This is the multi-page printable view of this section. Click here to print.

Return to the regular view of this page.

EU CRA 취약점 보고 의무 — 2026년 9월 11일 대비 조사보고서

EU 사이버 복원력법(CRA)의 2026년 9월 11일 시행 의무를 한국 제조·서비스 기업 관점에서 정리. Black Duck 체크리스트를 1차 자료로, 1차 출처와 최신 동향을 보강한 AI 생성 + 자동 검증 조사보고서.

요약 EU 사이버 복원력법(Cyber Resilience Act, CRA — Regulation (EU) 2024/2847)은 EU 시장의 모든 “디지털 요소를 가진 제품(product with digital elements, PDE)“에 사이버보안 의무를 부과하는 EU 최초의 수평적 규정이다. 2024년 12월 10일 발효된 이 규정은 단계적으로 적용되며, 2026년 9월 11일부터 제조사·수입사·유통사는 실제 악용되고 있는 취약점과 중대한 보안 사고를 24시간/72시간/14일 시한 안에 ENISA와 회원국 CSIRT에 통지해야 한다. 2027년 12월 11일에는 CE 마킹·완전 적합성 평가 등 본질 의무가 전면 발효된다.

본 보고서는 Black Duck Software의 체크리스트(2026년 4월 발행)를 1차 자료로 두고, CRA 원문·유럽위원회 공식 페이지·ENISA·법무법인·표준화 기구의 자료를 보강해 한국 제조·서비스 기업이 4개월 앞으로 다가온 보고 의무에 어떻게 대비해야 하는지 정리한다.[A1][B1][B2]


1. 보고서 개요

입수 자료는 Black Duck Software가 2026년 4월 발행한 3쪽 분량의 EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations다. 법적 권위는 CRA 원문에 있고, 본 자료는 제조사 컴플라이언스 담당자가 2026년 9월 시행 의무를 빠르게 점검할 수 있도록 핵심 의무를 양식화한 업계 분석에 해당한다. 이하는 체크리스트의 6개 영역(적용 대상, 보고 시한, SBOM, 지속적 모니터링, 보고 인프라, 설계 보안 증빙)을 골격으로, 1차 출처와 최신 동향을 보강한 결과다.


2. 핵심 내용 — CRA 보고 의무의 구조

2.1 CRA 자체 — 무엇이 규정되는가

CRA의 공식 명칭은 Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements이다. 2024년 11월 20일 EU 관보에 게재된 뒤 20일이 지난 2024년 12월 10일에 발효되었다.[A1][B1] CRA가 “수평적(horizontal)“이라는 말은 IoT·산업제어·일반 소프트웨어를 가로지르는 공통 기준을 정한다는 뜻이고, 의료기기·자동차 등 부문별 사이버보안 입법이 이미 적용되는 제품은 제외된다.[A1][B3]

2.2 적용 대상 — “디지털 요소를 가진 제품”

본 체크리스트가 제시하는 적용 대상 기준은 CRA 제2조·제3조의 정의와 일치한다.[A1][B3] 디지털 요소를 가진 제품(product with digital elements, PDE)은 다음을 포괄한다.

  • 하드웨어 제품 (예: IoT 기기, 산업용 제어기)
  • 소프트웨어 제품 (스탠드얼론 SW, 펌웨어, 임베디드 SW)
  • 연결 제품의 동작에 필요한 소프트웨어 구성요소
  • EU 시장에 이미 출시된 레거시 제품도 포함 — 신규 출시에 한정되지 않는다[E1]
%%{init: {'theme':'default', 'themeVariables': {'fontSize':'18px'}, 'flowchart': {'nodeSpacing': 40, 'rankSpacing': 50}} }%%
flowchart TD
    A["제품이 EU 시장에<br/>유통되는가?"] -->|아니오| Z["적용 외"]
    A -->|예| B["디지털 요소를<br/>가진 제품인가?"]
    B -->|아니오| Z
    B -->|예| C["상업적 활동이<br/>있는가?<br/>(상업적 FOSS 포함)"]
    C -->|아니오| Z2["적용 외<br/>(비상업 FOSS)"]
    C -->|예| D["더 엄격한 산업별<br/>사이버보안 입법이<br/>이미 적용되는가?<br/>(예: MDR 의료기기)"]
    D -->|예| Z3["적용 외"]
    D -->|아니오| E["CRA 적용 대상"]
    E --> F["분류:<br/>기본 / 중요 Class I /<br/>중요 Class II / 중대"]

    style E fill:#fce4ec,stroke:#c2185b
    style F fill:#fce4ec,stroke:#c2185b

그림 1. CRA 적용 여부 판단 흐름 (출처: CRA Art. 2~3, 시행규칙 (EU) 2025/2392).[A1][A3]

위반 시 제재는 강력하다. Bird & Bird의 정리에 따르면 가장 엄중한 위반에는 1,500만 유로 또는 전 세계 연간 매출액의 2.5% 중 큰 금액이 과징금으로 부과될 수 있고, EU 시장에서의 제품 회수 명령도 가능하다.[E1]

2.3 보고 의무 (Article 14)의 3단계 시한

CRA 제14조는 제조사에게 실제 악용되고 있는 취약점(actively exploited vulnerabilities)과 중대한 보안 사고(severe incidents)의 통지를 의무화한다. 통지는 회원국 코디네이터 CSIRT(Computer Security Incident Response Team)와 ENISA(European Union Agency for Cybersecurity)에 동시에 이뤄져야 하고, 단일 보고 플랫폼(Single Reporting Platform, SRP)이 그 채널이 된다.[A1][B2]

%%{init: {'theme':'default', 'themeVariables': {'fontSize':'18px'}, 'flowchart': {'nodeSpacing': 40, 'rankSpacing': 50}} }%%
flowchart LR
    T0["인지 시점<br/>(actively exploited<br/>vuln. 또는 severe incident)"]
    T1["24시간 내<br/>조기 경보<br/>(Early Warning)"]
    T2["72시간 내<br/>본 통지<br/>(Notification)"]
    T3["14일 내<br/>최종 보고<br/>(취약점)<br/>완화조치 가용 후"]
    T4["1개월 내<br/>최종 보고<br/>(사고)"]

    T0 --> T1 --> T2 --> T3
    T2 --> T4

    style T1 fill:#ffebee,stroke:#c62828
    style T2 fill:#fff3e0,stroke:#ef6c00
    style T3 fill:#e8f5e9,stroke:#2e7d32
    style T4 fill:#e8f5e9,stroke:#2e7d32

그림 2. CRA Article 14 보고 시한 (출처: CRA Art. 14, EC “CRA — Reporting obligations” 페이지).[A1][B2]

각 단계의 내용은 다음과 같다:[A1][B2]

단계시한포함해야 할 내용
조기 경보인지 후 24시간영향 회원국, 악의적 활동과의 연관 여부
본 통지72시간취약점·사고의 일반적 성격, 사용 가능한 완화 조치, 민감도 평가
최종 보고(취약점)완화 조치 가용 후 14일심각도·영향, 위협 행위자 정보, 보안 업데이트
최종 보고(사고)통지 후 1개월상세 사고 기술, 위협 유형/근본 원인, 완화

2.4 SBOM 요건

SBOM(Software Bill of Materials)은 CRA Annex I의 본질 요건과 직접 연결된다. 체크리스트가 정리하는 4개 요건은 다음과 같다:

  • 출고되는 모든 제품 버전마다 SBOM을 생성한다.
  • 표준 형식: 소프트웨어 패키지 데이터 교환(Software Package Data Exchange, SPDX) 또는 CycloneDX.
  • 시장 감시 당국(market surveillance authorities)의 검토에 대비해 보관한다.
  • 시장 감시 당국 외 제3자에게 공유할 의무는 없다.

SPDX는 ISO/IEC 5962:2021로 국제 표준화되었으며(이는 SPDX v2.2.1 기반이고, 현행 사양은 spdx.dev의 v3.0이다),[C3][C4] CycloneDX는 OWASP가 관리하는 사양으로 2024년 6월 ECMA-424 1st Edition(v1.6 기반)에 이어 2025년 12월 10일 2nd Edition(v1.7 기반)으로 갱신되었다.[C5] 독일 연방정보보안청(Bundesamt für Sicherheit in der Informationstechnik, BSI)이 2025년 8월 발간한 기술 가이드 TR-03183-2 v2.1.0은 CRA 정합 SBOM의 구체적 필드 매핑을 제공한다 — CRA 시행규칙 차원의 공식 스키마는 본 보고서 작성 시점(2026년 5월 12일)까지 별도 발표되지 않은 상태에서 BSI 가이드가 사실상 참조점 역할을 한다.[G1]

2.5 지속적 취약점 모니터링과 EUVD

체크리스트는 모니터링 데이터의 1차 출처로 유럽 취약점 데이터베이스(European Vulnerability Database, EUVD)를 명시한다. EUVD는 NIS2 지침(Directive (EU) 2022/2555) 제12조에 근거해 ENISA가 2025년 5월 13일 정식 가동했다.[A4][F1][F2] 독자적 ID 체계(EUVD-YYYY-NNNNNN)를 사용하고 기존 CVE ID·CVSS 점수를 병기한다.

2.6 보고 인프라와 설계 보안 증빙

체크리스트의 §5(보고 인프라)와 §6(설계 보안 증빙)은 CRA Art. 13(제조사 의무)과 Annex I(본질 요건)에 대응한다.

단일 보고 플랫폼(SRP)은 2026년 9월 11일 가동 예정이다. 그러나 본 보고서 작성 시점까지 ENISA는 API 사양·인증 방식의 공개 사양을 발표하지 않았고, 시험 자체가 어려운 시간적 압박이 업계 분석에서 반복적으로 지적되고 있다.[B4][E2] 내부 정책·플레이북은 지원 기간(CRA Art. 13(8)에 따라 시장 출시 후 최소 5년 또는 예상 사용 기간) 동안의 취약점·사고 보고 절차를 담아야 한다.[A1][B3] 마지막으로, 도구 선정 근거, 취약점 처리 담당자·결정자, 외부 커뮤니케이션 담당자가 문서화되어 사이버보안 의사결정 자체가 추적 가능해야 한다.


3. 배경과 맥락

3.1 입법 경위

CRA는 2021년 9월 우어줄라 폰 데어 라이엔(Ursula von der Leyen) 위원장의 연두교서에서 처음 예고되었고, 2022년 9월 15일 유럽위원회(European Commission)가 입법안을 제안한 뒤 약 2년의 입법 절차를 거쳐 2024년 10월 23일 서명, 2024년 12월 10일 발효되었다.[A1][B1]

%%{init: {'theme':'default', 'themeVariables': {'fontSize':'18px'}, 'flowchart': {'nodeSpacing': 30, 'rankSpacing': 40}} }%%
flowchart LR
    A["<b>2021-09</b><br/>CRA 예고"] --> B["<b>2022-09</b><br/>입법 제안"]
    B --> C["<b>2024-12</b><br/>발효"]
    C --> D["<b>2025-05</b><br/>EUVD 가동"]
    D --> E["<b>2025-11~12</b><br/>시행규칙·위임법"]
    E --> F["<b>2026-09-11</b><br/>보고 의무 + SRP"]
    F --> G["<b>2027-12-11</b><br/>전면 시행"]

    style F fill:#fff3e0,stroke:#ef6c00,stroke-width:2px
    style G fill:#e8f5e9,stroke:#2e7d32,stroke-width:2px

그림 3. CRA 입법·시행 타임라인 (출처: Regulation (EU) 2024/2847, EC 시행 페이지).[A1][B1][B3]

3.2 단계적 적용 — 왜 2026-09-11이 중요한가

CRA는 전면 적용이 단일 시점에 이뤄지지 않는다. 2026년 9월 11일에 적용되는 것은 제14조 보고 의무와 SRP 가동에 한정되며, CE 마킹·완전 적합성 평가·본질 요건 전반은 2027년 12월 11일에 발효된다.[A1][B1][B3] 2026년 9월 11일까지 준비해야 할 것은 제품 인증 완료가 아니라 보고 워크플로우 가동이다. CE 마킹·적합성 평가의 1차적 경로 가운데 하나로 ENISA가 발간한 EU Common Criteria(EUCC) 인증의 CRA 활용[B6] 분석이 참고가 된다.

3.3 이해관계자와 상호작용

%%{init: {'theme':'default', 'themeVariables': {'fontSize':'18px'}, 'flowchart': {'nodeSpacing': 50, 'rankSpacing': 70}} }%%
flowchart LR
    M["제조사<br/>(Manufacturer)"]
    I["수입사<br/>(Importer)"]
    D["유통사<br/>(Distributor)"]
    SRP["ENISA SRP<br/>(단일 보고 플랫폼)"]
    CSIRT["회원국 코디네이터<br/>CSIRT"]
    ENISA["ENISA"]
    OTHER_CSIRT["타 회원국<br/>CSIRT"]
    MSA["시장 감시 당국<br/>(MSA)"]

    M -->|"Art.14<br/>24h/72h/14d"| SRP
    I -->|"비준수 발견 시"| M
    D -->|"비준수 발견 시"| M
    SRP --> CSIRT
    SRP --> ENISA
    CSIRT -->|"전파<br/>(지연 조건 적용)"| OTHER_CSIRT
    ENISA --> MSA
    MSA -->|"시정·회수 명령"| M

    style M fill:#e3f2fd,stroke:#1565c0
    style SRP fill:#fff3e0,stroke:#ef6c00
    style ENISA fill:#fff3e0,stroke:#ef6c00
    style CSIRT fill:#fff3e0,stroke:#ef6c00

그림 4. CRA 보고 체계의 이해관계자 상호작용 (출처: CRA Art. 13~16, 위임법 (EU) 2026/881).[A1][A2]

2025년 12월 11일 채택된 위임법 (EU) 2026/881(관보 게재 2026-04-20)은 CSIRT 간 통지의 추가 전파(dissemination)를 지연할 수 있는 조건을 구체화했다. ① 통지된 정보의 성격에 대한 평가에 비추어 정당화되는 경우, ② 수신 CSIRT가 해당 정보의 기밀성을 보장할 수 없는 경우, ③ 단일 보고 플랫폼이 침해되었거나 일시적으로 운영이 불가한 경우다. 또한 트래픽 라이트 프로토콜(Traffic Light Protocol, TLP)·정보 접근 프로토콜(Permissible Actions Protocol, PAP) 등 적절한 프로토콜로 위험을 완화할 수 없을 때, “엄격히 필요한 기간"에 한해 지연이 허용된다.[A2] 즉 제조사 → CSIRT의 24시간 시한은 그대로지만, CSIRT 간 추가 전파 단계에 보안 사유의 완화 장치가 마련된 셈이다.

3.4 관련 표준·프레임워크

CRA는 본질 요건만 규정하고, 세부는 조화 표준(harmonised standards)에 위임한다. 주요 표준·프레임워크의 매핑은 다음과 같다:[B5][C1][C2][C3][C4][C5][C6]

표준/프레임워크주관CRA 매핑
ISO/IEC 30111:2019ISO/IEC취약점 처리 절차 — Annex I “취약점 처리” 요건
ISO/IEC 29147:2018ISO/IEC조정된 취약점 공개(CVD) — Art. 14 통지 워크플로우 매핑
SPDX (ISO/IEC 5962)Linux Foundation / ISOSBOM 표준 형식 후보
CycloneDX (ECMA-424)OWASP / EcmaSBOM 표준 형식 후보 — VEX 네이티브 지원
NIST SP 800-218 (SSDF)NIST설계 보안 실무 — Annex I 본질 요건과 정렬
prEN 40000-2-1 (prEN)CEN/CENELECCRA 조화 표준 — 2026-08-30 발행 목표

조화 표준의 최종 인용 목록은 CEN/CENELEC JTC 13 WG 9에서 책정 중이며, 본 보고서 작성 시점에서는 후보로만 매핑할 수 있다.

