24시간 안에 사고 알려야 하는 새 규칙
2026년 9월 11일, 유럽연합(EU) 사이버 복원력 법안(Cyber Resilience Act, CRA)의 사고 보고 의무가 효력을 발휘하기 시작했다. 스마트폰, 공유기, 스마트워치, 공장 제어 장비처럼 데이터 연결을 전제로 한 제품을 만드는 기업은 이제 유럽 시장에서 보안 사고를 조용히 넘기기 어렵다.
제품에서 적극적으로 악용되는 취약점이나 심각한 보안 사고를 알게 된 뒤 24시간 안에 초기 경고를 제출해야 하기 때문이다. 이 변화는 유럽에 물건을 파는 기업만의 행정 문제가 아니라, 한국 소비자가 쓰는 기기와 소프트웨어의 수명, 업데이트 주기, 가격 구조까지 바꿀 규제 신호다.
핵심은 간단하다. 유럽 시장에 디지털 요소(Digital Elements)를 포함한 제품을 출시하는 제조업체는 보안을 제품 출시 뒤 사후 처리 항목으로 미뤄둘 수 없게 됐다. EU는 2024년 12월 10일 CRA를 발효했고, 설계와 적합성 관련 대부분 규정은 2027년 12월 11일부터 적용될 예정이다.
그러나 사고 보고 의무는 2026년 9월 11일 먼저 시작됐다. 본지 편집부 분석으로는, 이 조기 적용이 기업에 가장 큰 즉각적 압박을 가하는 지점이다.
기업이 규제 문서를 준비하는 동안에도 실제 침해 사고가 발생하면 보고 시계가 곧바로 작동하기 때문이다. CRA가 겨냥한 대상은 예상보다 넓다. 하드웨어(Hardware)와 소프트웨어(Software)를 가리지 않고, 예상 사용 방식에 기기나 네트워크와의 데이터 연결이 포함되면 규제 범위에 들어간다.
소비자용 사물인터넷(IoT) 기기, 스마트폰, 산업 제어 시스템, 상업적으로 공급되는 오픈소스(Open Source) 소프트웨어가 모두 적용 사례로 제시된다. EU 외부에 설립된 제조업체라도 유럽 시장에 제품을 내놓으면 같은 의무를 진다. 한국 기업 입장에서는 유럽 법이 국경 밖 생산라인과 개발 조직의 업무 방식까지 바꾸는 셈이다.
보고 절차는 시간 단위로 짜였다.
광고
제조업체는 적극적으로 악용되는 취약점이나 심각한 보안 사고를 인지한 시점부터 24시간 이내에, 주요 설립지가 있는 회원국의 컴퓨터 보안 사고 대응팀(CSIRT)과 유럽연합 사이버보안청(ENISA)에 초기 경고를 제출해야 한다. 이어 72시간 이내에는 상세 통지를 해야 하고, 취약점 완화 뒤 14일 이내 또는 심각한 사고의 경우 72시간 통지 뒤 한 달 이내에 최종 보고서를 내야 한다. 또한 영향을 받은 사용자들에게도 해당 취약점·사고·완화 조치에 관한 정보를 적절한 시기에 제공해야 한다.
24시간, 72시간, 14일, 한 달이라는 일정은 보안팀의 내부 판단을 기다려주지 않는다. 보고 체계가 없던 중견 제조사는 밤새 로그를 모으고 법무팀과 고객지원팀을 동시에 가동해야 하는 상황에 놓인다.
일반 독자에게 이 규제가 멀게 느껴질 수 있다. 그러나 영향은 생활 공간 안으로 이미 들어왔다.
유럽 수출용으로 설계한 제품은 대개 글로벌 공통 플랫폼을 쓴다. 한국에서 판매하는 같은 모델에도 보안 패치 알림, 취약점 고지, 지원 기간 표시가 함께 반영될 가능성이 크다.
CRA는 제품 구매 시점에 최소 5년의 지원 기간을 명시하도록 요구한다. 소비자는 싼 기기를 고를 때도 업데이트가 언제까지 제공되는지 따져보는 습관을 갖게 되고, 제조사는 그 기간의 보안 운영 비용을 가격과 서비스 정책에 녹여야 한다.
