EU 사이버복원력법 '24시간 취약점 신고' 의무 발효

미국 IT 매체 더레지스터(The Register)는 11일 유럽연합(EU) 사이버복원력법(CRA)의 의무 신고 규정이 이날부터 적용되기 시작했다고 보도했다.

보도에 따르면 디지털 요소가 포함된 제품을 EU 시장에 공급하는 제조사는 실제로 악용되고 있는 취약점을 인지한 시점부터 24시간 이내에 조기 경보를 제출하고, 72시간 안에 보다 상세한 신고를 해야 한다. 심각한 보안 사고에도 같은 기한이 적용된다. 최종 보고서는 취약점의 경우 시정·완화 조치를 제공한 뒤 14일 이내, 중대 사고의 경우 최초 신고 후 1개월 이내에 내야 한다.

이 의무는 CRA 제14조에 규정된 것으로, 제조사의 소재지와 무관하게 EU에서 판매되는 제품에 적용된다. 신고는 유럽연합사이버보안청(ENISA)이 운영하는 단일신고플랫폼(SRP)을 통해 이뤄지며, CRA에 따라 지정된 조정 침해사고대응팀(CSIRT)이 접수 대상이 된다. 더레지스터는 이번 신고 의무가 법의 '핵심 의무'로 분류돼 위반 시 최대 1천500만 유로(약 1천740만 달러) 또는 연간 매출액의 2.5% 중 높은 금액의 과징금이 부과될 수 있다고 전했다.

CRA의 나머지 조항 대부분은 2027년 12월 11일부터 적용되며, 이때부터 제조사는 기본 설계 단계의 보안 적용, 기본 비밀번호 금지, 보안 업데이트 제공 등을 의무적으로 이행해야 한다.

자세한 내용은 더레지스터 보도에서 확인할 수 있다.