EU 사이버 복원력법: 2026년 9월 11일부터 보고 의무 시행. 충전기·인버터 제조사가 할 일

#일정

#무엇을, 얼마나 빨리 보고하나

기한은 제조사가 인지한 시점부터 계산한다. 보고는 단일 보고 플랫폼으로 한 번 제출하며, 제조사 주 사업장이 있는 회원국의 조정 CSIRT에 전달되고, 예외적인 경우가 아니면 ENISA에도 동시에 전달된다.

중대한 사고란 데이터나 기능의 가용성·진정성·무결성·기밀성을 보호하는 제품의 능력에 영향을 주거나 줄 수 있는 사고, 또는 제품이나 사용자 시스템에서 악성 코드가 실행되게 하거나 그럴 수 있는 사고를 말한다.

제조사는 영향을 받은 사용자, 필요하면 모든 사용자에게 취약점이나 사고와 완화 조치를 알려야 하며, 필요하면 구조화된 기계 판독 형식을 쓴다.

#이미 판매된 제품도 포함된다

2027년 12월 11일 이전에 출시된 제품은 원칙적으로 중대한 변경이 있어야 CRA 적용을 받는다(제69조 제2항). 보고 의무는 예외다. 제14조는 변경 여부와 관계없이 적용 범위 안의 해당 제품 모두에 적용된다(제69조 제3항). EU에 설치된 기존 제품이 지금 바로 대상이다.

#충전기·인버터·저장 시스템도 대상인가

CRA는 기기나 네트워크에 연결되는 디지털 요소가 있는 제품을 대상으로 한다. OCPP를 쓰는 충전기, Wi-Fi·4G 모니터링 인버터, 클라우드 플랫폼에 연결된 저장 시스템, 에너지 관리 장치 모두 이에 해당한다.

이 제품들은 부속서 III(중요 제품)이나 부속서 IV(핵심 제품)에 이름이 없다. 부속서 III에는 라우터와 모뎀, 운영체제, 보안 기능이 있는 스마트홈 제품 등이, 부속서 IV에는 스마트미터 게이트웨이가 있다. 목록에 없는 제품은 기본 범주로, 2027년 12월부터 제조사가 스스로 적합성을 평가할 수 있다.

그 전에도 EU에서 판매되는 연결형 무선기기는 이미 무선기기지침의 사이버보안 요구사항을 충족해야 하며, EN 18031로 평가한다.

#지금 해야 할 일

1. 24시간 대응 체계를 만든다. 취약점 신고를 누가 받고, 실제 악용 여부를 누가 판단하며, 조기 경보를 누가 제출하는지 정한다.
2. 단일 보고 플랫폼 접속을 준비하고 통보를 받을 CSIRT를 확인한다.
3. 설치 기반을 목록화한다. EU에서 판매한 모든 연결형 모델, 펌웨어 버전, 현장 업데이트 방식. 의무는 구형 제품까지 미친다.
4. 사용자 공지를 준비한다. 템플릿과 공지 채널, 가능하면 기계 판독 형식.
5. 2027년 12월을 계획한다. 기본 보안 설계, 지원 기간 내 보안 업데이트, 소프트웨어 자재명세서(SBOM)가 요구사항이 된다.