한국 수출기업과 소비자 일상에 번지는 영향
정책 변화의 무게는 제조 책임의 이동에서 드러난다. 과거 보안 사고 대응은 침해가 확인된 뒤 고객 공지와 패치 배포로 이어지는 경우가 많았다.
CRA는 그 순서를 앞당긴다. 제조업체는 제품 수명 주기 전반에서 사이버 보안(Cyber Security) 위험 평가를 수행하고, 제3자 구성 요소와 오픈소스 통합 때 실사를 해야 하며, 기술 문서와 적합성 평가를 준비해야 한다.
CE 마크(CE Mark)는 단순한 통관 표지가 아니라 보안 관리 체계를 외부에 설명하는 증표로 성격이 강해진다.
광고
설계 단계부터 보안을 넣으라는 요구가 선언에 그치지 않고 문서, 절차, 보고 시간표로 구체화된 점이 이전 규제와 다르다. 기업 내부에서는 비용 논쟁이 먼저 나온다. 보안 인력을 늘리고, 취약점 관리 시스템을 도입하며, 유럽 당국 보고에 필요한 법무 검토를 붙이면 제품 개발비가 오른다.
특히 소프트웨어를 함께 공급하는 중소 제조업체는 24시간 초기 경고 기준을 맞추기 위해 주말과 야간 대응 체계를 갖춰야 한다. 반론도 있다. 아직 대부분의 설계·적합성 규칙은 2027년 12월 11일 적용 예정이므로 시간이 남았고, 모든 사고가 곧바로 중대한 규제 리스크로 이어지는 것은 아니라는 주장이다.
이 지적은 일정표만 보면 맞다. 그러나 사고 보고 의무가 이미 2026년 9월 11일 시작된 이상, 기업은 준비 기간 중 발생한 사고에도 공식 절차로 대응해야 한다.
준비와 집행이 겹친 상태가 된 것이다. 법률자문사 Goodwin, Vircon Legal, Pearl Cohen과 보안·규제 해설 자료를 발표한 Exterro, Semper Sec의 CRA 분석은 공통적으로 제조업체의 문서화와 사고 대응 속도를 강조한다. 이들 자료가 짚은 공통점은 명확하다.
CRA 준수는 보안팀만의 업무가 아니라 제품기획, 구매, 개발, 품질, 법무, 고객지원이 함께 움직이는 운영 체계의 문제다. 예컨대 오픈소스 라이브러리를 제품에 넣을 때 누가 버전을 확인하고, 취약점이 공개됐을 때 누가 위험도를 판정하며, 유럽 당국과 사용자에게 어떤 문장으로 알릴지 미리 정하지 않으면 24시간 기준을 맞추기 어렵다.
보고 속도는 결국 조직 설계의 결과다. 한국 산업에는 두 방향의 압력이 생긴다. 하나는 수출 리스크다.
EU 시장 접근성을 유지하려면 규제 문서와 보안 프로세스를 유럽 기준에 맞춰야 하며, 비준수 시 EU 시장 접근 제한 및 행정 제재 위험을 감수해야 한다. 다른 하나는 국내 기준의 변화 가능성이다.
유럽 규제가 글로벌 제품 설계의 기준점이 되면 한국 소비자도 더 긴 보안 지원과 더 빠른 사고 통지를 당연하게 요구할 가능성이 크다.
광고
이는 기업에 부담이지만, 장기적으로는 허술한 연결기기를 시장에서 걸러내는 압력으로 작동한다. 싸게 만들고 빨리 파는 전략만으로는 연결 제품 시장에서 버티기 어려워진다.
보안 업데이트가 제품 경쟁력 가른다
본지 편집부 분석으로는, CRA의 진짜 의미가 벌금보다 신뢰 비용에 있다. 24시간 보고 체계를 갖춘 기업은 사고가 없어서 강한 것이 아니라, 사고가 났을 때 숨기지 않고 빠르게 피해를 줄일 능력을 증명한다. 반대로 지원 기간과 취약점 처리 절차를 설명하지 못하는 제품은 가격이 낮아도 거래처와 소비자의 선택지에서 밀릴 수 있다.