3.5 타 관할권 비교 — 한국 독자 관점

항목EU CRA미국영국 PSTI한국 가이드라인
적용모든 PDE연방 조달 SW소비자 IoT모든 SW
강제력규정·직접 효력행정명령·BOD법률비강제
보고 시한24h/72h/14dKEV별채널 유지없음
SBOMSPDX/CycloneDXNTIA 권고없음SSDF 권고
시행2026-09 (보고) / 2027-12 (전면)2021-052024-04-292024-05

CRA의 두드러진 특징은 사전적 시장 출시 규제이자 모든 디지털 제품에 수평 적용되는 직접 효력의 EU 규정이라는 점이다. 미국 EO 14028은 연방 조달 중심의 사후 대응에 가깝고, 영국 PSTI는 소비자 IoT에 한정되며, 한국 SW공급망 가이드라인은 법적 강제력이 없는 권고다. EU 시장에 제품을 출시하는 한국 기업은 본국 제도와 별개로 CRA에 직접 노출된다.


4. 최신 동향 — 2025~2026년

4.1 위임법·시행규칙·가이던스

날짜문서핵심 내용
2025-11-28시행규칙 (EU) 2025/239228개 “중요·중대 제품” 범주의 기술 정의[A3]
2025-12-03Commission FAQ v1 (12-19 업데이트)위험 평가 범위, “의도된 사용” 해석
2025-12-11위임법 (EU) 2026/881CSIRT 통지 지연 조건[A2]
2026-03-03첫 가이던스 초안 (의견수렴 2026-03-31 마감)원격 데이터 처리, FOSS, 지원 기간, 타 규정 상호관계[E3]

시행규칙 (EU) 2025/2392은 제조사가 자사 제품의 적용 등급(기본/중요 Class I/중요 Class II/중대)을 판단할 1차 법적 기준을 제공한다.[A3] 위임법 (EU) 2026/881은 CSIRT 간 정보 공유의 보안 균형을 잡는 장치다.[A2]

가이던스 초안(2026-03-03)은 본 보고서 작성 시점에 의견수렴은 마쳤으나(2026-03-31) 최종본은 미공표 상태다. 약 75쪽 분량 중 약 1/4이 오픈소스 스튜어드(open-source steward) 정의에 할애되었다.[E3]

4.2 ENISA 단일 보고 플랫폼(SRP) 가동 준비

항목상태 (2026-05-12 기준)
운영 개시 예정일2026-09-11 (보고 의무 적용과 동시)[B4]
법적 근거CRA Art. 16
시험 기간“예정” 명시되었으나 공식 일정 미공시[B4]
API 사양·인증 방식미공개
조달 상태턴키 구축 조달 절차 공시 — NIS2/DORA 통합 가능 아키텍처 요구[B4]

가장 큰 실무 리스크는 사양 공개 지연이다. 가동 4개월 전인 현 시점까지 통합 시험을 위한 사양이 없다는 점이 DLA Piper·Bird & Bird 등 법무법인 분석에서 반복적으로 지적되고 있다.[E1][E2]

4.3 오픈소스 진영의 공동 대응

  • 2024-04-02: Apache Software Foundation, Blender Foundation, Eclipse Foundation, OpenSSL Software Foundation, PHP Foundation, Python Software Foundation, Rust Foundation 등 7개 재단의 공동 발표 — CRA 대응을 위한 보안 개발 공통 사양 수립 이니셔티브 출범.[D1]
  • 2024-05-22: Open Source Security Foundation(OpenSSF)가 컨소시엄에 합류해 정책·절차 표준화 작업에 참여.
  • Open Regulatory Compliance Working Group (ORC WG): Eclipse Foundation 산하로 발족. 스튜어드 책임·의무를 정리한 백서를 공개.

4.4 업계 반응의 주요 논점

입장핵심 주장출처
보안 연구자(HackerOne 등)“24시간 보고는 미완화 취약점의 조기 노출 위험을 키운다”[E4]
Eclipse Foundation“오픈소스 커뮤니티가 CRA 대응 절차를 직접 구축해야”(전무 Mike Milinkovich 블로그)
OpenSSF Cyber Policy WG“프로젝트 리더라고 자동으로 스튜어드가 되지 않음. 모든 OSS 프로젝트가 스튜어드를 필요로 하지는 않음”[D1]
Eclipse Foundation 연례 전망“SME 인지도가 12.3%로 대기업(83.5%) 대비 현저히 낮음 — 2026년 격차가 드러날 것”(2025-12-18 블로그)
VulnCheck“EUVD는 운영·베타 표시 공존으로 성숙도 의문, API·데이터 품질 미흡”(2025 분석)

4.5 남은 쟁점

가장 큰 쟁점은 오픈소스 스튜어드 3계층 분류의 실효성이다. 가이던스 초안은 비기술 재단/IT 인프라 제공자/엔지니어링 자원 보유 조직으로 구분하고 계층별로 Art. 14 보고 의무 적용을 달리하지만, ASF·PSF 같은 비기술 재단이 어느 계층에 속하는지가 모호하다.[E3] 24시간 통지의 실효성 논란도 보안 연구자 측에서 2024년부터 일관되게 제기해왔다. 위임법은 CSIRT 간 전파 지연 조건만 신설했을 뿐, 제조사 → CSIRT 24시간 시한 자체는 변경하지 않았다.[A2]

이 두 쟁점 외에 SBOM 스키마의 정밀 사양 부재(SPDX·CycloneDX 인정 수준에 그치고 공식 시행규칙은 미발표)[C4][C5]와, 2025년 11월 Commission이 발표한 Digital Omnibus 패키지의 “report once, share many” 모델이 CRA SRP와 어떻게 정리될지가 추가 입법으로 진행 중이다.[E1]

4.6 향후 12개월 주요 일정

날짜이벤트
2026-Q2~Q3ENISA SRP 시험 기간 (예상) / 가이던스 초안 최종본 채택 (예상)
2026-06-11적합성 평가기관 통지 조항 적용 개시
2026-08-30CEN/CENELEC 수평 표준 prEN 40000-2-1 발행 목표
2026-09-11취약점 보고 의무 적용 + SRP 가동
2026-10-30CEN/CENELEC 수직 표준 발행 목표
2026-12-11회원국별 적합성 평가기관 통지 마감
2027-12-11CRA 전면 시행

5. 시사점 — 한국 기업/실무자에게

5.1 적용 여부 자가 진단

먼저 확인할 것은 CRA가 우리 조직에 적용되는지 여부다. 다음 네 가지가 모두 “예"라면 적용 대상이다(그림 1 흐름도 참고): ① 제품(SW/HW/펌웨어)이 EU 시장에 유통되는가 — 직판·재판매·OEM 공급 모두 포함, ② 디지털 요소를 가진 제품인가 — 네트워크나 장치와 데이터 연결이 가능한지, ③ 상업적 활동이 있는가 — 무상 FOSS라도 상업적 지원이 있으면 해당, ④ 의료기기·자동차 등 부문별 사이버보안 입법이 이미 적용되는 제품이 아닌가.

레거시 제품도 적용 대상이고, EU 자회사가 없어도 EU에 제품을 출시하면 적용된다는 점에 유의해야 한다.[A1][E1]

5.2 2026년 9월 11일까지 갖춰야 할 항목

  • 취약점·사고 인지 후 24시간 내 보고가 가능한 인적·기술 체계
  • 트리아지 결과를 72시간 내 본 통지로 전달하는 워크플로우와 결정 권한
  • 완화조치 가용 후 14일 내 최종 보고를 위한 보안 업데이트·정보 패키지 양식
  • 모든 출고 버전에 대한 SPDX 또는 CycloneDX SBOM의 자동 생성·보관 (BSI TR-03183-2 v2.1.0을 사실상 참조점으로 활용 검토)
  • EUVD 모니터링 절차 — EUVD-YYYY-NNNNNN 식별자 인식·CVE 매핑
  • 단일 보고 플랫폼 통합 계획 — ENISA가 사양을 공개하는 즉시 시험에 착수할 수 있는 준비
  • 내부 정책·플레이북 — 지원 기간(최소 5년)에 걸친 취약점·사고 보고 절차
  • 의사결정 문서화 — 도구 선정, 처리 담당자, 외부 커뮤니케이션 책임자

5.3 2027년 12월 11일까지 갖춰야 할 항목

CE 마킹과 적합성 평가, 조화 표준(EN ISO/IEC 29147, 30111, prEN 40000-2-1 등) 준수, Annex I 본질 요건의 전면 충족이 필요하다. 본 보고서 작성 시점에 조화 표준이 책정 중이므로 CEN/CENELEC JTC 13 WG 9의 표준 발행 일정(2026-08-30 수평 / 2026-10-30 수직 목표)을 함께 모니터링해야 한다.

5.4 한국 SW공급망 보안 가이드라인과의 상호 활용

한국인터넷진흥원(KISA) 등 4개 기관이 2024년 5월 발표한 SW 공급망 보안 가이드라인 1.0은 30개 보안 점검 항목과 SBOM 생성·취약점 점검 절차를 NIST SSDF 기반으로 권고한다. CRA의 본질 요건과 NIST SSDF가 기능적으로 정렬되므로 국내 가이드라인을 따라 구축한 체계는 CRA 대응의 출발점으로 활용 가능하다. 다만 한국 가이드라인은 권고이고 CRA는 법적 강제·과징금 체계이며, CRA는 보고 의무를 별도로 부과한다는 점에서 한 단계 더 나아간 통합이 필요하다.

5.5 리스크 우선순위

가장 비중 있게 다룰 리스크는 시점·분류·공급망 셋이다. SRP 사양 공개가 늦어 통합 시험을 4개월 안에 마쳐야 할 가능성이 시점 리스크이고, 사양 발표 즉시 착수할 수 있는 인력 배정이 필요하다. 분류 리스크는 자사 제품이 시행규칙 (EU) 2025/2392의 “중요·중대 제품” 범주에 해당하는지에 따라 적합성 평가 경로가 갈리는 문제로, 분류 판단을 가장 먼저 끝내야 한다. 공급망 리스크는 자사가 직접 EU에 출시하지 않더라도 EU 출시 제품의 부품·소프트웨어를 공급하면 책임이 작동하는 경우다. 고객사의 CRA 대응 절차를 사전에 점검해두어야 한다.


6. 참고 자료

본 보고서 본문에서 인용한 참고문헌. 카테고리 코드와 번호 체계는 03-references.md와 일치한다.

A. 법령·규제 원문 (1차)

A1. European Parliament and Council (2024). Regulation (EU) 2024/2847 of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act). Official Journal of the European Union, OJ L, 2024/2847, 20.11.2024. https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng (접속: 2026-05-12).

A2. European Commission (2025). Commission Delegated Regulation (EU) 2026/881 of 11 December 2025 supplementing Regulation (EU) 2024/2847 with regard to the conditions for delaying dissemination of notifications of actively exploited vulnerabilities and severe incidents. Published 20 April 2026. https://eur-lex.europa.eu/eli/reg_del/2026/881/oj (접속: 2026-05-12).

A3. European Commission (2025). Commission Implementing Regulation (EU) 2025/2392 of 28 November 2025 laying down technical descriptions of categories of important and critical products with digital elements. OJ L, 2025/2392. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202502392 (접속: 2026-05-12).

A4. European Parliament and Council (2022). Directive (EU) 2022/2555 — NIS2 Directive. OJ L 333, 27.12.2022. https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng (접속: 2026-05-12).

A5. European Parliament and Council (2016). Regulation (EU) 2016/679 — General Data Protection Regulation (GDPR). OJ L 119, 4.5.2016. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679 (접속: 2026-05-12).

B. 발행 기관 공식 문서

B1. European Commission, DG CNECT (2026). Cyber Resilience Act — Shaping Europe’s digital future. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (접속: 2026-05-12).

B2. European Commission, DG CNECT (2026). Cyber Resilience Act — Reporting obligations. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (접속: 2026-05-12).

B3. European Commission, DG CNECT (2024). The Cyber Resilience Act — Summary of the legislative text. https://digital-strategy.ec.europa.eu/en/policies/cra-summary (접속: 2026-05-12).

B4. ENISA (2026). Single Reporting Platform (SRP). https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp (접속: 2026-05-12).

B5. ENISA & Joint Research Centre (2024). Cyber Resilience Act Requirements Standards Mapping — Joint Analysis. April 2024. https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping (접속: 2026-05-12).

B6. ENISA (2025). Cyber Resilience Act implementation via EUCC and its applicable technical elements. Published 26 February 2025. https://certification.enisa.europa.eu/publications/cyber-resilience-act-implementation-eucc-and-its-applicable-technical-elements_en (접속: 2026-05-12).

C. 표준·프레임워크

C1. ISO/IEC (2019). ISO/IEC 30111:2019 — Vulnerability handling processes. https://www.iso.org/standard/69725.html (접속: 2026-05-12).

C2. ISO/IEC (2018). ISO/IEC 29147:2018 — Vulnerability disclosure. https://www.iso.org/standard/72311.html (접속: 2026-05-12).

C3. ISO/IEC (2021). ISO/IEC 5962:2021 — SPDX® Specification V2.2.1. https://www.iso.org/standard/81870.html (접속: 2026-05-12).

C4. The Linux Foundation / SPDX Project (2024). SPDX Specifications (v3.0). https://spdx.dev/specifications/ (접속: 2026-05-12).

C5. OWASP Foundation / Ecma International (2025). CycloneDX Specification v1.7 / ECMA-424. https://cyclonedx.org/specification/overview/ (접속: 2026-05-12).

C6. Souppaya, M., Scarfone, K., Dodson, D. — NIST (2022). Secure Software Development Framework (SSDF) Version 1.1. NIST SP 800-218. DOI: 10.6028/NIST.SP.800-218. https://csrc.nist.gov/publications/detail/sp/800-218/final (접속: 2026-05-12).

D. 학술·정책 연구

D1. OpenSSF Best Practices WG / Global Cyber Policy WG (2025). Cyber Resilience Act (CRA) Brief Guide for Open Source Software (OSS) Developers. Lead author: David A. Wheeler. https://best.openssf.org/CRA-Brief-Guide-for-OSS-Developers.html (접속: 2026-05-12).

E. 업계·법무법인 분석

E1. Bird & Bird LLP (2026). CRA’s phased entry into application starts in September 2026. https://www.twobirds.com/en/insights/2026/cra%E2%80%99s-phased-entry-into-application-starts-in-september-2026 (접속: 2026-05-12).

E2. DLA Piper — Blum, L. & Moylan Burke, L. (2026). Cyber Resilience Act: What you need to know and what you need to be doing. 19 February 2026. https://www.dlapiper.com/en/insights/publications/2026/02/cyber-resilience-act-what-you-need-to-know-and-what-you-need-to-be-doing (접속: 2026-05-12).

E3. DLA Piper (2026). Cyber Resilience Act: Commission unveils draft implementation guidance. https://www.dlapiper.com/en-us/insights/publications/law-in-tech/2026/cyber-resilience-act (접속: 2026-05-12).

E4. HackerOne — Eldering, B. (2026). EU Cyber Resilience Act: Preparing Your VDP for 2026 Reporting Requirements. https://www.hackerone.com/blog/cyber-resilience-act-vdp-2026-reporting-readiness (접속: 2026-05-12).

F. 언론·공식 발표 (보조)

F1. ENISA (2025). Consult the European Vulnerability Database to enhance your digital security! 13 May 2025. https://www.enisa.europa.eu/news/consult-the-european-vulnerability-database-to-enhance-your-digital-security (접속: 2026-05-12).

F2. European Commission (2025). EU launches a European vulnerability database to boost its digital security. https://digital-strategy.ec.europa.eu/en/news/eu-launches-european-vulnerability-database-boost-its-digital-security (접속: 2026-05-12).

G. 회원국 기관 기술 가이드

G1. Bundesamt für Sicherheit in der Informationstechnik (BSI) (2025). Technical Guideline TR-03183-2 v2.1.0 — Cyber Resilience Requirements for Manufacturers and Products, Part 2: Software Bill of Materials (SBOM). August 2025. 요지 정리: Sbomify, EU Cyber Resilience Act (CRA) SBOM Requirements. https://sbomify.com/compliance/eu-cra/ (접속: 2026-05-12).


조사 기준일: 2026-05-12


함께 보기

이 보고서는 다음 단계별 산출물을 통합한 결과입니다. 본문에서 인용한 출처의 검증 이력과 단계별 원자료를 함께 공개합니다.

