EU ‘사이버 레질리언스 법’ 가이드라인 공개…한국 보안 수출 규범 전환

EU ‘사이버 레질리언스 법’ 이행 가이드라인 공개…한국 보안산업·수출 규제 리스크 본격화

• EU 집행위가 사이버 레질리언스 법(CRA) 적용 대상 제조사·소프트웨어 개발사·수입업자 등을 위한 상세 이행 가이드라인을 배포해 2027년 전후로 EU 내 연결·디지털 제품에 의무 보안요건과 책임 규범이 본격 적용되는 전환점이 열리고 있다.
• CRA는 IoT 기기·산업제어 설비·임베디드 소프트웨어 등 광범위한 제품군을 규율하며 설계 단계 보안 내재화와 업데이트 책임, 취약점 공개 체계 마련을 요구해 한국의 스마트공장·로봇·헬스케어 장비 수출 기업이 EU 규격에 맞춘 보안 설계와 인증 체계를 선제적으로 준비해야 하는 상황이다.
• EU는 CRA 위반 제품에 대해 시장 퇴출·과징금 등 강력 제재를 예고하고 있으며 CE 마크와의 연계, 조화표준 개발, 인증 체계 구축을 추진해 한국 기업의 EU 진출 과정에서 추가 시험·문서·보안 패치 관리 비용이 증가하고 한국 정부 차원의 공통 기준·가이드라인 제공 필요성이 커지고 있다.
• EU CRA는 미국 NIST·영국 PSTI 등 글로벌 규범과 함께 ‘보안 내재화된 제조·소프트웨어’를 수출 필수요건으로 만드는 흐름을 가속해 한국이 K-시큐리티 클러스터·사이버보안 펀드로 육성하는 제로트러스트·AI 보안 기술을 EU 조화표준과 연계하면 국내 보안기업의 인증 솔루션·컨설팅 수출 기회가 크게 확대될 수 있다.
• CRA는 공급망 전반의 책임을 제조사·배포사에 귀속시키는 구조라 국내 중소 제조·SW 기업이 개별 대응하기 어렵고, 정부가 국가 단위 ‘EU CRA 대응 프로그램’을 구성해 표준 보안 요구사항 제공·공동 인증 지원·산업별 가이드라인 배포를 추진하지 않을 경우 한국산 제품이 EU 시장에서 규제 리스크와 신뢰도 저하로 경쟁력이 약화될 위험이 크다.

EU CRA를 국내 규제 리스크가 아닌 수출 경쟁력 레버리지로 전환해야 하므로, 과기정통부·산업부·KISA가 공동으로 ‘EU CRA 대응 로드맵’과 산업별 보안 설계 가이드라인을 마련해 K-시큐리티 클러스터와 연계된 인증·컨설팅 지원 체계를 구축할 것을 권고한다.

주요 용어: 사이버 레질리언스 법(EU가 디지털·연결 제품에 보안 의무와 책임을 부과하는 규제), 보안 내재화(제품 설계 단계부터 보안을 기본 기능으로 포함하는 접근), IoT 기기(인터넷에 연결돼 데이터를 주고받는 각종 센서·가전·설비), 조화표준(EU 규제를 충족하기 위해 개발되는 통일된 기술·절차 기준), K-시큐리티 클러스터(국내 보안기업 수출·R&D를 지원하는 보안 산업 집적·지원 생태계)

출처: Google