자동차·로봇 등의 소프트웨어 컨설팅, 개발 및 검증 엔지니어링 기업 세온이앤에스(대표 정태하)는 EU 사이버복원력법(CRA) 대응 백서 'CE 마크에 보안이 들어온다'를 발간했다고 28일 밝혔다.
CRA에 따라 2027년 12월 11일부터 기기나 네트워크와 직간접으로 데이터 연결이 이루어지는 제품을 EU 시장에 내놓으려면 사이버보안 필수 요구사항을 충족하고 적합성을 입증한 뒤 CE 마크를 붙여야 한다. 의료기기, 자동차 등 다른 EU 법이 적용되는 일부 제품은 제외된다. 실제로 악용되는 취약점을 보고할 의무는 2026년 9월 11일부터 시행되고 있으며, 앞서 판매한 제품에도 적용된다.
백서에서는 CRA 적용 여부와 제품 등급을 가리는 방법을 설명하고, 위험 평가, SBOM과 공급망 계약, 지원기간, 취약점 대응 체계의 네 가지 선택을 정리했다. 2027년 1월 20일부터 적용되는 EU 기계규정 가운데 해킹과 변조로 기계가 위험해지지 않도록 하는 요건을 CRA와 함께 준비하는 방법과, 진단, 체계 구축, 증명의 3단계 일정도 담았다.
주백수 부대표는 "CRA에서는 출시 전 적합성 입증에 그치지 않고 출시 뒤 지원기간 동안 취약점을 처리하는 일과 실제로 악용되는 취약점을 알게 되면 보고하는 일까지 제조사의 책임으로 정하고 있다"며 "보고 체계는 바로 갖추고, 적용 여부 진단부터 남은 1년여 동안 차례로 준비할 것을 권한다"고 말했다.
백서는 세온이앤에스 홈페이지에서 신청하면 바로 내려받을 수 있다.