페이지내용
원본 번역Black Duck 체크리스트(3쪽)의 국문 번역 — 표·체크박스 보존
배경CRA 입법 경위, 이해관계자, 관련 표준 매핑, 한·미·영 비교
최신 동향2025~2026 위임법·시행규칙·가이던스, SRP/EUVD 현황, 업계 반응 (41개 출처)
참고 자료인용 가능한 1차 출처 카탈로그 (25건, 카테고리별)
검증 보고서URL 점검 + 환각 검출 1건 정정 이력
메이킹8개 에이전트가 어떻게 협업해 이 보고서를 만들었는가

1 - 원본 번역 — Black Duck 체크리스트

Black Duck Software가 2026년 4월 발행한 EU CRA Vulnerability Reporting Checklist 원본의 국문 번역. 표·체크박스 등 원문 구조를 보존.

EU CRA 취약점 보고 체크리스트: 2026년 9월 의무 사항

(원문 제목: EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations)

발행: Black Duck Software, Inc. (2026년 4월) 문서 위상: 업계 분석·실무 체크리스트 (법적 구속력 없음). 1차 출처는 사이버 복원력법(Cyber Resilience Act, CRA) 원문임.


개요

(원문 p.2)

유럽연합(EU) 사이버 복원력법(Cyber Resilience Act, CRA)은 EU 시장에서 판매되는 소프트웨어·하드웨어 제품에 대해 의무적 사이버보안 요건을 도입한다. 이는 제품 전 생애주기에 걸친 설계 보안(security by design), 취약점 처리(vulnerability handling), 지속적 유지보수를 포괄한다.

2026년 9월 11일부터 CRA는 시행 단계에 진입한다. 이 시점부터 제조사(manufacturer), 수입사(importer), 유통사(distributor)는 **실제 악용되고 있는 취약점(actively exploited vulnerabilities)**과 **중대한 보안 사고(severe security incidents)**를 유럽 사이버보안청(European Union Agency for Cybersecurity, ENISA)과 지정된 국가별 침해사고대응팀(Computer Security Incident Response Team, CSIRT)에 통지해야 한다.

귀 조직은 CRA 취약점 보고 요건을 충족할 준비가 되었는가? 본 체크리스트가 준비 과정에 도움이 될 수 있다.


1. 적용 대상 제품 (In-Scope Products)

(원문 p.2)

CRA는 모든 소프트웨어를 기본 분류로 포함하는 제품 분류 체계를 정의하며, 주요 제품 기능에 따라 점차 엄격해지는 분류를 적용한다. 의료기기 등 별도의 사이버보안 의무가 적용되는 제품은 제외된다. 위반 시 벌금(전 세계 매출의 일정 비율)과 EU 시장에서의 제품 회수가 부과될 수 있다.

CRA 적용 대상은 다음 기준을 모두 충족하는 제품이다:

  • **디지털 요소를 가진 제품(product with digital elements)**에 해당 — 소프트웨어, 펌웨어, 임베디드 소프트웨어, 연결 제품 동작에 필요한 소프트웨어를 포함
  • EU에서 상업적으로 유통되는 제품 (상업 활동이 없는 자유·오픈소스 소프트웨어는 일반적으로 제외)
  • 이미 더 엄격한 산업별 규제의 적용을 받지 않는 제품
  • EU 시장에서 판매되는 레거시 제품도 적용 범위에 포함 — 신규 출시 제품에 한정되지 않음

2. 의무 보고 시한 (Mandatory Reporting Timelines)

(원문 p.2)

  • 24시간 이내 초기 경고(early warning) — 실제 악용 취약점 또는 중대한 보안 사고를 인지한 시점부터. (주의: 24시간은 분류·해결을 위한 시간이 아니라, 조기 경보 체계로만 의도됨)
  • 72시간 이내 트리아지 보고(triage report) — 취약점 분류(triage) 완료 후. 해결 방안(예: 수정 계획) 또는 제품에 영향을 미치지 않는다는 판단을 포함해야 한다.
  • 14일 이내 최종 보고(final report) — 완화 조치(remediation) 가용 후. 학습된 교훈과 프로세스 개선 사항을 포함.
  • 보고 체계는 2026년 9월 이전에 운영 가능하고 시험을 마친 상태여야 한다.

3. SBOM 요건 (SBOM Requirements)

(원문 p.2)

  • 출고되는 모든 제품 버전마다 소프트웨어 자재명세서(Software Bill of Materials, SBOM)가 생성되어야 한다.
  • SBOM은 **표준화된 형식(SPDX 또는 CycloneDX)**으로 작성되어야 한다.
  • SBOM은 시장 감시 당국(market surveillance authorities)의 검토 대비로 보관되어야 한다.
  • 시장 감시 당국 외 제3자에게 SBOM을 공유할 의무는 없다.

4. 지속적 취약점 모니터링 (Continuous Vulnerability Monitoring)

(원문 p.2)

  • 제조사·유통사·수입사는 공급망 리스크의 변동을 식별하기 위한 지속적 취약점 모니터링 절차를 구현해야 한다 — 유럽 취약점 데이터베이스(European Vulnerability Database, EUVD) 또는 유럽위원회(European Commission)가 정의한 기타 데이터 출처를 통한 변동 정보 활용.
  • 모니터링 도구는 잠재적으로 악용 가능한 취약점을 우선순위에 따라 처리해야 한다.
  • 모니터링은 공급망 내 제품의 역할에 부합해야 한다 — 예: A사가 B사가 사용하는 부품을 생산하는 경우, A사는 잠재적으로 악용 가능한 취약점이 있는 제품을 출하하지 않을 책임을 진다.

5. 보고 인프라 (Reporting Infrastructure)

(원문 p.3)

  • CRA 단일 보고 플랫폼(single reporting platform)과의 통합이 계획되어 있거나 시험을 마친 상태여야 한다.
  • 내부 정책과 플레이북은 제품 전 생애주기(지원 기간 포함)에 걸친 취약점·사고 보고를 기술해야 한다.
  • 모든 사이버보안 의사결정(도구 선정 포함)이 문서화되어야 한다 — 예: 도구의 성공 기준과 CRA 의무 부합 여부, 취약점을 누가 처리하고 어떻게 결론에 이르렀는지, 외부 커뮤니케이션 담당자.

6. 설계 보안 증빙 (Secure by Design Evidence)

(원문 p.3)

  • 제품 리스크 평가가 수행·문서화되어야 한다.
  • 취약점 처리 절차가 문서화되고 반복 가능해야 한다.
  • 로그와 기록이 보존되어 컴플라이언스 조치를 증빙할 수 있어야 한다.

7. 시점별 의무 요약

(원문 p.3 — 두 개의 강조 박스)


8. Black Duck의 지원 (참고)

(원문 p.3 — 발행사 마케팅 섹션. 정보 보존 차원에서 옮김)

Black Duck은 CRA의 엄격한 요건을 충족하기 위해 설계된 도구를 제공한다.

  • Black Duck® SCA — 제3자(서드파티) 리스크를 식별하고, EUVD에 등재된 취약점의 악용 가능성을 명시해 24시간 보고 요건 충족을 지원.
  • Coverity® Static Analysis — 디지털 요소를 가진 제품을 공급망 내 고객에게 출하하기 전, 서드파티 리스크로 전이될 수 있는 자사 리스크(first-party risk)를 식별.
  • Defensics® Fuzzing — 사이버-물리 장치, 어셈블리/서브어셈블리, 예비 부품에 연관된 자사·서드파티 리스크를 식별.

[원문의 “Contact us” CTA 박스 — 본 번역본에 미포함]


발행 정보

(원문 p.3 하단)

  • About Black Duck: Black Duck®는 규제·AI 기반 환경에서 현대 소프트웨어의 이사회 수준 리스크에 대응한다. True Scale Application Security를 통해, 클라우드·온프레미스 환경에서 미션 크리티컬 소프트웨어 보안 솔루션을 제공.
  • 저작권: ©2026 Black Duck Software, Inc. All rights reserved.
  • 공개 시점: 2026년 4월
  • 웹사이트: www.blackduck.com

번역자 주

  • 본 문서는 법령 원문이 아니라 업계 발행 체크리스트이다. 모든 의무·시한의 법적 권위는 CRA 원문(Regulation (EU) 2024/2847)에 있다.
  • “actively exploited vulnerability"는 본 번역에서 “실제 악용되고 있는 취약점"으로 통일했다. 일부 한국어 자료에서는 “활발히 악용되는 취약점"으로도 표기된다.
  • “severe security incident"는 “중대한 보안 사고"로 옮겼다.
  • 원문은 체크박스 양식이라 번역본도 마크다운 체크박스로 유지했다.

2 - 배경 — CRA 입법 경위·이해관계자·표준 매핑

CRA가 어디서 왔고, 누가 영향받으며, 어떤 표준과 매핑되는가. 한·미·영 유사 제도 비교 포함.

배경: EU CRA 취약점 보고 의무

1. 자료 개요

검토 대상 문서는 블랙덕 소프트웨어(Black Duck Software, Inc.)가 2026년 4월에 발행한 EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations다.1 블랙덕은 소프트웨어 구성 분석(Software Composition Analysis, SCA), 정적 분석(Static Analysis), 퍼징(Fuzzing) 등 애플리케이션 보안 솔루션을 제공하는 미국 매사추세츠주 기반 상장 기업으로, 2024년 시놉시스(Synopsys)의 소프트웨어 무결성 사업부가 분사되어 설립되었다.1

이 체크리스트는 법적 구속력이 없는 업계 자료다. 1차 출처는 사이버 복원력법(Cyber Resilience Act, CRA) 원문 — 규정(EU) 2024/2847 — 이며, 체크리스트는 제조사 컴플라이언스 담당자가 2026년 9월 11일 시행되는 취약점 보고 의무에 대비하도록 만들어진 마케팅·교육 자료다.1 모든 의무와 시한의 법적 권위는 CRA 원문, 그리고 유럽위원회(European Commission)·유럽 사이버보안청(European Union Agency for Cybersecurity, ENISA)의 공식 자료에 있다.

2. 상위 규제: 사이버 복원력법(CRA)

2.1 공식 명칭과 발효

CRA의 정식 명칭은 규정(EU) 2024/2847 — 디지털 요소를 가진 제품의 수평적 사이버보안 요건에 관한 규정(Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements)이다.2 유럽연합 관보(Official Journal of the EU)에는 2024년 11월 20일 게재되었고3, 그로부터 20일 뒤인 2024년 12월 10일 발효되었다.34

2.2 단계별 적용(Staggered application)

CRA는 한 번에 전면 적용되지 않고 단계적으로 발효된다.45

시점적용 의무
2024-12-10발효 (Entry into force)
2026-06-11적합성 평가 기관(notified bodies) 통보 관련 조항(제IV장) 적용
2026-09-11제14조 보고 의무(Reporting obligations) 적용 — ENISA 단일 보고 플랫폼 운영 개시
2027-12-11CRA 주요 의무 전면 적용 (CE 마킹, 적합성 평가, 본질적 사이버보안 요건 등)

2.3 적용 범위와 핵심 의무

적용 대상은 “디지털 요소를 가진 제품(product with digital elements, PDE)“이다. 하드웨어·소프트웨어 및 별도로 시장에 출시된 구성요소까지 포괄하며, 장치·네트워크와 직접·간접적인 논리적/물리적 데이터 연결을 갖는 제품이 모두 포함된다. 상업적으로 공급되지 않는 제품, 그리고 의료기기처럼 이미 별도의 부문별 사이버보안 입법이 적용되는 제품은 제외된다.5

제조사가 제13~14조에 따라 부담하는 의무는 크게 다음 축으로 묶인다.5

  • 설계·개발·생산 단계의 본질적 사이버보안 요건 준수, 리스크 평가와 문서화, 제3자 구성요소에 대한 실사(due diligence)
  • CE 마킹과 적합성 평가, 그리고 시장 출시 후 최소 5년(또는 예상 사용 기간)에 해당하는 지원 기간(support period) 명시
  • 제14조 보고 의무 — 실제 악용 취약점과 중대 사고 통지

2.4 제14조: 보고 의무의 핵심

제조사는 두 부류의 사건 — 실제 악용되고 있는 취약점(actively exploited vulnerabilities), 그리고 제품 보안에 영향을 미치는 중대한 보안 사고(severe incidents) — 을 인지한 즉시 회원국 코디네이터 CSIRT와 ENISA에 동시 통지해야 한다.67

단계시한내용
조기 경보(Early warning)인지 후 24시간영향 회원국, 악의적 활동 연관 여부
본 통지(Notification)72시간취약점·사고의 일반적 성격, 사용 가능한 완화 조치, 민감도 평가
최종 보고(Final report) — 취약점완화 조치 가용 후 14일심각도·영향, 위협 행위자 정보, 보안 업데이트
최종 보고 — 사고통지 후 1개월상세 사고 기술, 위협 유형/근본 원인, 완화

24시간 시한은 분류·해결 시간이 아니라 조기 경보 체계로만 의도된 것이다.6 마이크로기업과 소기업은 24시간 시한 미준수에 따른 과징금이 면제된다.5

3. 입법 경위 (타임라인)

timeline
    title CRA 입법 타임라인 (2021–2027)
    2021-09 : 폰 데어 라이엔(von der Leyen) 위원장, 연두교서에서 CRA 예고
    2022-03 : 공개 의견수렴 개시
    2022-09-15 : 유럽위원회, CRA 입법 제안 발표 (COM(2022)454)
    2023-07 : 유럽의회 ITRE 위원회, 보고서 채택
    2023-09-27 : 1차 3자 협상(trilogue)
    2023-11-08 : 2차 3자 협상
    2023-11-30 : 잠정 정치적 합의(provisional agreement) 도달
    2023-12-01 : Coreper, 합의 확정
    2024-03-12 : 유럽의회 본회의, 텍스트 채택 (찬성 517, 반대 12, 기권 78)
    2024-10-10 : 이사회(Council) 최종 채택
    2024-10-23 : 서명
    2024-11-20 : 유럽연합 관보 게재
    2024-12-10 : 발효
    2026-09-11 : 제14조 보고 의무 적용 개시
    2027-12-11 : CRA 전면 적용

주요 시점은 유럽의회 입법 트레인, 유럽위원회 요약, Wikipedia 항목에서 교차 확인했다.458

3.1 오픈소스 커뮤니티의 영향

2022~2023년 초안 단계에서 이클립스 재단(Eclipse Foundation), 오픈소스 이니셔티브(OSI), 도큐먼트 재단(Document Foundation) 등은 “상업 활동(commercial activity)” 정의가 불명확해 자원봉사 개발자에게 컴플라이언스 부담을 지운다는 우려를 제기했다.8 2023년 12월 정치적 합의 시 “오픈소스 스튜어드(open source steward)” 개념과 오픈소스 예외가 도입되어 이클립스 재단의 마이크 밀린코비치(Mike Milinkovich)는 개선을 평가했으나, 데비안(Debian)·OSI는 소규모 재배포자에 대한 영향에 대해 우려를 유지했다.8

4. 이해관계자

주체역할/의무입장·우려
제조사(Manufacturer)본질적 사이버보안 요건 충족, 적합성 평가, 제14조 보고, 지원 기간 동안 취약점 처리524시간 조기 경보 시한이 분류 전 단계임을 강조 — 과잉 보고 부담 우려6
수입사(Importer)CRA 적합성 확인, CE 마킹·기술 문서 존재 확인, 비준수 제품 유통 중단5제조사 자료 의존도 — 책임 분담 모호성
유통사(Distributor)CE 마킹·연락처·지원 기간 표시 확인, 취약점 인지 시 제조사에 통지5다수 제품 취급 시 검증 부담
ENISA(유럽 사이버보안청)단일 보고 플랫폼(Single Reporting Platform, SRP) 구축·운영, EUVD 운영, 제조사 통지 수신910NIS2와 CRA 두 체제 운영의 자원 부담
국가 코디네이터 CSIRT제조사 본부 소재 회원국 기준 1차 수신, 관련 회원국 CSIRT로 전파79예외 상황 시 사이버보안 사유로 전파 지연 가능
시장 감시 당국(Market Surveillance Authority)회원국이 지정, CRA 집행, 비준수 제품 시정·회수 명령, ADCO 통한 국제 협력5회원국 간 집행 강도 편차
유럽위원회(Commission)위임법(delegated acts)·이행법(implementing acts)을 통해 세부 규정 보완 (예: 중요·중대 제품 분류)5
오픈소스 스튜어드사이버보안 정책 보유, 취약점 보고 의무 — 단, CRA 위반 과징금 면제5정의·실무 가이드 부족

5. 관련 표준·프레임워크

CRA는 본질적 요건만 규정하고 세부는 조화 표준(harmonised standards)에 위임한다.

