대응 서비스 구성
적합성 준비 컨설팅
- 적용 진단, 갭 분석
- 보안 개발 프로세스, 보고 절차
- 기술문서, EU 적합성 선언
SBOM, 취약점 관리
- 제품별 SBOM 작성
- 출시 전 취약점, 보안 코딩 점검
- 출시 후 취약점 모니터링
CRA 실무 교육
- 이해 과정: 적용 판정, 일정, 의무
- 실무 과정: 위험 평가, 기술문서, SBOM 실습
- 고객사 사내 교육
CRA 요구사항 대응
| 요구사항 | 세온이앤에스 지원 내용 |
|---|---|
| 위험 기반 보안 설계 | 위험 평가, 보안 요구사항 도출 |
| 취약점 처리와 SBOM | SBOM 작성, 취약점 처리와 공개 정책 수립 |
| 지원 기간(원칙적으로 최소 5년) | 지원 기간 산정, 출시 후 취약점 관리 |
| 실제로 악용되는 취약점, 중대한 보안 사고 보고 | 보고 대상 판단 기준, 24시간 조기 경보 등 보고 절차 |
| 기술문서, 적합성 평가 | 기술문서, EU 적합성 선언 작성 지원 |
우리 제품은 CRA 대상일까?
| 제품 | CRA 적용 |
|---|---|
| 자동차(M, N, O 범주)와 그 차량 전용 부품 | 제외 |
| L 범주 차량(이륜차 등)과 그 차량 전용 부품 | 제외(페달을 밟도록 설계된 L1e 차량은 예외) |
| 여러 종류의 제품에 쓰이는 범용 부품 | 대상 |
| 차량 전용이 아닌 부품을 소매, 온라인 등 열린 경로로 판매 | 대상 |
| 로봇(의료기기 제외), 농기계, 건설기계, 산업 제어기 | 데이터 연결이 있으면 대상 |
| 차량과 따로 파는 충전기, 진단 장비 | 차량 제외로 보기 어려움, 일반 기준으로 판단 |
CRA 컨설팅 진행 방식
Phase 1: 적용 진단
- 제품 목록, 적용 여부, 등급 판정
- 역할 확인, 지원 기간 산정
- 갭 분석, 대응 로드맵
Phase 2: 체계 구축
- 보안 개발 프로세스
- 취약점 처리, 공개 정책
- 보고 절차, 공급사 계약 조항
Phase 3: 제품 적용
- 위험 평가, 제품별 SBOM
- 기술문서 작성
- EU 적합성 선언, 평가 대응
Phase 4: 출시 후 관리
- 취약점 모니터링
- SBOM 갱신
- 보고 대상 판단 지원
기대 효과
실질적 효과
- 필요한 일부터 준비
- 적용 범위와 등급을 먼저 가려 출시 일정에 맞춰 준비합니다.
- 보안과 기능안전을 함께
- 로봇, 건설기계 같은 기계류는 EU 기계규정의 해킹, 변조 방지 요건까지 함께 봅니다.
- 출시 뒤까지 이어지는 관리
- 지원 기간 동안 SBOM과 취약점을 계속 관리합니다.