요약

  • 2026년 9월 11일부터 제조자는 제품 보안에 영향을 미치는 적극 악용 취약점과 중대 사고를 신고해야 한다. 초기 경보는 24시간 안에, 전체 통지는 72시간 안에 제출해야 한다.
  • Mandalari는 RIPE 93에서 네트워크 장비, 소프트웨어 유통, 지원 주기에 관한 실제 사례를 CRA 표준 작업에 가져오자고 제안했다.

유럽 사이버복원력법(CRA)은 제조자에게 24시간 신고 시계를 걸었다. 네트워크를 운영하는 모든 회사에 같은 법적 의무를 자동으로 부과한 것은 아니다. RIPE 93에서 Anna Maria Mandalari가 짚은 핵심도 이 경계였다. 취약점이 터지기 전에 어떤 제품을 유럽 시장에 공급하는지, 공급망에서 어떤 역할을 맡는지, 누가 신고서를 작성해 보낼지 정해야 한다.

RIPE 93 IoT 세션의 공식 녹취록은 마지막 발표를 원격으로 진행한 연사로 Mandalari를 기록한다. 그녀는 라우터, 모뎀, 스위치 같은 네트워크 장비와 이를 운용하는 소프트웨어를 CRA와 연결했다. RIPE 커뮤니티에는 규격 논의에 현장 사례를 가져오자고 했다. 장비를 얼마나 오래 쓰는지, 업데이트는 누가 제공하는지, 제조자와 판매자와 고객 사이에서 책임이 어디서 바뀌는지가 그 사례다.

일정상 미룰 수 없는 문제다. CRA의 주요 조항은 2027년 12월 11일부터 적용되지만, 제14조의 신고 의무는 2026년 9월 11일부터 시행됐다. 제조자가 제품 보안에 영향을 주는 적극 악용 취약점이나 중대 사고를 알게 되면 24시간 안에 초기 경보를 보내고, 72시간 안에 전체 통지를 해야 한다. 취약점에 대한 시정 조치가 마련되면 최종 보고서는 늦어도 14일 안에 제출한다. 중대 사고는 72시간 통지 후 한 달이 기한이다. 신고는 CRA 단일 신고 플랫폼을 이용한다.

의무 주체는 제조자다. 라우터를 샀거나 네트워크를 운영한다는 이유만으로 제조자가 되지는 않는다. 유럽연합 집행위원회가 7월에 낸 이행 지침은 제품 범위와 중대한 변경을 다룬다. 위원회 요약에 따르면 제품을 개발·제조하거나 제조를 맡긴 뒤 EU 시장에 자기 이름이나 상표로 공급하는 사람이 제조자다. 변경되지 않은 제품을 구매한 것만으로 운영자가 제조자가 되는 것은 아니다. 자체 브랜드로 판매하거나 제품을 실질적으로 바꾸면 판단이 달라질 수 있다. 제품과 유통 방식을 함께 봐야 한다.

표준은 법 문구와 현장 사이를 잇는다. ETSI는 8월 13일 CRA를 뒷받침할 17개 분야별 최종안이 공개 의견 수렴에 들어갔다고 밝혔다. 이 안들은 조화 표준으로 발전하는 것을 목표로 하지만, 당시에는 아직 초안이었다. 분야에 따라 승인 절차는 2026년 9월 중순부터 11월 중순까지 이어질 예정이었다. Mandalari는 지원 기간, 네트워크 장비, 소프트웨어 유통, 업데이트 절차에 관한 사례를 RIPE 참가자들이 제출하길 요청했다.

공급업체가 업데이트를 제공한다고 약속하는 것만으로는 부족하다. 운영자는 보안 업데이트가 어떻게 시험되고, 감사되고, 배포되며, 서비스에 어떤 영향을 주는지 알아야 한다. CRA는 제조자에게 지원 기간을 정하고 공개하도록 하지만, 네트워크 장비는 그 기간보다 오래 쓰일 수 있다. 계획한 교체 시점보다 지원이 먼저 끝나면 구매 결정은 긴급 이전 작업으로 바뀐다.

Mandalari는 연구, 네트워크 운영, 표준화의 접점에서 활동한다. UCL은 그녀를 통신·연결 시스템 연구소 부소장으로 소개하고, ETSI는 CYBER EUSR 작업반 간사이자 RIPE IoT 작업반 의장으로 기재한다. 그녀가 커뮤니티에 던진 질문은 운영 자체에 관한 것이다. 다음 업데이트는 누가 책임지고, 제품에 문제가 생기면 누가 첫 신고를 보내는가.

집행위원회는 이행 지침을 내놨고 신고 플랫폼도 가동 중이다. 이제 제품 식별, 공급업체 역할, 지원 기간, 사고 대응 권한을 연결해야 한다. 실제 취약점이 터진 뒤 24시간을 들여 이 정보를 찾는 일은 너무 늦다.

출처