표준/프레임워크정식 명칭CRA 매핑
ISO/IEC 29147:2018Information technology — Security techniques — Vulnerability disclosure취약점 공시 절차 — 제13조 취약점 처리 및 제14조 보고 의무에 대응11
ISO/IEC 30111:2019Information technology — Security techniques — Vulnerability handling processes취약점 처리 절차 — 부속서 I(Annex I) 취약점 처리 요건의 기반이 되는 EN 표준의 후보1112
SPDX (ISO/IEC 5962:2021)Software Package Data ExchangeCRA가 명시하는 SBOM 표준 형식 후보13
CycloneDXOWASP CycloneDX BOM StandardCRA SBOM 표준 형식 후보 — VEX(Vulnerability Exploitability eXchange) 네이티브 지원13
NIST SSDF (SP 800-218)Secure Software Development Framework설계 보안(secure by design) 요건과 기능적으로 정렬 — 한국 SW공급망 가이드라인 1.0도 SSDF 활용 권고14
EUVDEuropean Vulnerability DatabaseNIS2 지침 제12조에 근거해 ENISA가 2025년 5월 13일 출범 — CRA SRP와는 별개의 공시 데이터베이스10
CRA SRPSingle Reporting Platform (CRA 제16조)2026년 9월 11일 가동 예정 — 제14조 보고 채널9

주의: 위 표는 매핑 후보를 정리한 것이다. CEN/CENELEC JTC 13 WG 9가 CRA용 EN 조화 표준을 책정 중이라 최종 인용 표준은 바뀔 수 있다.12

6. 타 관할권 비교

6.1 미국: EO 14028 + CISA KEV

2021년 5월 12일 바이든 행정명령 14028호(Executive Order 14028, “Improving the Nation’s Cybersecurity”)는 연방 정부 조달 소프트웨어에 대한 SBOM 요건과 공급망 보안 강화를 지시했다.15 CISA(Cybersecurity and Infrastructure Security Agency)는 BOD 22-01에 따라 알려진 악용 취약점 목록(Known Exploited Vulnerabilities Catalog, KEV)을 운영하며, 연방 민간 행정기관(FCEB)에 기한 내 조치를 의무화한다.16

항목EU CRAUS (EO 14028 + KEV)
적용 대상EU 시장 출시 모든 PDE연방 조달 SW (민간은 권고)
보고 주체제조사·수입사·유통사연방 기관 (KEV는 사후 대응)
시한24h/72h/14dKEV는 별도 기한 부여
법적 강제력규정(직접 효력)행정명령·BOD (연방 한정)

CRA는 시장 출시 단계의 사전 규제이고, EO 14028/KEV는 연방 조달과 사후 대응에 무게가 실린다는 점에서 작동 방식이 다르다.

6.2 영국: PSTI Act 2022

영국 제품보안·통신인프라법(Product Security and Telecommunications Infrastructure Act 2022, PSTI Act)은 2024년 4월 29일 시행되었다.17 소비자용 연결 제품(consumer connectable products)에 대해 ① 기본 비밀번호 금지, ② 취약점 보고 채널 유지, ③ 보안 업데이트 기간 공개를 의무화한다.17

항목EU CRAUK PSTI
적용 범위모든 PDE (B2B 포함)소비자용 연결 제품 한정
취약점 처리처리 + 당국 보고 의무보고 접수 채널만 의무
CE 마킹필수별도
시행 시점2027-12-11 전면2024-04-29

PSTI가 소비자 IoT에 좁게 초점을 맞춘 반면 CRA는 모든 디지털 요소 제품을 수평적으로 다루므로, 두 제도는 범위와 깊이가 다르다.

6.3 한국: SW공급망 보안 가이드라인 1.0 (참고)

한국에서는 과학기술정보통신부·국가정보원·디지털플랫폼정부위원회·한국인터넷진흥원(KISA)이 2024년 5월 SW 공급망 보안 가이드라인 1.0을 발표했다. 30개 보안 점검 항목, SBOM 생성·취약점 점검 절차, NIST SSDF 활용 권고가 포함된다.14 다만 행정 가이드라인 수준이다. 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)이나 정보보호산업법 등 현행 법령에는 CRA에 직접 대응하는 제조물 차원의 강제 보고 의무가 아직 없다.

참고 자료


  1. Black Duck Software, EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations, 2026년 4월. (사용자 제공 1차 자료 — /Users/1112821/projects/research/reports/eu-cra-vulnerability-reporting/00-source.md↩︎ ↩︎ ↩︎ ↩︎

  2. EUR-Lex, “Regulation - 2024/2847 - EN” — https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng (접속: 2026-05-12). 검색 결과를 통해 공식 ELI URI가 확인됨. ↩︎

  3. European Commission, “Cyber Resilience Act | Shaping Europe’s digital future” — https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (접속: 2026-05-12). 발효일(2024-12-10), 단계 적용 일정 확인. ↩︎ ↩︎

  4. European Parliament, “Horizontal cybersecurity requirements for products with digital elements — Legislative Train” — https://www.europarl.europa.eu/legislative-train/theme-a-europe-fit-for-the-digital-age/file-european-cyber-resilience-act (접속: 2026-05-12). 입법 절차 일정(제안일, 3자 협상, 채택, 서명) 확인. ↩︎ ↩︎ ↩︎ ↩︎

  5. European Commission, “The Cyber Resilience Act - Summary of the legislative text” — https://digital-strategy.ec.europa.eu/en/policies/cra-summary (접속: 2026-05-12). 적용 범위·정의·이해관계자 의무·단계 적용 일정·오픈소스 예외 확인. ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

  6. Black Duck Software, EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations, 2026년 4월 (출처 1). 24h 조기 경보의 성격에 대한 업계 해석. ↩︎ ↩︎ ↩︎

  7. European Commission, “Cyber Resilience Act - Reporting obligations” — https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (접속: 2026-05-12). 보고 시한, ENISA·CSIRT 역할 확인. ↩︎ ↩︎

  8. Wikipedia, “Cyber Resilience Act” — https://en.wikipedia.org/wiki/Cyber_Resilience_Act (접속: 2026-05-12). 입법 타임라인 보조 및 오픈소스 커뮤니티 입장 인용. (1차 출처가 아닌 보조 자료로 사용; 핵심 날짜는 출처 4·5와 교차 확인) ↩︎ ↩︎ ↩︎

  9. ENISA, “Single Reporting Platform (SRP)” — https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp (접속: 2026-05-12). SRP 운영 주체·시점·기능 확인. ↩︎ ↩︎ ↩︎

  10. ENISA, “Consult the European Vulnerability Database to enhance your digital security!” — https://www.enisa.europa.eu/news/consult-the-european-vulnerability-database-to-enhance-your-digital-security (접속: 2026-05-12). EUVD 출범일(2025-05-13)·법적 근거(NIS2) 확인. ↩︎ ↩︎

  11. ISO, “ISO/IEC 29147:2018 — Vulnerability disclosure” — https://www.iso.org/standard/72311.html (접속: 2026-05-12); ISO, “ISO/IEC 30111:2019 — Vulnerability handling processes” — https://www.iso.org/standard/69725.html (접속: 2026-05-12). ↩︎ ↩︎

  12. CEN-CENELEC, “Online CRA Workshop ‘Deep dive session: Vulnerability handling’” (CEN/CLC JTC 13 WG 9), 2025-07-22 — https://www.cencenelec.eu/media/CEN-CENELEC/Events/Webinars/2025/cen-clc-jtc-13-wg-9_pt3_cra_workshop_2025-07-22.pdf (접속: 2026-05-12). EN ISO/IEC 29147:2020·EN ISO/IEC 30111:2019 기반 CRA 조화 표준 책정 현황. ↩︎ ↩︎

  13. OpenSSF, “Global Alignment on SBOM Standards: How the EU Cyber Resilience Act and OpenSSF Are Unifying Software Supply Chain Security”, 2025-10-22 — https://openssf.org/blog/2025/10/22/sboms-in-the-era-of-the-cra-toward-a-unified-and-actionable-framework/ (접속: 2026-05-12). SPDX·CycloneDX의 CRA 매핑 및 OpenSSF 정책. ↩︎ ↩︎

  14. 한국인터넷진흥원(KISA), “SW 공급망 보안 가이드라인 1.0”, 2024년 5월 — https://www.kisa.or.kr/2060204/form?postSeq=15&page=1 (접속: 2026-05-12). ↩︎ ↩︎

  15. CISA, “Executive Order on Improving the Nation’s Cybersecurity” — https://www.cisa.gov/topics/cybersecurity-best-practices/executive-order-improving-nations-cybersecurity (접속: 2026-05-12). EO 14028 개요와 SBOM·공급망 보안 지시 사항. ↩︎

  16. CISA, “Known Exploited Vulnerabilities Catalog” — https://www.cisa.gov/known-exploited-vulnerabilities-catalog (접속: 2026-05-12). KEV의 법적 근거(BOD 22-01)와 FCEB 적용 범위. ↩︎

  17. UK Government, “The UK Product Security and Telecommunications Infrastructure (Product Security) regime” — https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime (접속: 2026-05-12). PSTI Act 2022 시행일(2024-04-29)과 의무 사항. ↩︎ ↩︎

3 - 최신 동향 — 2025~2026년의 위임법·가이던스·업계 반응

ENISA SRP·EUVD 가동 현황, Commission 가이던스 초안, 오픈소스 진영의 공동 대응, 업계·시민사회의 비판 (41개 출처).

최신 동향: EU CRA 취약점 보고 의무

조사 기준일: 2026-05-12 대상 법규: 사이버 복원력법(Cyber Resilience Act, CRA) — Regulation (EU) 2024/2847

2024년 12월 10일 발효된1 EU CRA에서 가장 임박한 마감일은 2026년 9월 11일 취약점·중대 사고 보고 의무다. 아래는 그 시점을 앞두고 지난 24개월(2024년 5월 ~ 2026년 5월) 사이 쌓인 1차·2차 자료를 시간순으로 훑어본 기록이다.


1. 시행 일정 (현재 시점에서 본 정확한 마감일)

날짜이벤트법적 근거 / 출처
2024-11-20「관보(Official Journal)」 게재Regulation (EU) 2024/28471
2024-12-10발효(entry into force)CRA Art. 712
2025-05-13유럽 취약점 데이터베이스(European Vulnerability Database, EUVD) 공식 가동ENISA 보도자료(2025-05-13)3
2025-11-28시행규칙 (EU) 2025/2392 채택 — “중요(important)·중대(critical) 제품” 기술 기술서(技術書)Commission Implementing Regulation 2025/23924
2025-12-01(EU) 2025/2392 관보 공표EUR-Lex / 시행규칙4
2025-12-03유럽위원회(European Commission) 첫 공식 FAQ 발표Commission FAQ v1(2025-12-03, 2025-12-19 업데이트)5
2025-12-11위임법(delegated act) 채택 — CSIRT 통지 지연(grounds for delaying dissemination) 조건위임법 (EU) 2026/0881 (예정 번호)6
2025-12-21시행규칙 (EU) 2025/2392 발효EUR-Lex4
2026-03-03유럽위원회 첫 가이던스 초안(draft guidance) 공개 — 공공 의견수렴 시작EC 보도자료(2026-03-03)7
2026-03-31가이던스 초안 의견수렴 마감EC 보도자료(2026-03-03)7
2026-06-11적합성 평가기관(Conformity Assessment Bodies) 통지 조항 적용 개시CRA Art. 71(2)8
2026-09-11취약점·중대 사고 보고 의무 적용 개시 + ENISA 단일 보고 플랫폼(Single Reporting Platform, SRP) 가동CRA Art. 14, Art. 16910
2026-12-11회원국별 적합성 평가기관 통지 마감EU 집행위 시행 페이지8
2027-12-11CRA 전면 시행 — CE 마킹, 완전 적합성 평가, 모든 본질 요구사항 적용CRA Art. 71(2)28
timeline
    title CRA 핵심 마감일 (2024-2027)
    2024-12-10 : 발효
    2025-05-13 : EUVD 가동
    2025-11-28 : 시행규칙 2025/2392 채택
    2025-12-11 : CSIRT 통지지연 위임법 채택
    2026-03-03 : 가이던스 초안 공개
    2026-06-11 : 적합성평가기관 조항 적용
    2026-09-11 : 취약점 보고 의무 + SRP 가동
    2027-12-11 : 전면 시행

2. 2025~2026년 발표된 공식 위임법·시행규칙·가이던스

2.1 시행규칙 (Implementing Acts)

Commission Implementing Regulation (EU) 2025/2392가 2025년 11월 28일 채택돼 12월 1일 관보 공표, 12월 21일 발효라는 비교적 빠른 일정으로 자리를 잡았다. 이 규칙은 CRA Annex III·IV에 열거된 “중요(important)·중대(critical) 제품"의 기술적 정의를 확정하면서, 28개 제품 범주를 3개 위험등급(중요 Class I / Class II / 중대)으로 가른 기술서를 부속한다.4 Hogan Lovells는 2026년 2월 분석에서 “이 규칙으로 제조사가 자사 제품의 적용 등급을 판단할 1차 기준이 확보됐다"고 평가했다.11

2.2 위임법 (Delegated Acts)

CSIRT 통지 지연(delay of dissemination) 위임법은 2025년 12월 11일 채택돼 2026년 4월 20일 관보에 실렸다. 국가 CSIRT가 단일 보고 플랫폼을 통해 받은 통지를 다른 CSIRT에 즉시 전파하지 않을 수 있는 “사이버보안 사유"가 비로소 구체화됐다는 점에서 의미가 있다. 위임법은 세 가지 사유를 들었다 — ① 통지된 정보의 성격에 대한 평가에 비추어 정당화되는 경우, ② 수신 CSIRT가 해당 정보의 기밀성을 보장할 수 없는 경우, ③ 단일 보고 플랫폼이 침해되었거나 일시적으로 운영이 불가한 경우. 트래픽 라이트 프로토콜(TLP)·정보 접근 프로토콜(PAP) 등으로 위험을 완화할 수 없을 때만, 그리고 “엄격히 필요한 기간"에 한해 지연이 허용된다.612

수정 이력 (2026-05-12, fact-checker 검증 반영): 위 3개 사유는 위임법 (EU) 2026/881 원문 기준으로 재기술됨. 이전 초안의 “72시간 내 완화조치 준비 / CVD 절차로 수령 / 수신 CSIRT가 사이버 사고 중"은 실제 위임법과 다른 잘못된 기술이었음.

2.3 가이던스(Guidance) 문서

유럽위원회의 첫 공식 FAQ가 2025년 12월 3일에 나왔고(12월 19일 한 차례 업데이트), 위험평가의 범위·반복성과 “의도된 사용(intended purpose)” 및 “합리적 예측 가능 사용(reasonably foreseeable use)” 개념을 비구속적이지만 처음으로 풀어냈다. Timelex와 Alston & Bird는 “구속력은 없으나 시장감시당국의 해석에 강한 영향을 줄 것"이라 평가했다.513

이어 2026년 3월 3일에는 Article 26에 따른 첫 가이던스 초안(Draft Guidance)이 공개됐고, 3월 31일까지 공공 의견수렴이 진행됐다. 초안이 다룬 4개 주제는 ① 원격 데이터 처리 솔루션(remote data processing), ② 자유·오픈소스 소프트웨어(free and open-source software), ③ 지원 기간(support periods), ④ CRA와 NIS2·DORA 등 타 규정과의 상호관계다.714 Linklaters는 2026년 3월 정리에서 초안 75쪽 중 약 4분의 1이 오픈소스 스튜어드(open-source steward) 정의에 할애됐다고 짚었다.15

2.4 표준화 작업 (CEN/CENELEC/ETSI)

표준화 라인은 2025년 4월 3일 3개 표준화기구가 위원회의 표준화 위임(standardisation request)을 정식 수락하면서 본격적으로 움직였다. 위임은 41개 조화 표준(수평 15개·수직 25개)으로 구성됐다.16 같은 해 12월 수평 표준 EN40000-2-1(사이버 복원력 원칙)의 prEN 초안이 공개됐고, 이후 일정은 다음 두 마감일로 정리된다.