2026년 10월 현재 한국 기업이 준비해야 할 일은 유럽 법률 문구를 번역하는 데 그치지 않는다. 제품 목록을 규제 대상별로 나누고, 오픈소스 구성 요소를 추적하며, 사고 인지 시점을 기록하는 내부 기준을 세워야 한다.
이 작업을 미루면 2027년 12월 11일 본격 적용 시점에 비용이 한꺼번에 몰린다. 우리의 일상도 이 흐름에서 벗어나지 않는다.
집 안 공유기가 자동 업데이트를 더 자주 요구하고, 스마트가전 앱이 보안 공지를 띄우며, 기업용 장비 계약서에는 지원 기간과 사고 통지 조항이 더 자세히 들어갈 가능성이 크다. 불편은 늘 수 있다.
그러나 연결된 제품이 생활의 기본 인프라가 된 시대에 보안 공지는 성가신 알림이 아니라 제품 품질의 일부다. 한국 기업과 소비자가 지금 물어야 할 질문은 유럽 규제가 얼마나 엄격한지가 아니다. 우리가 매일 쓰는 디지털 제품을 몇 년 동안 안전하게 책임질 준비가 되어 있는가다.
※ 이 기사는 유럽연합(EU) 공식 Cyber Resilience Act 관련 자료 및 Exterro, Semper Sec, Goodwin, Vircon Legal, Pearl Cohen이 발표한 CRA 해설·분석 자료를 참조해 작성했다. 각 자료의 개별 기사 제목·작성일은 원천 자료 제공 범위에서 특정되지 않아 기관명으로 표기한다.
광고
FAQ
Q. 한국에서만 제품을 파는 기업도 CRA를 신경 써야 하나
A. CRA는 EU 시장에 출시되는 디지털 요소 포함 제품을 대상으로 한다. 한국 내수만 운영하고 유럽 판매가 전혀 없다면 직접 적용 대상은 아니다. 다만 같은 제품 플랫폼을 국내외에 함께 쓰는 기업은 유럽 대응 체계를 국내 제품에도 반영할 가능성이 크다. 유럽 거래처가 공급망 보안 문서를 요구하면 부품·소프트웨어 공급사도 간접 영향을 받는다. 수출 비중이 낮더라도 글로벌 플랫폼을 공유하는 기업이라면 내부 보안 프로세스를 점검하는 계기로 삼는 것이 적절하다.
Q. 소비자는 무엇을 확인해야 하나
A. 제품 구매 시 보안 업데이트 지원 기간을 확인하는 습관이 중요하다. CRA는 구매 시점에 최소 5년의 지원 기간을 명시하도록 요구하므로, EU 규제 대상 제품에는 해당 정보가 반드시 표기된다. 한국 소비자도 공유기, 스마트카메라, 스마트가전처럼 네트워크에 연결되는 제품을 살 때 업데이트 정책과 취약점 공지 방식을 살펴야 한다. 가격 차이가 크지 않다면 지원 기간이 긴 제품이 장기 사용에서 유리하다. 제조사가 지원 기간을 명시하지 않는 제품은 구입 후 수년 내 보안 업데이트가 중단될 위험이 있다.
Q. 기업은 가장 먼저 무엇을 준비해야 하나
A. 기업은 자사 제품이 CRA 적용 범위에 들어가는지 먼저 분류해야 한다. 이어 취약점 인지 시점, 24시간 초기 경고, 72시간 상세 통지, 최종 보고서 제출을 담당할 내부 책임자를 지정해야 한다. 오픈소스 구성 요소 목록과 제3자 부품 정보를 문서화하지 않으면 사고 때 원인 파악이 늦어진다. 사고 보고 의무가 이미 2026년 9월 11일부터 시행 중이므로 대부분의 설계·적합성 규정이 적용되는 2027년 12월 11일을 기다리지 말고 지금 당장 보고 체계부터 점검하는 것이 비용 측면에서 유리하다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
