24시간 보고가 만든 비용 구조
2026년 9월 11일, 유럽연합(EU) 사이버 복원력 법안(Cyber Resilience Act, CRA)의 사고 보고 의무가 효력을 발휘하기 시작했다. 한국 기업 입장에서 이 날짜는 단순한 규제 일정이 아니다. 유럽에 스마트기기, 산업 장비, 보안 솔루션, 상용 소프트웨어를 판매하는 기업의 원가 구조와 납품 조건을 바꾸는 기준선이다.
제품에서 적극적으로 악용되는 취약점이나 심각한 보안 사고를 인지한 뒤 24시간 안에 초기 경고를 제출해야 한다는 요건은 보안 조직만의 일이 아니다. 영업, 법무, 품질, 공급망 관리 부서의 의사결정 속도를 동시에 시험하는 운영 전반의 과제다.
핵심은 EU가 사이버 보안을 사후 대응 비용이 아니라 시장 진입 비용으로 전환했다는 점이다. CRA는 EU 시장에 출시되는 디지털 요소 포함 제품을 광범위하게 포괄한다.
하드웨어와 소프트웨어가 모두 대상이며, 예상 사용 과정에서 기기나 네트워크와 데이터 연결을 맺는 제품도 포함된다. 소비자용 사물인터넷(IoT) 기기, 스마트폰, 산업 제어 시스템, 상업적으로 공급되는 오픈소스 소프트웨어(OSS)가 같은 규제 언어 안으로 들어왔다.
본지 분석에 따르면, 이 변화는 한국 정보기술(IT) 기업의 유럽 사업에서 가격 경쟁력보다 컴플라이언스 실행력을 더 강하게 따지는 국면을 만들 가능성이 크다. CRA의 시간표는 기업 운영에 직접 닿는다. 제조업체는 사고나 취약점을 인지한 시점부터 24시간 안에 주요 설립지가 있는 컴퓨터보안사고대응팀(CSIRT)과 유럽연합 사이버보안청(ENISA)에 초기 경고를 제출해야 한다.
이어 72시간 안에 상세 통지를 제출하고, 취약점 완화 뒤 14일 안에 최종 보고서를 내야 한다. 심각한 사고는 72시간 통지 뒤 한 달 안에 최종 보고서를 요구한다.
아울러 영향을 받은 사용자에게도 해당 취약점·사고 및 완화 조치에 관한 정보를 적시에 제공해야 한다. 24시간, 72시간, 14일이라는 숫자는 단순한 행정 기한이 아니다. 취약점 확인, 영향 범위 산정, 고객 통지, 패치 계획, 법무 검토를 하루 단위로 압축하는 운영 압박이다.
광고
기업 전략의 관점에서 더 큰 변화는 책임의 위치다. 과거 제품 보안은 출시 뒤 패치와 공지로 관리하는 영역에 가까웠다. CRA는 제품 수명 주기 전반에서 설계 단계부터 보안을 반영하도록 요구한다.
제조업체는 사이버 보안 위험 평가를 수행하고, 제3자 구성 요소와 오픈소스 소프트웨어를 통합할 때 실사를 거쳐야 한다. 기술 문서도 유지해야 한다.
적합성 평가와 유럽 적합성(CE) 표시 역시 규제 준수의 일부다. 이 조합은 보안 담당자 몇 명을 추가 채용하는 수준으로 해결하기 어렵다. 연구개발(R&D) 단계의 부품 선정, 소프트웨어 자재명세서(SBOM) 성격의 구성 요소 관리, 납품 계약서의 책임 배분까지 다시 써야 하는 과제다.
비용 구조도 달라진다. CRA는 제품 구매 시점에 최소 5년의 지원 기간을 명시해 취약점을 효과적으로 처리하도록 요구한다.
5년 지원은 고객 신뢰를 높이는 요소지만, 기업 재무제표에는 장기 유지보수 인력, 보안 업데이트 인프라, 취약점 접수 체계, 고객 통지 시스템 비용으로 반영된다. 특히 중소 소프트웨어 기업이나 임베디드 장비 제조사는 판매 뒤 수익이 크지 않은 제품에도 장기간 지원 의무를 감당해야 한다.