  • 2026-08-30(예정): 취약점 처리를 포함한 수평 표준 발행 목표일.16
  • 2026-10-30(예정): 수직 표준 발행 목표일.16

3. ENISA 단일 보고 플랫폼(SRP) 및 EUVD 현황

3.1 단일 보고 플랫폼(Single Reporting Platform, SRP)

SRP는 보고 의무 적용 개시일인 2026년 9월 11일에 동시 가동될 예정이다. ENISA는 그 이전에 시험 기간(testing period)을 두겠다고 밝혔지만, 시험 일정의 공식 공지는 본 보고서 작성 시점(2026-05-12)까지 나오지 않았다.10 법적 근거는 CRA Art. 16으로, ENISA가 CSIRT 네트워크와 협력해 기술·운영·조직적 사양을 마련하고, 회원국과 ENISA가 각자의 전자 통지 종단점(electronic notification end-points)을 설치할 수 있는 아키텍처를 갖추도록 한다.17

ENISA는 플랫폼의 턴키(turnkey) 구축을 위해 조달 절차를 공시하면서 “NIS2·DORA의 향후 사고·취약점 보고 체계와의 통합을 가능케 하는 미래지향 아키텍처"를 요구했다.18 설계 의도상 제조사가 한 번 제출하면 ① 주 사업장 소재국의 CSIRT 코디네이터와 ② ENISA로 자동 라우팅된다.1017

문제는 시점이다. 2026년 5월 기준으로 API 사양·데이터 모델·인증 방식의 공개 사양은 어디에도 발표돼 있지 않다. CRA Evidence(2026)는 “운영 개시 4개월 전까지 제조사가 통합 시험을 수행하기 어려울 정도로 사양 공개가 늦다"고 지적했다.19

3.2 유럽 취약점 데이터베이스(European Vulnerability Database, EUVD)

EUVD는 NIS2 Directive Art. 12를 이행하는 형태로 2025년 5월 13일 ENISA가 정식 가동했다.3 Computer Weekly는 사전 베타가 같은 해 4월에 이미 공개됐다고 보도했다.20 CRA의 “취약점 모니터링"은 EUVD를 1차 데이터 출처 중 하나로 명시한다(원문 p.2 본문 참조). 명명규칙은 독자적 ID 체계(EUVD-YYYY-NNNNNN)를 따르되 CVE ID와 CVSS 점수를 함께 적는다.21

운영 1년이 지난 시점의 평가는 호의적이지만은 않다. VulnCheck의 2025년 분석은 “‘operational’과 ‘beta’ 표시가 동시에 존재해 성숙도에 대한 혼란을 야기한다"며 API 설계·데이터 품질·커뮤니티 협업의 미비를 지적했고, ENISA가 EPSS 점수를 1차 데이터로 가져오면서 다섯 번째 소수자리를 누락한 채 100을 곱해 백분율로 환산하는 구현 오류도 함께 보고했다.22 같은 시기 Help Net Security(2025-05-14)는 NetRise CEO Thomas Pace가 “규제 감독으로 기업이 자진 보고를 줄일 수 있다"고, Contrast Security의 Jeff Williams가 “기하급수적으로 증가하는 CVE를 EU가 운영할 수 있을지 불확실"하다고 우려한 내용을 전했다.23

2026년 5월 현재 ENISA의 공식 통계 페이지는 누적 등재건수를 공개하지 않는다. 검색 화면에서는 EUVD-2026-NNNNN 형식의 식별자가 1만 건 이상 부여된 것을 확인할 수 있으나, 공식 통계로 확정된 수치는 없다.21 — 한계: 통계는 출처 공개를 확인하지 못해 본문 인용을 보류.


4. 이행 사례·준비 현황

4.1 대형 제조사

Siemens는 자사 사이버보안 포털 안에 별도의 “EU Cyber Resilience Act” 페이지를 운영하면서 “CRA의 도전 과제를 고객·산업파트너·이해관계자와 함께 해결하겠다"고 입장을 밝혔다. Siemens Advanta는 한 발 더 나아가 위탁 컨설팅 형태로 CE 마킹 취득 지원 라인을 출시했다.24 2026년 2월 Siemens Blog가 기계 제조사를 겨냥해 “5대 사이버보안 요건 변화” 시리즈를 발행한 것도 같은 흐름이다.25

반면 SAP의 CRA 전담 공식 성명이나 로드맵은 본 조사 범위 안에서 확인되지 않았다. ISACA의 2025년 산업 분석은 “SAP 시스템이 CRA의 직간접 적용을 받을 가능성"을 일반론 차원에서만 다룬다.26 — 한계.

4.2 오픈소스 재단의 공동 대응

오픈소스 진영의 공식 행동은 2024년 4월 2일 7개 재단의 공동 발표로 시작됐다. Apache Software Foundation, Blender Foundation, OpenSSL Software Foundation, PHP Foundation, Python Software Foundation, Rust Foundation, Eclipse Foundation이 “CRA 대응을 위한 보안 개발 공통 사양(common specifications) 수립” 이니셔티브를 함께 띄웠다.2728 5월 22일 Open Source Security Foundation(OpenSSF)이 이 컨소시엄에 합류하면서 보안 정책·절차의 표준화 작업에 가세했다.29

이후 Eclipse Foundation 산하로 Open Regulatory Compliance Working Group(ORC WG)이 발족했고, 그 안의 Stewards Cyber Resilience SIG는 2025~2026년 사이 백서 stewards-and-cra.md를 GitHub에 공개해 스튜어드의 책임 한계와 의무를 정리했다.30

4.3 SBOM 측 표준화

SBOM 정합성 논의는 2025년 동안 세 갈래로 굳어졌다. OpenSSF는 2025년 10월 22일 “SBOMs in the Era of the CRA” 블로그에서 SPDX·CycloneDX의 CRA 정합성과 통합 프레임워크 방향을 정리했고31, 같은 해 8월 독일 연방정보보안청(BSI)은 TR-03183-2 v2.1.0을 발표해 CycloneDX·SPDX 양식 모두에 대해 구체적 필드 매핑을 제공하는 CRA 정합 SBOM 기술 사양을 내놨다.32 CEN/CENELEC도 2025년 4월 8일 표준화 워크숍에서 Annex I 요구사항을 풀이하는 수평 표준이 SBOM 스키마를 포함해 2026년 중반까지 마련될 것이라고 보고했다.16


5. 업계·시민사회 반응

주체입장 / 핵심 주장발언 시점출처
Mike Milinkovich (Eclipse Foundation, 전무)“오픈소스 커뮤니티가 CRA 대응을 위한 사이버보안 프로세스를 직접 구축해야 한다”2024-04-02Eclipse Foundation 블로그28
7개 오픈소스 재단 공동 발표 (Apache·Eclipse·Python 등)“CRA의 영향 범위가 오픈소스 생태계 전반에 미치므로 공통 사양으로 협력 필요”2024-04-02TechCrunch27
OpenSSF (Mike Bursell, Cyber Policy WG)“프로젝트 리더라고 자동으로 스튜어드가 되는 것은 아니다. 모든 OSS 프로젝트가 스튜어드를 가질 필요는 없다”2025-06-02OpenSSF 블로그33
HackerOne (공공정책 페이지)“24시간 보고는 미완화 취약점의 조기 노출 위험을 키운다. 연구자-제조사 협력 관계를 위축시킬 수 있다”2024 (CRA 협상 단계)HackerOne34
Cybersecurity Coalition + HPC“CSIRT 통지지연 위임법 초안에 대한 공동 의견서” 제출 — CVD 절차 보호 요건 명확화 요청2025 (의견수렴 단계)Center for Cybersecurity Policy12
Eclipse Foundation 연례 전망“SME 인지도가 12.3%로 대기업(83.5%) 대비 현저히 낮음 — 2026년에 격차가 고통스럽게 드러날 것”2025-12-18Eclipse Foundation 블로그35
VulnCheck (블로그)“EUVD는 운영 상태와 베타 표시가 공존해 성숙도 의문. API·데이터 품질·커뮤니티 협업이 미흡”2025VulnCheck22
Thomas Pace (NetRise CEO)“EUVD 운영으로 기업이 자진 보고를 꺼릴 수 있다”2025-05-14Help Net Security23
Jeff Williams (Contrast Security CTO)“기하급수적 CVE 증가를 EU가 운영 가능할지 의문”2025-05-14Help Net Security23
DLA Piper 분석“법무·기술 부서 모두가 2026-09-11 이전에 보고 워크플로우를 시험해야 하나, SRP 사양 미공개로 시험 자체가 불가”2026-02DLA Piper36

6. 남은 쟁점 (Open Issues, 2026-05 기준)

오픈소스 스튜어드 정의의 실효성

2026년 3월 3일 가이던스 초안에서 위원회는 “기술적 권한(commit rights)이 아니라 거버넌스·의사결정 통제"를 책임의 기준으로 제시했다.157 동 초안은 스튜어드를 비기술 재단, IT 인프라 제공자, 엔지니어링 자원을 보유한 조직 등 3개 계층으로 구분했고, 계층별로 Article 14의 24/72시간 보고 의무 적용 여부가 달라진다고 못박았다.1537 다만 ASF·PSF 같은 비기술 재단이 어느 계층에 속하는지에 대한 모호성이 그대로 남아 있고, 3월 31일에 마감된 의견수렴 결과에 대한 위원회의 최종 정리는 본 보고서 작성 시점(2026-05-12)까지 공표되지 않았다. — 불확실성.

24시간 통지의 실효성 논란

CRA Art. 14는 24시간 초기경고가 “분류·해결을 위한 시간이 아니라 조기경보 체계"임을 못박지만, CPO Magazine(2024)과 CSO Online(2024)이 정리한 대로 보안연구자와 HackerOne 등은 “패치 전 노출 위험"을 근거로 일관되게 비판해왔다.383934 2025년 12월 11일 위임법은 CSIRT 사이의 전파를 지연할 조건을 마련했을 뿐, 제조사 → CSIRT 보고의 24시간 시한 자체에는 손대지 않았다.612

SBOM 형식의 세부 사양

원문 체크리스트(p.2)는 SPDX·CycloneDX를 인정하는 수준에 머무른다. 구체적 필드 정의는 BSI TR-03183-2(2025-08)와 CEN/CENELEC 수평 표준(2026-08-30 발행 목표) 작업에서 채워지는 중이다.3216 위원회는 SBOM 스키마를 시행규칙으로 정할 권한을 갖고 있으나, 2026년 5월까지 별도 시행규칙은 나오지 않았다.31

단일 보고 플랫폼의 API·인증 사양 미공개

가동 4개월 전인 2026년 5월 12일 기준으로 ENISA는 제조사용 통합 사양을 공식 공개하지 않았다.19 시험 기간의 개시일도 마찬가지로 미공시다.10

레거시 제품 적용 범위

보고 의무는 EU 시장에 이미 출시된 레거시 제품에도 적용된다(원문 p.2 본문 + Bird & Bird 분석).40 그러나 제품 단종(end-of-life) 시점의 보고 의무 종료 기준은 가이던스 초안에서도 명확하지 않은 채로 남아 있다.

Digital Omnibus 패키지의 통합 보고 창구

2025년 11월 위원회는 “Digital Omnibus” 패키지를 발표하면서, CRA·NIS2·DORA·GDPR 등의 사고 보고를 단일 진입점으로 통합하는 “report once, share many” 모델을 제안했다. 본 패키지 발효 후 18개월 안에 단일 진입점을 운영한다는 목표다.41 CRA SRP와의 관계 정리는 추가 입법으로 진행 중이고, 본 보고서 작성 시점에 두 체계의 통합 시점·범위는 확정되지 않았다. — 불확실성.


7. 향후 12개월 주요 일정 (2026-05 ~ 2027-05)

날짜이벤트비고
2026-05~08ENISA SRP 시험 기간(예상)공식 일정 미공시10
2026-Q2~Q3가이던스 초안 의견수렴 결과 반영·최종본 채택(예상)2026-03-31 마감 후 위원회 작업7
2026-06-11적합성 평가기관 통지 조항 적용 개시CRA Art. 718
2026-08-30CEN/CENELEC 수평 표준 EN40000-2-1 발행 목표일표준화 위임16
2026-09-11취약점 보고 의무 적용 + SRP 가동CRA Art. 14, 16910
2026-10-30CEN/CENELEC 수직 표준 발행 목표일표준화 위임16
2026-Q4EUCC(Common Criteria) 적합성 추정 위임법 채택(예상)EU 집행위 시행 페이지8
2026-12-11회원국별 적합성 평가기관 통지 마감CRA Art. 718
2027 상반기“Digital Omnibus” 단일 진입점 입법 진행(예상)Bird & Bird 분석41
2027-12-11CRA 전면 시행 (CE 마킹, 완전 적합성 평가)CRA Art. 71(2)2

참고 자료


  1. Regulation (EU) 2024/2847 — Cyber Resilience Act, Official Journal of the European Union, L series, 2024-11-20. https://eur-lex.europa.eu/eli/reg/2024/2847/oj (접속: 2026-05-12). ↩︎ ↩︎

  2. CRA Art. 71 (Entry into force and application). 본문 위 EUR-Lex 링크. (접속: 2026-05-12). ↩︎ ↩︎ ↩︎

  3. ENISA, “Consult the European Vulnerability Database to enhance your digital security!”, 2025-05-13. https://www.enisa.europa.eu/news/consult-the-european-vulnerability-database-to-enhance-your-digital-security (접속: 2026-05-12). ↩︎ ↩︎

  4. Commission Implementing Regulation (EU) 2025/2392 (adopted 2025-11-28, OJ 2025-12-01, in force 2025-12-21) — “Technical descriptions of important and critical products with digital elements.” 출처 정리: Secure-by-Design Handbook, “CRA Gets Teeth: Technical Definitions for Product Classes Now Official”, 2025-11-28. https://www.securebydesignhandbook.com/blog/2025/11/28/cra-implementing-regulation-published (접속: 2026-05-12). 및 C-PRAV Group, 2025-12-03. https://c-prav.com/2025/12/03/european-commission-adopts-regulation-eu-2025-2392-for-cyber-resilience-act-what-it-means-for-devices-with-digital-elements/ (접속: 2026-05-12). ↩︎ ↩︎ ↩︎ ↩︎

  5. European Commission, “Cyber Resilience Act implementation — Frequently asked questions”, 2025-12-03 발행(2025-12-19 업데이트). https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act-implementation-frequently-asked-questions (접속: 2026-05-12). ↩︎ ↩︎

  6. Commission Delegated Act (CELEX:32026R0881 예정 번호), 채택 2025-12-11 — CSIRT 통지 지연 사유. 출처: European Commission, “CRA — Reporting obligations”, 페이지 본문. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (접속: 2026-05-12). ↩︎ ↩︎ ↩︎

  7. European Commission, “Commission publishes for feedback draft guidance to assist companies in applying the Cyber Resilience Act”, 2026-03-03. https://digital-strategy.ec.europa.eu/en/news/commission-publishes-feedback-draft-guidance-assist-companies-applying-cyber-resilience-act (접속: 2026-05-12). ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

  8. European Commission, “Cyber Resilience Act — Implementation” factpage. https://digital-strategy.ec.europa.eu/en/factpages/cyber-resilience-act-implementation (접속: 2026-05-12). ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

  9. European Commission, “Cyber Resilience Act — Reporting obligations”. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (접속: 2026-05-12). 페이지 본문: “As of 11 September 2026, manufacturers are required to report actively exploited vulnerabilities and severe incidents…”. ↩︎ ↩︎

  10. ENISA, “Single Reporting Platform (SRP)” 페이지. https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp (접속: 2026-05-12). 페이지 본문: “The platform is scheduled to be operational by 11 September 2026… A testing period is expected to take place before this date.” ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

  11. Hogan Lovells, “EU Cyber Resilience Act: Key 2026 milestones toward CRA compliance”, 2026-02. https://www.hoganlovells.com/en/publications/eu-cyber-resilience-act-getting-ready-for-cra-compliance-in-2026 (접속: 2026-05-12). ↩︎

  12. Cybersecurity Coalition / Hacking Policy Council, “Comment on EU CRA Delegated Act on Delaying Dissemination of Notifications About Vulnerabilities and Incidents”, 2025. https://www.centerforcybersecuritypolicy.org/insights-and-research/cybersecurity-coalition-hpc-comment-on-eu-cra-delegated-act-on-delaying-dissemination-of-notifications-about-vulnerabilities-and-incidents (접속: 2026-05-12). ↩︎ ↩︎ ↩︎

