EU CRA 준수 경로는 다양하지만 출발점은 위험평가

EU CRA 대응 경로는 여러 가지지만 출발점은 제품별 위험평가다

• ISAGCA 웨비나에서 exida의 마이클 메도프가 제조업체의 EU CRA 대응 경로와 위험평가 우선순위를 설명했다.
• 이 규정은 EU 판매용 하드웨어·소프트웨어와 클라우드 연계 제품에 적용되며 원격감시·진단·업데이트도 의무를 촉발한다.
• 그 적용은 2027년 12월 11일 전면화되고, 2026년 9월 11일 취약점·중대사고 보고와 2026년 11월 이후 EN 62443 3차 초안이 예정됐다.
• 이에 따라 산업용 컨트롤러·라우터·스위치·운영체제와 제조사 클라우드에 연결된 소프트웨어가 CRA 적용 범위에 포함될 수 있다.
• 해당 제조사는 EN 62443·제품별 유럽표준·EN 40000 시리즈 또는 CRA 필수요건 직접평가를 조합해 적합성을 입증할 수 있다.
• 한국 기업에는 IEC 62443 기반 개발·평가 역량이 진입자산이지만 자동 적합성은 아니므로 EU 판매제품별 위험평가와 문서화가 수출경쟁력을 좌우한다.

정책 담당자는 IEC 62443 인증을 CRA 적합성으로 오인하지 않도록 수출제품 목록과 클라우드·원격관리 기능을 먼저 분류하고, 위험평가·취약점 보고·보안지원 역량을 연계 지원해야 한다.

주요 용어: EU CRA(디지털 요소 제품의 사이버보안 의무 규정), 적합성 평가(제품이 필수 보안요건을 충족했음을 입증하는 절차)

출처: Automation.com