EU, 암호화폐 지갑 취약점 악용 시 24시간 내 규제 당국 통보 의무화

EU 사이버 회복력법, 지갑 취약점 악용 시 24시간 내 당국 통보 의무화

• EU ‘Cyber Resilience Act’ 발효로 상업용 연결 하드웨어 지갑과 지갑 소프트웨어는 취약점이 악용되거나 중대한 보안 사고를 발견하면 24시간 내 사이버 당국에 경고해야 한다.
• 이 의무는 2026년 9월 11일부터 발효됐으며, 제품 테스트를 통과해 EU 시장에 제공되는 디지털 요소 포함 제품 전체에 적용되고, 지갑 앱과 다운로드형 소프트웨어도 포함될 수 있다.
• 제조사는 ENISA가 운영하는 ‘Single Reporting Platform’을 통해 단일 보고서를 제출하고, 포털은 지정된 CSIRT와 ENISA, 관련 회원국 팀에 정보를 배포해 사고 공조와 추가 대응을 지원한다.
• 제조사는 취약점이나 사고 인지 후 지체 없이, 최대 24시간 내 초기 경고를 제출하고, 72시간 내에는 제품 정보와 악용 방식, 취약점 내용, 교정·완화 조치를 포함한 보다 상세한 통보를 추가로 제출해야 한다.
• 적극적으로 악용되는 취약점은 교정·완화 조치가 마련된 뒤 최대 14일 내 최종 보고서를 제출해야 하고, 중대한 사고는 72시간 통보 후 1개월 이내 사건 성격, 초기 평가, 완화 정보가 담긴 최종 보고가 요구된다.
• CRA 보고 규정은 2027년 12월 11일 이전에 시장에 출시된 적격 제품에도 소급 적용되며, 상업적으로 공급되는 오픈소스 지갑도 대상이 될 수 있어 한국의 디지털 자산 보안 규제와 공공·민간 지갑 서비스의 대응 체계 정비에 직접적인 시사점을 제공한다.

EU CRA의 신속 보고 체계는 지갑 취약점과 사고 정보를 24~72시간 내 공유하는 글로벌 표준을 형성할 가능성이 크다. 한국은 디지털 자산 지갑 서비스에 유사한 보고 타임라인과 ENISA식 단일 포털 모델 도입을 검토해, 국내 규제와 EU 규제의 정합성을 맞추고 해외 사업자의 보안 책임을 명확히 할 필요가 있다.

주요 용어: Cyber Resilience Act(EU 제품 보안·취약점 보고를 통합하는 수평적 사이버 회복력 법제), ENISA(EU 사이버보안 정책·사고 대응을 지원하는 유럽연합 사이버보안 기관)

출처: CryptoRank