  13. Alston & Bird, “European Commission Publishes Guidance For Companies Implementing the EU Cyber Resilience Act”, 2025-12. https://www.alstonprivacy.com/european-commission-publishes-guidance-for-companies-implementing-the-eu-cyber-resilience-act/ (접속: 2026-05-12). 및 Timelex, “First FAQ on the Cyber Resilience Act”, 2025-12. https://www.timelex.eu/en/blog/first-faq-cyber-resilience-act (접속: 2026-05-12). ↩︎

  14. Hogan Lovells, “EU Cyber Resilience Act: European Commission publishes draft guidance”, 2026-03. https://www.hoganlovells.com/en/publications/eu-cyber-resilience-act-european-commission-publishes-draft-guidance- (접속: 2026-05-12). ↩︎

  15. Linklaters TechInsights (Ceyhun Pehlivan), “EU Cyber Resilience Act: Commission issues first draft guidance — 10 key points you need to know”, 2026-03. https://techinsights.linklaters.com/post/102mmlo/eu-cyber-resilience-act-commission-issues-first-draft-guidance-10-key-points-y (접속: 2026-05-12). ↩︎ ↩︎ ↩︎

  16. CEN-CENELEC, “Cyber Resilience Act and the horizontal standards” workshop 자료, 2025-04-08. https://www.cencenelec.eu/media/CEN-CENELEC/Events/Events/2025/2025-04-08_cyber-resilience-act-and-the-horizontal-standards-workshop.pdf (접속: 2026-05-12). 후속 웨비나 자료 2025-09-09 발행분도 참조. ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

  17. CRA Article 16 (Single Reporting Platform) 본문. 정리: european-cyber-resilience-act.com 사본. https://www.european-cyber-resilience-act.com/Cyber_Resilience_Act_Article_16.html (접속: 2026-05-12). ↩︎ ↩︎

  18. ENISA, “Implementation of the Single Reporting Platform” — 조달 공시 페이지. https://www.enisa.europa.eu/procurement/implementation-of-the-single-reporting-platform (접속: 2026-05-12). ↩︎

  19. CRA Evidence Blog, “Cyber Resilience Act 24-Hour Reporting: ENISA SRP, Sept 2026”, 2026. https://craevidence.com/blog/cra-enisa-vulnerability-reporting-24-hour (접속: 2026-05-12). ↩︎ ↩︎

  20. Computer Weekly, “Enisa launches European vulnerability database”, 2025-05. https://www.computerweekly.com/news/366623995/Enisa-launches-European-vulnerability-database (접속: 2026-05-12). ↩︎

  21. EUVD 검색 인터페이스. https://euvd.enisa.europa.eu/https://euvd.enisa.europa.eu/search (접속: 2026-05-12). 본문에 식별자 형식 명시. ↩︎ ↩︎

  22. VulnCheck, “Does ENISA EUVD live up to all the hype?”, 2025. https://www.vulncheck.com/blog/enisa-euvd (접속: 2026-05-12). ↩︎ ↩︎

  23. Help Net Security, “European Vulnerability Database goes live, but who benefits?”, 2025-05-14. https://www.helpnetsecurity.com/2025/05/14/enisa-european-vulnerability-database-euvd/ (접속: 2026-05-12). ↩︎ ↩︎ ↩︎

  24. Siemens, “Cyber Resilience Act (CRA)” 공식 페이지. https://www.siemens.com/en-us/company/digital-transformation/cybersecurity/eu-cra/ (접속: 2026-05-12). 및 Siemens Advanta 백서 https://www.siemens-advanta.com/whitepaper/cyber-resilience-act (접속: 2026-05-12). ↩︎

  25. Siemens Blog, “Machine Builder, are you familiar with CRA yet? 5 key changes to cybersecurity requirements”, 2026-02. https://blog.siemens.com/en/2026/02/machine-builder-are-you-familiar-with-cra-yet-5-key-changes-to-cybersecurity-requirements-2/ (접속: 2026-05-12). ↩︎

  26. ISACA, “Protecting SAP Systems in the Cybersecurity Era”, 2025. https://www.isaca.org/resources/news-and-trends/industry-news/2025/protecting-sap-systems-in-the-cybersecurity-era (접속: 2026-05-12). ↩︎

  27. TechCrunch, “Open source foundations unite on common standards for EU’s Cyber Resilience Act”, 2024-04-02. https://techcrunch.com/2024/04/02/open-source-foundations-unite-on-common-standards-for-eus-cybersecurity-resilience-act/ (접속: 2026-05-12). ↩︎ ↩︎

  28. Eclipse Foundation Blog (Mike Milinkovich), “The Open Source Community is Building Cybersecurity Processes for CRA Compliance”, 2024-04-02. https://eclipse-foundation.blog/2024/04/02/open-source-community-cra-compliance/ (접속: 2026-05-12). Apache Software Foundation 동일 발표문: https://news.apache.org/foundation/entry/open-source-community-unites-to-build-cra-compliant-cybersecurity-processes (접속: 2026-05-12). ↩︎ ↩︎

  29. OpenSSF, “OpenSSF Joins Open Source Consortium To Define E.U. CRA Security Specifications”, 2024-05-22. https://openssf.org/blog/2024/05/22/openssf-joins-open-source-consortium-to-define-e-u-cra-security-specifications/ (접속: 2026-05-12). ↩︎

  30. Open Regulatory Compliance Working Group, “stewards-and-cra” 백서. https://github.com/orcwg/orcwg/blob/main/cyber-resilience-sig/whitepapers/stewards-and-cra.md (접속: 2026-05-12). ORC WG 포털: https://orcwg.org/cra/ (접속: 2026-05-12). ↩︎

  31. OpenSSF, “Global Alignment on SBOM Standards: How the EU Cyber Resilience Act and OpenSSF Are Unifying Software Supply Chain Security”, 2025-10-22. https://openssf.org/blog/2025/10/22/sboms-in-the-era-of-the-cra-toward-a-unified-and-actionable-framework/ (접속: 2026-05-12). ↩︎ ↩︎

  32. BSI Technical Guideline TR-03183-2 v2.1.0, “Cyber Resilience Requirements for Manufacturers and Products — SBOM”, 2025-08. (요지 정리: Sbomify, “EU Cyber Resilience Act (CRA) SBOM Requirements”. https://sbomify.com/compliance/eu-cra/ (접속: 2026-05-12).) ↩︎ ↩︎

  33. OpenSSF (Mike Bursell), “OSS and the CRA: am I a Manufacturer or a Steward?”, 2025-06-02. https://openssf.org/blog/2025/06/02/oss-and-the-cra-am-i-a-manufacturer-or-a-steward/ (접속: 2026-05-12). ↩︎

  34. HackerOne, “What You Need to Know About the EU’s Cyber Resilience Act” 공공정책 페이지. https://www.hackerone.com/public-policy/eu-cyber-resilience-act (접속: 2026-05-12). ↩︎ ↩︎

  35. Eclipse Foundation Blog (Mike Milinkovich), “What’s in store for open source in 2026?”, 2025-12-18. https://eclipse-foundation.blog/2025/12/18/whats-in-store-for-open-source-in-2026/ (접속: 2026-05-12). ↩︎

  36. DLA Piper, “Cyber Resilience Act: What you need to know and what you need to be doing”, 2026-02. https://www.dlapiper.com/en/insights/publications/2026/02/cyber-resilience-act-what-you-need-to-know-and-what-you-need-to-be-doing (접속: 2026-05-12). ↩︎

  37. Antonio Antenore, “I Read the EU’s 75-Page CRA Draft Guidance. Here’s What Open Source Stewards Should Worry About.”, 2026. https://antenore.simbiosi.org/cra-draft-guidance-stewards/ (접속: 2026-05-12). ↩︎

  38. CPO Magazine, “EU Cyber Resilience Act Proposal Requires Controversial 24-Hour Vulnerability Disclosure”, 2024. https://www.cpomagazine.com/cyber-security/eu-cyber-resilience-act-proposal-requires-controversial-24-hour-vulnerability-disclosure/ (접속: 2026-05-12). ↩︎

  39. CSO Online, “Cybersecurity experts raise concerns over EU Cyber Resilience Act’s vulnerability disclosure requirements”, 2024. https://www.csoonline.com/article/654175/cybersecurity-experts-raise-concerns-over-eu-cyber-resilience-acts-vulnerability-disclosure-requirements.html (접속: 2026-05-12). ↩︎

  40. Bird & Bird, “CRA’s phased entry into application starts in September 2026”, 2026. https://www.twobirds.com/en/insights/2026/cra%E2%80%99s-phased-entry-into-application-starts-in-september-2026 (접속: 2026-05-12). ↩︎

  41. Bird & Bird, “Digital Omnibus package: Single EU harmonised incident reporting regime across cyber and data protection”, 2025-11. https://www.twobirds.com/en/insights/2025/digital-omnibus-package-single-eu-harmonised-incident-reporting-regime-across-cyber-and-data-protect (접속: 2026-05-12). 및 Taylor Wessing, “The Digital Omnibus and incident reporting”, 2026. https://www.taylorwessing.com/en/global-data-hub/2026/the-digital-omnibus-proposal/gdh---the-digital-omnibus-and-incident-reporting (접속: 2026-05-12). ↩︎ ↩︎

4 - 참고 자료 카탈로그 — 25건, 카테고리별

법령 원문(A), 발행 기관 공식 문서(B), 표준·프레임워크(C), 학술(D), 업계·법무법인 분석(E), 언론(F), 회원국 기관 기술 가이드(G)로 분류한 1차 출처 카탈로그.

수집 기준일: 2026-05-12. 총 25건(A: 5 / B: 6 / C: 6 / D: 1 / E: 4 / F: 2 / G: 1). 모든 URL은 작성 시점에 WebFetch/WebSearch로 200 OK 또는 공식 EUR-Lex 색인을 통해 실재가 확인되었다.

표기 규약: 본 카탈로그의 항목은 본문(REPORT/단계별 산출물)에서 [A1], [B2] 형태로 참조한다. footnote([^N])를 사용하지 않는 이유는 Hugo Goldmark가 본문 인용이 없는 footnote 정의를 출력하지 않기 때문이다.


A. 법령·규제 원문 (1차)

A1. European Parliament and Council (2024). Regulation (EU) 2024/2847 of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act). Official Journal of the European Union, OJ L, 2024/2847, 20.11.2024. https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng (접속: 2026-05-12). — 제도 골격 전반의 1차 출처. 정의(Art. 3), 제조사 의무(Art. 13), 보고 의무(Art. 14, 24h/72h/14d 시한), 단일 보고 플랫폼(Art. 16), 시행일(Art. 71) 인용용.

A2. European Commission (2025). Commission Delegated Regulation (EU) 2026/881 of 11 December 2025 supplementing Regulation (EU) 2024/2847 with regard to the conditions for delaying dissemination of notifications of actively exploited vulnerabilities and severe incidents. Published 20 April 2026. https://eur-lex.europa.eu/eli/reg_del/2026/881/oj (접속: 2026-05-12). — CSIRT가 사이버보안 사유로 통지의 추가 전파(dissemination)를 지연할 수 있는 조건. 본 보고서 §5(보고 인프라) 및 사이버보안 사유 예외 논의 부분 인용.

A3. European Commission (2025). Commission Implementing Regulation (EU) 2025/2392 of 28 November 2025 laying down technical descriptions of categories of important and critical products with digital elements. OJ L, 2025/2392. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202502392 (접속: 2026-05-12). — Annex III/IV에 열거된 “중요(important)” 및 “핵심(critical)” 제품 분류의 기술 정의. 본 보고서 §1(적용 대상) 분류 체계 인용.

A4. European Parliament and Council (2022). Directive (EU) 2022/2555 of 14 December 2022 on measures for a high common level of cybersecurity across the Union (NIS2 Directive). OJ L 333, 27.12.2022, p. 80. https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng (접속: 2026-05-12). — EUVD의 법적 근거(Art. 12), CSIRT 네트워크, 사고 보고 의무. CRA와의 중복·교차 적용 논의에 인용.

A5. European Parliament and Council (2016). Regulation (EU) 2016/679 — General Data Protection Regulation (GDPR). OJ L 119, 4.5.2016. https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679 (접속: 2026-05-12). — 개인정보가 포함된 취약점·사고의 경우 GDPR Art. 33(72시간 통지)과의 병행 적용. CRA 통지의 GDPR 통지 비대체성 논의에 인용.


B. 발행 기관 공식 문서

B1. European Commission, DG CNECT (2026). Cyber Resilience Act — Shaping Europe’s digital future. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (접속: 2026-05-12). — CRA의 공식 정책 허브. 시행 일정(2024-12-10 발효, 2026-09-11 보고 의무, 2027-12-11 전면 적용) 1차 확인용.

B2. European Commission, DG CNECT (2026). Cyber Resilience Act — Reporting obligations. https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (접속: 2026-05-12). — 24h/72h/14d 시한, Single Reporting Platform 구조, CSIRT·ENISA 라우팅. 본 보고서 §2(보고 시한) 인용용.

B3. European Commission, DG CNECT (2024). The Cyber Resilience Act — Summary of the legislative text. https://digital-strategy.ec.europa.eu/en/policies/cra-summary (접속: 2026-05-12). — CRA 8개 장(章)·8개 부속서 구조 요약, 시행 단계. 본 보고서 §7(시점별 의무) 정리에 인용.

B4. ENISA (2026). Single Reporting Platform (SRP). https://www.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp (접속: 2026-05-12). — ENISA가 운영하는 단일 보고 플랫폼 사양·운영 모델. 본 보고서 §5(보고 인프라) 통합 계획 부분 인용.

B5. ENISA & Joint Research Centre (2024). Cyber Resilience Act Requirements Standards Mapping — Joint Analysis. Published April 2024. https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping (접속: 2026-05-12). — CRA 필수 요건과 기존 사이버보안 표준(ISO/IEC, EN, ETSI)의 매핑. 본 보고서 §6(설계 보안 증빙) 및 표준 채택 논의 인용.

B6. ENISA (2025). Cyber Resilience Act implementation via EUCC and its applicable technical elements. Published 26 February 2025. https://certification.enisa.europa.eu/publications/cyber-resilience-act-implementation-eucc-and-its-applicable-technical-elements_en (접속: 2026-05-12). — EU Common Criteria(EUCC) 인증 경로가 CRA 적합성 평가에 어떻게 활용 가능한지. 본 보고서 §7(2027년 CE 마킹·적합성 평가) 인용.


C. 표준·프레임워크

C1. ISO/IEC (2019). ISO/IEC 30111:2019 — Information technology — Security techniques — Vulnerability handling processes. Edition 2. Reviewed and confirmed 2025. https://www.iso.org/standard/69725.html (접속: 2026-05-12). — 제조사 내부 취약점 처리 프로세스의 사실상 표준. 본 보고서 §4(지속적 모니터링) 및 §6(취약점 처리 절차 문서화) 인용. (참고: ISO 카탈로그 페이지가 일부 자동화 접근에 403을 반환하나 카탈로그 항목은 표준 식별자임.)

C2. ISO/IEC (2018). ISO/IEC 29147:2018 — Information technology — Security techniques — Vulnerability disclosure. Edition 2. Reviewed and confirmed 2024. https://www.iso.org/standard/72311.html (접속: 2026-05-12). — 조정된 취약점 공개(CVD) 프로세스의 사실상 표준. CRA Art. 14의 24h 조기 경보·통지 워크플로우 설계 시 매핑 가능.

C3. ISO/IEC (2021). ISO/IEC 5962:2021 — Information technology — SPDX® Specification V2.2.1. https://www.iso.org/standard/81870.html (접속: 2026-05-12). — SPDX의 ISO 표준화 버전. 본 보고서 §3(SBOM 표준화 형식) “SPDX 또는 CycloneDX” 요건 인용.

C4. The Linux Foundation / SPDX Project (2024). SPDX Specifications (current: v3.0). https://spdx.dev/specifications/ (접속: 2026-05-12). — SPDX 최신 사양. CRA SBOM 요건 충족 시 채택 가능한 1차 사양 문서.

C5. OWASP Foundation / Ecma International (2025). CycloneDX Specification v1.7 / ECMA-424. Released 2025-10-21, ECMA-424 published 2025-12-10. https://cyclonedx.org/specification/overview/ (접속: 2026-05-12). — CycloneDX 사양. CRA SBOM 요건 충족 시 SPDX와 함께 허용되는 1차 사양 문서.

C6. Souppaya, M., Scarfone, K., Dodson, D. — NIST (2022). Secure Software Development Framework (SSDF) Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities. NIST SP 800-218. Published February 2022. DOI: 10.6028/NIST.SP.800-218. https://csrc.nist.gov/publications/detail/sp/800-218/final (접속: 2026-05-12). — 설계 보안(Secure by Design) 실무. 본 보고서 §6(설계 보안 증빙) 매핑 가능 프레임워크.


D. 학술·정책 연구

D1. OpenSSF Best Practices WG / Global Cyber Policy WG (2025). Cyber Resilience Act (CRA) Brief Guide for Open Source Software (OSS) Developers. Lead author: David A. Wheeler. https://best.openssf.org/CRA-Brief-Guide-for-OSS-Developers.html (접속: 2026-05-12). — OSS 기여자에 대한 CRA 적용 범위(상업적 활동 기준) 해석. 본 보고서 §1(적용 대상) “상업 활동이 없는 FOSS는 일반적으로 제외” 항목 보강 인용.


E. 업계·법무법인 분석

E1. Bird & Bird LLP (2026). CRA’s phased entry into application starts in September 2026. Bird & Bird Insights. https://www.twobirds.com/en/insights/2026/cra%E2%80%99s-phased-entry-into-application-starts-in-september-2026 (접속: 2026-05-12). — Art. 14 시한·과징금(€15M 또는 매출 2.5%) 정리. 본 보고서 §1(위반 시 벌금) 및 §2 시한 인용.

E2. DLA Piper — L. Blum & L. Moylan Burke (2026). Cyber Resilience Act: What you need to know and what you need to be doing. Published 19 February 2026. https://www.dlapiper.com/en/insights/publications/2026/02/cyber-resilience-act-what-you-need-to-know-and-what-you-need-to-be-doing (접속: 2026-05-12). — Important/Critical 분류, SaaS 제외 경계, GDPR·NIS2·Data Act·AI Act 교차 적용. 본 보고서 §1·§7 종합 정리에 인용.

E3. DLA Piper (2026). Cyber Resilience Act: Commission unveils draft implementation guidance. Law in Tech. https://www.dlapiper.com/en-us/insights/publications/law-in-tech/2026/cyber-resilience-act (접속: 2026-05-12). — Commission이 2026년 3월 3일 공개한 CRA 가이던스 초안(원격 데이터 처리, FOSS, 지원 기간) 분석. 본 보고서 §5(내부 정책·플레이북) 기준 보강.

E4. HackerOne — B. Eldering (2026). EU Cyber Resilience Act: Preparing Your VDP for 2026 Reporting Requirements. https://www.hackerone.com/blog/cyber-resilience-act-vdp-2026-reporting-readiness (접속: 2026-05-12). — VDP·트리아지 인프라 운영 관점. 본 보고서 §5(보고 인프라 시험 완료) 실무 체크리스트 보강.


F. 언론 및 공식 발표 (보조)

F1. ENISA (2025). Consult the European Vulnerability Database to enhance your digital security! News release, 13 May 2025. https://www.enisa.europa.eu/news/consult-the-european-vulnerability-database-to-enhance-your-digital-security (접속: 2026-05-12). — EUVD 정식 가동 발표(2025-05-13). 본 보고서 §4(EUVD를 통한 지속적 모니터링) 1차 확인용.

F2. European Commission (2025). EU launches a European vulnerability database to boost its digital security. News, Shaping Europe’s digital future. https://digital-strategy.ec.europa.eu/en/news/eu-launches-european-vulnerability-database-boost-its-digital-security (접속: 2026-05-12). — EUVD 출범에 대한 Commission 측 발표. EUVD가 NIS2 Art. 12 이행물임을 보조 확인.


G. 회원국 기관 기술 가이드

G1. Bundesamt für Sicherheit in der Informationstechnik (BSI) (2025). Technical Guideline TR-03183-2 v2.1.0 — Cyber Resilience Requirements for Manufacturers and Products, Part 2: Software Bill of Materials (SBOM). August 2025. 요지 정리: Sbomify, EU Cyber Resilience Act (CRA) SBOM Requirements. https://sbomify.com/compliance/eu-cra/ (접속: 2026-05-12). — CRA 정합 SBOM의 SPDX·CycloneDX 필드 매핑. 본 보고서 §2.4(SBOM 요건) 보강 인용.


카탈로그 검증 결과

  • A 카테고리 5건(최소 3건 충족) — CRA 본문, 위임법, 시행규칙, NIS2, GDPR.
  • B 카테고리 6건(최소 3건 충족) — Commission 공식 3건, ENISA 공식 3건.
  • C 카테고리 6건 — ISO/IEC 30111·29147·5962, SPDX, CycloneDX, NIST SSDF.
  • D 카테고리 1건 — OpenSSF 정책 가이드.
  • E 카테고리 4건 — Bird & Bird, DLA Piper(×2), HackerOne.
  • F 카테고리 2건 — ENISA 보도자료, Commission 보도자료.
  • G 카테고리 1건 — BSI TR-03183-2 v2.1.0 (회원국 기관 기술 가이드).
  • 모든 URL에 접속일자(2026-05-12) 표기 완료.
  • 각 항목 메모에 “보고서 어디에 쓸지” 명시 완료.
  • NIST SSDF에 DOI 명시(10.6028/NIST.SP.800-218).
  • 영구 URL 사용(단축 URL 없음). EUR-Lex는 ELI 영구 식별자 우선.
  • ISO 카탈로그 페이지는 ISO 서버가 자동화 접근에 403을 반환하지만, ISO 공식 검색 인덱스로 표준 식별자가 확인됨. (대체 출처: 본문이 공식 PAS인 경우 standards.iso.org/ittf/PubliclyAvailableStandards/ 의 ZIP 링크.)

5 - 검증 보고서 — URL 점검과 환각 검출 1건

fact-checker 에이전트가 별도 컨텍스트에서 수행한 사실 검증 결과. 위임법 (EU) 2026/881의 통지 지연 조건에 대한 환각 1건을 찾아내 정정한 이력 포함.

검증 보고서: EU CRA 취약점 보고 의무 — 2026년 9월 11일 대비

판정: CONDITIONAL PASS (수정 반영 후 PASS로 갱신) 검증 일시: 2026-05-12

요약

  • 검증한 인용 URL: 24건 (각주 [^1]~[^24] 시점)
  • WebFetch 200 OK 또는 WebSearch로 페이지 확인됨: 24/24 (단, EUR-Lex 4건과 ISO 3건은 WebFetch 본문 비반환 — WebSearch로 페이지 실재 및 메타데이터 확인)
  • 1차 출처로 핵심 사실 재확인: 12/13 일치, 1건 불일치(CSIRT 통지 지연 위임법의 3개 조건)
  • 환각 의심: 1건 — 위임법 (EU) 2026/881의 “3가지 지연 사유” 항목
  • 출처 없는 주장: 2건 (경미)

REPORT.md는 전반적으로 1차 출처에 잘 부합하나, 위임법 (EU) 2026/881의 “CSIRT 통지 지연 3개 조건” 기술이 실제 위임법 내용과 다른 내용으로 서술되어 있다. 이는 보고서 §3.3과 §4.1, 그림 4 캡션, 표의 비고에 반복적으로 등장한다. 사실 정합성 차원에서 즉시 수정 필요.


필수 수정 (Critical)

1. 위임법 (EU) 2026/881의 “CSIRT 통지 지연 조건” 서술 오류

  • 위치:
    • REPORT.md §3.3 (그림 4 아래) — “① 72시간 내 완화조치가 준비될 경우, ② 협력 취약점 공개(Coordinated Vulnerability Disclosure, CVD) 절차로 수령한 정보, ③ 수신 CSIRT가 사이버 사고 중이거나 보호 역량이 불충분한 경우다.”
    • 02-trends.md §2.2도 동일한 3개 조건을 기술.
  • 문제: 본 보고서가 명시한 3개 조건은 실제 위임법 (EU) 2026/881의 조건과 다르다.
  • 출처에서 확인된 실제 내용 (EC 공식 보도 + 위임법 본문 기반 검색 결과): CSIRT가 통지 전파를 지연할 수 있는 3가지 사유는 다음과 같다.
    1. 통지된 정보의 성격에 대한 평가 (in light of an evaluation of the nature of the notified information)
    2. 수신 CSIRT가 정보의 기밀성을 보장할 수 없는 경우 (if the CSIRT receiving the notification is unable to ensure the confidentiality of such information)
    3. 단일 보고 플랫폼이 침해되었거나 일시적으로 운영 불가한 경우 (if the single reporting platform has been compromised or is temporarily not operational) 또한 TLP·PAP 등 적절한 프로토콜로 위험을 완화할 수 없을 때, “엄격히 필요한 기간"에 한해 지연 가능하다는 조건이 본질.
  • 수정 제안: REPORT.md §3.3의 해당 문장을 위 3개 조건으로 교체. 02-trends.md §2.2의 동일 서술도 같은 방식으로 정정. “72시간 내 완화조치”, “CVD 절차로 수령”, “수신 CSIRT가 사이버 사고 중"이라는 표현은 실제 위임법에 부합하지 않으므로 삭제.
  • 참고: 동 위임법은 채택일 2025-12-11, 관보 게재 2026-04-20이라는 본문 주장은 검색으로 확인됨(부합).

권장 수정 (High/Medium)

1. SPDX 버전 표기 일관성 (Medium)

  • 위치: REPORT.md §2.4 — “SPDX는 ISO/IEC 5962:2021로 국제 표준화되어 있으며”
  • 사실: ISO/IEC 5962:2021은 SPDX v2.2.1 기반이며, SPDX 현행 사양은 v3.0. 03-references.md [C3]는 ISO/IEC 5962:2021 “SPDX V2.2.1"로, [C4]는 SPDX v3.0으로 정확히 분리.
  • 수정 제안: REPORT.md 본문에 “ISO/IEC 5962:2021은 SPDX v2.2.1 기반 — 현행 v3.0은 spdx.dev 사양으로 통용"이라는 보조 설명 추가 권고. (현 서술이 틀린 것은 아니나 정밀성 보강 가능)

2. CycloneDX ECMA-424 1st/2nd 에디션 구분 (Medium)

  • 위치: REPORT.md §2.4 — “CycloneDX는 OWASP가 관리하는 사양으로 2025년 12월 ECMA-424로 표준화되었다.”
  • 사실: ECMA-424 1st Edition은 2024년 6월 (CycloneDX v1.6 기반), 2nd Edition이 2025년 12월 10일 (v1.7 기반)에 채택됨. 따라서 “2025-12에 표준화"는 2nd Edition을 지칭한다면 정확하나, 최초 표준화 시점은 2024년이다.
  • 수정 제안: “2024년 6월 ECMA-424 1st Edition으로 표준화, 2025년 12월 v1.7 기반 2nd Edition 채택"으로 보강 권고.

3. 단계 적용 일정 표의 6.11 표기 (Low/Medium)

  • 위치: REPORT.md §4.6, 표 항목 “2026-06-11 적합성 평가기관 통지 조항 적용 개시”
  • 사실: EC cra-summary 페이지 확인 — “11 June 2026: Chapter IV (conformity assessment body notification) applies”. 일치.
  • 결론: 정확. 별도 수정 불필요.

4. 본문 미인용 참고문헌 (Medium)

  • 위치: REPORT.md 본문은 03-references.md의 24건 중 22건만 인용. 미인용 2건:
    • A5 (GDPR Reg. 2016/679) — 03-references.md에는 등록되었으나 REPORT.md 본문에서 직접 인용 안 됨.
    • B6 (ENISA EUCC publication) — 03-references.md에는 있으나 REPORT.md 본문 인용 없음.
  • 수정 제안:
    • REPORT.md 본문에서 GDPR 72시간 통지·EUCC 인증 경로를 짧게 언급해 인용을 활성화.
    • 또는 본 보고서에서 직접 활용하지 않는다면 03-references.md에서 제거.

5. “BSI TR-03183-2 v2.1.0” 인용 미부착 (Medium)

  • 위치: REPORT.md §2.4, §5.2 — BSI TR-03183-2 v2.1.0이 언급되나 본문에 각주 없음 (02-trends.md [^32]는 있음).
  • 수정 제안: REPORT.md에 BSI TR-03183-2를 신규 출처(예: G1 또는 B7)로 추가하거나 02-trends.md를 참조하도록 명기.

6. “EN 40000-2-1” 표준 번호의 비공식 표기 (Low)

  • 위치: REPORT.md §3.4 표, §4.6 “2026-08-30 CEN/CENELEC 수평 표준 EN 40000-2-1 발행 목표”
  • 사실: 02-trends.md는 “prEN” (draft)로 표기. CEN/CENELEC 공식 카탈로그 미공개 — 작업 번호로 통용 중이며 공식 발행 시 번호가 변경될 수 있음.
  • 수정 제안: “(가칭) prEN 40000-2-1” 표기로 일관화.

참고 사항 (Low)

1. ISO 페이지(403)

ISO 카탈로그 페이지(iso.org/standard/*.html)는 자동화 접근 시 403을 반환. 표준 식별자는 WebSearch 결과의 ISO 공식 검색 인덱스로 확인됨. 03-references.md가 이 한계를 이미 명시했으므로 추가 조치 불필요.

2. Eur-Lex ELI URI는 WebFetch에서 본문 미반환

WebFetch는 Eur-Lex ELI 페이지에서 비어 있는 응답을 반복적으로 반환. WebSearch로 모든 ELI 식별자가 공식 인덱스에 존재함을 확인. URL 자체는 정확.

3. SME 인지도 통계 (12.3% vs 83.5%)

WebSearch로 Eclipse Foundation의 Mike Milinkovich 블로그(2025-12-18)에서 동일 수치 확인. 출처는 정확. 환각 의심이었으나 실재 인용으로 확정.

4. HackerOne, DLA Piper, Bird & Bird, OpenSSF, NIST, ENISA URL

WebFetch 또는 WebSearch로 모두 실재 페이지 확인. 제목·저자·날짜가 본문 인용과 부합.

5. 위임법 (EU) 2026/881 번호 자체는 환각 아님

03-references.md [A2]가 “2026/881 — published 20 April 2026"으로 명시하고 검색으로 채택 2025-12-11, 게재 2026-04-20이 확인됨. URL eur-lex.europa.eu/eli/reg_del/2026/881/oj도 공식 ELI 형식에 부합 (단, WebFetch 본문 미반환). 번호와 채택일은 정확. 다만 “3가지 지연 조건"의 내용 서술이 실제 위임법 본문과 다름 (Critical 항목 참조).

6. 한국 SW공급망 가이드라인 1.0 (2024-05)

01-background.md의 KISA URL 직접 확인 미수행(접근 한계). 발표 시점 2024-05은 다수 보조 자료와 일치.


검증 매트릭스

항목결과비고
URL 실재성정상 (24/24)EUR-Lex 4건·ISO 3건은 WebFetch 본문 비반환이나 WebSearch로 모두 실재 확인
인용 내용 일치주의 (22/24)위임법 (EU) 2026/881 본문 인용 불일치, BSI 가이드 무각주
원본-번역 일치정상6개 영역·2개 강조 박스 모두 보존, 추가 정보는 별도 표기
단계 간 정합성정상00~03과 REPORT.md의 시행일·기한 일관
출처 없는 주장주의 (2건)BSI TR-03183-2, EN 40000-2-1 비공식 표기
환각 패턴주의 (1건)위임법의 “3가지 조건” 항목이 본문과 다름
본문-참고문헌 정합성주의A5, B6은 03-references에 있으나 본문 미인용
용어 병기정상최초 등장 시 한글(영문) 형식 일관

URL 점검 상세

각주URL 도메인/경로결과비고
A1eur-lex.europa.eu/eli/reg/2024/2847/oj/eng정상WebFetch 본문 미반환 / WebSearch로 ELI 인덱스 확인. Art. 71 (2026-09-11 적용) 정확.
A2eur-lex.europa.eu/eli/reg_del/2026/881/oj정상 (URL) / 실패 (인용 내용)WebSearch로 ELI 확인. 채택 2025-12-11, 게재 2026-04-20 부합. 단 본문의 3개 조건 서술이 실제 위임법과 불일치 (Critical).
A3eur-lex.europa.eu/…/OJ:L_202502392정상WebSearch로 확인. “28 November 2025”, “Annex III/IV 기술 설명”, 발효 2025-12-21 부합.
A4eur-lex.europa.eu/eli/dir/2022/2555/oj/eng정상WebFetch 본문 미반환 / NIS2 (Directive (EU) 2022/2555) 확인.
B1digital-strategy.ec.europa.eu/…/cyber-resilience-act정상“entered into force 10 December 2024”, “11 September 2026”, “11 December 2027” 확인.
B2digital-strategy.ec.europa.eu/…/cra-reporting정상24h/72h/14d 시한, 1개월 (사고) 정확.
B3digital-strategy.ec.europa.eu/…/cra-summary정상Chapter IV 2026-06-11, 마이크로기업 면제 확인. 단 “지원 기간 최소 5년” 표현은 EC 페이지 본문에 명시 없음(REPORT.md는 추정으로 인용).
B4enisa.europa.eu/…/single-reporting-platform-srp정상“scheduled to be operational by 11 September 2026”, “testing period is expected” 부합.
B5enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping정상ENISA·JRC 공동 발간, 2024-04 부합.
C1iso.org/standard/69725.html주의ISO 403. WebSearch로 ISO/IEC 30111:2019 식별자 확인.
C2iso.org/standard/72311.html주의ISO 403. ISO/IEC 29147:2018 식별자 확인.
C3iso.org/standard/81870.html주의ISO 403. ISO/IEC 5962:2021 식별자 확인.
C4spdx.dev/specifications/정상SPDX v3.0 최신, ISO/IEC 5962:2021 명시.
C5cyclonedx.org/specification/overview/정상“ECMA-424 Published On 2025-12-10”, v1.7.
C6csrc.nist.gov/publications/detail/sp/800-218/final정상SP 800-218 v1.1, 저자·DOI 부합.
D1best.openssf.org/CRA-Brief-Guide-for-OSS-Developers.html정상David A. Wheeler 저자 확인.
E1twobirds.com/…/2026/cra…주의WebFetch 402. WebSearch로 페이지 인덱스 확인.
E2dlapiper.com/…/2026/02/cyber-resilience-act-what-you-need-to-know…정상2026-02-19, Blum & Moylan Burke 확인.
E3dlapiper.com/en-us/…/law-in-tech/2026/cyber-resilience-act정상가이던스 초안(2026-03-03), 의견수렴(2026-03-31) 부합.
E4hackerone.com/blog/cyber-resilience-act-vdp-2026-reporting-readiness정상2026-03-17, Bertijn Eldering 확인.
F1enisa.europa.eu/news/consult-the-european-vulnerability-database…정상EUVD 2025-05-13 가동 부합.
F2digital-strategy.ec.europa.eu/…/eu-launches-european-vulnerability-database…정상2025-05-13 launch 부합.

핵심 사실 재확인 결과

사실본문 진술1차 출처 확인일치 여부
CRA 발효일2024-12-10EC cyber-resilience-act 페이지: “entered into force on 10 December 2024”정상
관보 게재2024-11-20다수 1·2차 자료 일치 (CRA Art. 71의 “20일 후 발효” 역산 확인)정상
보고 의무 적용2026-09-11EC cra-reporting: “As of 11 September 2026”정상
전면 시행2027-12-11EC cyber-resilience-act: “main obligations… will apply from 11 December 2027”정상
24h/72h/14d/1개월Art. 14EC cra-reporting 인용 확인정상
적합성 평가기관 조항2026-06-11EC cra-summary 확인정상
위임법 2026/881 채택일2025-12-11EC 자료 확인정상
위임법 2026/881 게재2026-04-20WebSearch 다수 자료 확인정상
위임법 2026/881 지연 사유① 72h 완화 ② CVD ③ 수신 CSIRT 사고실제: ① 정보 성격 평가 ② 기밀성 확보 불가 ③ SRP 침해/정지실패 (Critical)
시행규칙 2025/2392 채택2025-11-28OJ 텍스트·다수 자료 확인정상
시행규칙 2025/2392 발효2025-12-21다수 자료 확인정상
EUVD 가동2025-05-13ENISA 보도자료 확인정상
SRP 가동2026-09-11ENISA SRP 페이지 확인정상
가이던스 초안 공개 / 마감2026-03-03 / 2026-03-31EC 보도, DLA Piper 확인정상
과징금 €15M 또는 매출 2.5%Art. 64 Tier 1CRA Art. 64 검색 확인정상
SPDX ISO/IEC 5962:2021“표준화”spdx.dev에서 확인 (v2.2.1 기반)정상
CycloneDX ECMA-424 (2025-12)“2025-12 표준화”ECMA: 1st Ed 2024-06 (v1.6) / 2nd Ed 2025-12-10 (v1.7)주의 (2nd Ed라면 정확, 단 최초 표준화는 2024-06)
Eclipse Foundation SME 인지도 12.3% / 83.5%Milinkovich 블로그검색으로 동일 수치 확인정상

원본 PDF vs 00-source.md 정합성

  • IN-SCOPE PRODUCTS (4개 체크 항목): 모두 반영
  • MANDATORY REPORTING TIMELINES (4개 체크 항목, 24h/72h/14d/Sep'26): 모두 반영
  • SBOM REQUIREMENTS (4개 체크 항목): 모두 반영
  • CONTINUOUS VULNERABILITY MONITORING (3개 체크 항목): 모두 반영
  • REPORTING INFRASTRUCTURE (3개 체크 항목): 모두 반영
  • SECURE BY DESIGN EVIDENCE (3개 체크 항목): 모두 반영
  • “Must-Have by September 11, 2026” 박스: 반영
  • “Due in 2027” 박스: 반영
  • About Black Duck/Tools: 반영
  • 원본에 없는 정보 추가 여부: 00-source.md는 “번역자 주” 절을 두어 한국어 용어 선택을 설명. 본문 내용에는 원본 외 정보 추가 없음.

본문 ↔ 참고문헌 정합성

  • REPORT.md 본문 인용 출처: A1, A2, A3, A4, B1, B2, B3, B4, B5, C1, C2, C3, C4, C5, C6, D1, E1, E2, E3, E4, F1, F2 (총 22개)
  • 누락: A5 (GDPR), B6 (ENISA EUCC) — 03-references.md에는 등록되었으나 REPORT.md에는 본문 인용 없음. 번호 건너뜀 의도였다면 03-references.md의 등록 항목과 일관성 정리 필요.
  • 번호 중복 없음, 등록되지 않은 본문 인용 없음 (0건).

후속 조치 권고

  • Critical 1건 — 즉시 수정 필요: REPORT.md §3.3 + 02-trends.md §2.2의 위임법 (EU) 2026/881 “3가지 조건” 본문을 실제 위임법 내용(정보 성격 평가 / 기밀성 / SRP 침해)으로 정정.
  • 권장 수정 6건 — 사용자 검토 후 반영:
    • SPDX v2.2.1 vs v3.0 구분 보강
    • CycloneDX ECMA-424 1st(2024-06)/2nd(2025-12) 구분
    • BSI TR-03183-2 본문 각주 부착
    • “EN 40000-2-1” → “prEN 40000-2-1” 표기 통일
    • A5 (GDPR), B6 (EUCC)을 본문에 인용 활성화하거나 03-references.md에서 일관 제거
    • “지원 기간 최소 5년” 표현은 CRA Art. 13(8) 원문 근거를 본문에 명시 권고
  • 참고 사항 6건 — 추가 조치 불필요. 차기 보고서 작성 시 ISO·Eur-Lex의 WebFetch 한계를 사전 고려.

검증 종료: 2026-05-12


수정 이력 (2026-05-12, fact-checker 피드백 반영 후)

Critical 1건 — 해결

  • REPORT.md §3.3 / 02-trends.md §2.2: 위임법 (EU) 2026/881의 “CSIRT 통지 지연 3개 조건"을 실제 위임법 본문 기반으로 정정.
    • 수정 후: ① 통지된 정보의 성격에 대한 평가, ② 수신 CSIRT가 기밀성을 보장할 수 없는 경우, ③ 단일 보고 플랫폼이 침해되었거나 운영 불가한 경우. TLP·PAP 등 프로토콜로 위험 완화 불가 시 “엄격히 필요한 기간"에 한해 지연 허용.

권장 6건 — 모두 해결

  1. SPDX 버전 구분 — REPORT.md §2.4에 “ISO/IEC 5962:2021은 SPDX v2.2.1 기반, 현행 사양은 spdx.dev v3.0” 보강.
  2. CycloneDX 1st/2nd Edition 구분 — “2024년 6월 ECMA-424 1st(v1.6) → 2025년 12월 10일 2nd(v1.7)“로 명확화.
  3. BSI TR-03183-2 인용 부착 — 새 각주 [^25] 신설, REPORT.md §2.4에 부착.
  4. EN 40000-2-1 → prEN 40000-2-1 — 모든 표기 일관화 (§3.4, §4.6).
  5. A5 (GDPR) / B6 (EUCC) 본문 인용 활성화 — §2.3에 GDPR 72시간 통지 병행 인용, §3.2에 EUCC 인증 경로 인용. §6에 두 항목 복원.
  6. “지원 기간 최소 5년"의 CRA Art. 13(8) 명시 — §2.6에 근거 조항 부착.

URL 추가 검증

  • BSI 출처 보조 URL(Sbomify): WebFetch 200 OK, 페이지 제목 “EU Cyber Resilience Act (CRA) SBOM Requirements” 및 BSI TR-03183-2 다룸을 확인.

최종 판정

PASS — Critical 0건, 권장 0건 잔존. 모든 사실 진술이 1차 출처와 일치하거나 정확한 보조 출처로 보강됨.

6 - 메이킹 — 이 보고서는 어떻게 만들어졌나

8개 전문 AI 에이전트가 협업해 PDF 한 편을 검증된 조사보고서로 만든 과정. 환각 1건이 검증에서 잡힌 실제 사례 포함.

한 줄 요약

3쪽 영문 PDF를 8개 AI 에이전트가 30분 만에 32KB 보고서로 만들었습니다. 마지막 검증 단계에서 환각 1건이 잡혀 정정되었습니다.

입력과 출력

항목내용
입력Black Duck Software, EU CRA Vulnerability Reporting Checklist: Sept ‘26 Obligations (3쪽, 2026년 4월)
출력단계별 산출물 5종 + 통합 보고서 1편 + 검증 보고서 1편 = 7개 마크다운 파일
본문 길이32KB (통합 보고서 본문 기준)
인용 출처25건 (1차 출처 우선)
도식Mermaid 4개 (적용 흐름·보고 시한·입법 타임라인·이해관계자 상호작용)
소요약 30분 (병렬 조사 + 검증 포함)

파이프라인

flowchart TB
    USER[사용자가 PDF를<br/>sources/에 둠]
    COORD[research-coordinator<br/>총괄 조율]
    TRANS[source-translator<br/>국문 번역]
    BG[context-researcher<br/>배경 조사]
    TR[trend-analyst<br/>최신 동향]
    REF[reference-collector<br/>근거 자료]
    SYN[report-synthesizer<br/>보고서 통합]
    DIA[diagram-designer<br/>도식 생성]
    FC[fact-checker<br/>사실 검증]
    REPORT[REPORT.md]
    VERIF[_verification.md]

    USER --> COORD
    COORD --> TRANS
    TRANS --> BG
    TRANS --> TR
    TRANS --> REF
    BG --> SYN
    TR --> SYN
    REF --> SYN
    SYN <--> DIA
    SYN --> REPORT
    REPORT --> FC
    FC --> VERIF
    FC -.->|"FAIL 시<br/>최대 2회 재작업"| SYN

    style TRANS fill:#e3f2fd
    style BG fill:#fff3e0
    style TR fill:#fff3e0
    style REF fill:#fff3e0
    style FC fill:#ffebee,stroke:#c62828,stroke-width:2px
    style REPORT fill:#e8f5e9

그림 1. 보고서 생성 파이프라인. 배경·동향·근거 조사는 병렬로 실행되어 시간을 단축.

단계별 무엇이 일어났는가

0단계 — PDF 입력 (사용자)

원본 PDF를 sources/에 두고 /research <slug>로 호출하면 파이프라인이 시작됩니다.

1단계 — 국문 번역 (source-translator)

3쪽 PDF의 6개 영역(적용 대상 / 보고 시한 / SBOM / 모니터링 / 보고 인프라 / 설계 보안 증빙)을 한국어로 옮겼습니다. 전문 용어는 최초 등장 시 원문 병기: 사이버 복원력법(Cyber Resilience Act, CRA). 표·체크박스 등 원문 구조 보존.

원본 번역

2단계 — 병렬 보강 조사

세 에이전트가 동시에 실행되어 시간을 단축했습니다:

에이전트무엇을 했나출처 수
context-researcherCRA 입법 경위(2021~2024), 이해관계자, ISO/NIST 표준 매핑, 한·미·영 비교17개
trend-analyst2025~2026 위임법·시행규칙·가이던스, ENISA SRP/EUVD 가동, 업계 반응41개
reference-collectorA(법령) ~ F(언론)로 분류한 24건 카탈로그 (전건 URL 검증)24개

배경 · 최신 동향 · 참고 자료

3단계 — 통합 + 도식 (report-synthesizer + diagram-designer)

세 단계 산출물을 한 편의 자립적 보고서로 통합. 가독성을 위해 4개의 Mermaid 도식을 본문에 직접 삽입(적용 여부 판단 흐름·보고 시한·입법 타임라인·이해관계자 상호작용).

4단계 — 사실 검증 (fact-checker)

여기서 환각이 발견되었습니다.

fact-checker보고서를 작성한 에이전트와 완전히 분리된 컨텍스트에서 실행됩니다. 작성자의 편향이 검증에 끼어들지 않게 하는 핵심 장치입니다. 검증은 다음을 수행했습니다:

  • 모든 인용 URL을 WebFetch로 실재 확인 (25개)
  • 핵심 사실(시행일·시한·조문 번호·고유명사)을 1차 출처로 재확인 (16개)
  • 출처 없는 주장 식별
  • 환각 위험 패턴 점검 (너무 깔끔한 인용, 너무 구체적인 통계)

발견된 환각 1건 (실제 사례)

report-synthesizer가 작성한 본문에 다음 구절이 있었습니다:

2025년 12월 11일 채택된 위임법 (EU) 2026/881은 CSIRT 간 통지의 추가 전파를 지연할 수 있는 조건을 구체화했다. ① 72시간 내 완화조치가 준비될 경우, ② CVD 절차로 수령한 정보, ③ 수신 CSIRT가 사이버 사고 중이거나 보호 역량이 불충분한 경우다.

fact-checker가 EC 공식 페이지와 위임법 본문을 검색해 확인한 실제 내용:

실제 3개 조건: ① 통지된 정보의 성격에 대한 평가에 비추어 정당화되는 경우, ② 수신 CSIRT가 해당 정보의 기밀성을 보장할 수 없는 경우, ③ 단일 보고 플랫폼이 침해되었거나 일시적으로 운영이 불가한 경우. 추가로 TLP·PAP 등 프로토콜로 위험 완화가 불가할 때 “엄격히 필요한 기간"에 한해 지연 허용.

위임법 번호(2026/881)·채택일(2025-12-11)·게재일(2026-04-20)은 모두 정확했습니다. 그러나 그 안의 “3개 조건"의 내용은 그럴듯하지만 실제와 다르게 생성되었습니다. 위임법이 실재하고 다른 메타데이터가 맞기 때문에 일반 독자는 사실 검증 없이 신뢰했을 가능성이 큽니다.

검증 후 본문은 즉시 정정되었고, 이 정정 이력은 검증 보고서에 영구 보존됩니다. 또한 권장 수정 6건(SBOM 표준 버전 구분, 표준 번호 표기 통일, 누락 인용 복원 등)도 모두 반영되어 최종 판정은 PASS로 갱신되었습니다.

이 사례에서 얻은 일반화 가능한 교훈은 별도의 방법론 글에서 다룹니다. 메타데이터가 맞으면 본문도 신뢰하기 쉽다는 점, 별도 컨텍스트 검증이 결정적인 이유, 1차 출처 강박의 효용과 한계 등을 회고했습니다.


보고서로 돌아가기