본지 분석에 따르면, 초기 판매가를 낮추고 유지보수를 최소화하던 모델은 유럽 시장에서 설득력을 잃는다. 반대로 보안 업데이트 체계를 이미 갖춘 기업은 같은 규제를 가격 프리미엄의 근거로 활용할 여지가 있다.
소프트웨어까지 넓어진 규제망
한국 기업에 까다로운 대목은 EU 역내 기업만 대상이 아니라는 사실이다. EU 밖에 설립된 제조업체라도 EU 시장에 제품을 출시하면 CRA 의무를 따라야 한다. 유럽 대리점이나 총판을 통해 들어가는 제품도 최종적으로 EU 시장 접근과 연결된다.
CRA 공식 자료가 제시한 의무 구조를 보면, 규제의 초점은 기업 국적이 아니라 제품이 놓이는 시장이다. 이는 한국 기업의 수출 전략에서 인증과 보안을 별도 비용 항목으로 분리하던 관행을 흔든다.
본지 분석에 따르면, 유럽 고객사는 앞으로 가격표와 기능표만 보지 않고 사고 보고 체계, 취약점 공개 절차, 보안 지원 기간을 구매 조건으로 요구할 공산이 크다.
광고
투자 판단도 바뀐다. 보안 규제 대응 역량은 기업가치 평가에서 방어적 비용을 넘어 매출 지속성의 조건으로 옮겨간다.
유럽 매출 비중이 큰 장비 업체라면 2026년 9월 보고 의무 시행 이후 사고 대응 조직의 성숙도가 계약 유지에 영향을 미친다. 클라우드와 연결되는 산업용 장비, 네트워크 기능을 가진 가전, 소프트웨어 업데이트를 제공하는 의료·제조 장비 기업은 특히 부담이 크다. 취약점 신고를 받은 뒤 내부에서 사실관계를 확인하는 데만 며칠을 쓰는 조직은 24시간 규칙을 충족하기 어렵다.
이 간극은 규제 리스크로 끝나지 않고 납품 지연, 리콜 비용, 평판 손실로 번질 수 있다. 비준수 시에는 EU 시장 접근 자체가 차단될 수 있으며, 심각한 벌금도 따른다.
일부 기업은 아직 대부분의 CRA 설계 및 적합성 규칙이 2027년 12월 11일 적용된다는 점을 들어 시간이 남았다고 볼 수 있다. 이 반론에는 일리가 있다.
전체 규정 체계가 한 번에 작동하는 것은 아니며, 기업은 제품군별 위험도와 유럽 매출 비중에 따라 대응 순서를 조정해야 한다. 그러나 보고 의무는 이미 2026년 9월 11일 앞당겨 시행되었다. 더구나 사고 보고 체계는 문서 한 장으로 만들 수 없다.
취약점 분류 기준, 24시간 내 승인 권한, ENISA와 CSIRT 제출 절차, 사용자 고지 문구, 패치 배포 경로를 실제 훈련으로 맞춰야 한다. 2027년 말까지 기다리는 전략은 규정의 나머지 부분을 준비하는 것이 아니라 이미 열린 관문을 늦게 통과하겠다는 뜻에 가깝다. 본지 분석에 따르면 한국 기업의 우선순위는 세 갈래로 갈린다.
첫째, 유럽에 판매 중인 제품 목록을 다시 정리해 디지털 요소 포함 여부와 네트워크 연결성을 기준으로 CRA 적용 대상을 확정해야 한다. 둘째, 취약점 인지 시점을 누가 기록하고 누가 24시간 통지를 승인할지 정해야 한다.
셋째, 오픈소스 소프트웨어와 제3자 구성 요소 목록을 계약과 기술 문서에 연결해야 한다.
광고
특히 상업적으로 공급되는 오픈소스 소프트웨어까지 범위에 들어간 만큼, 개발팀이 임의로 라이브러리를 가져와 쓰던 관행은 수출 사업의 법적 비용으로 돌아올 수 있다. 이 대목은 대기업보다 협력사와 스타트업에 더 큰 부담을 준다.
한국 제조사의 대응 순서
EU의 규제는 자주 세계 시장의 사실상 표준으로 번졌다. 개인정보보호규정(GDPR)이 그랬고, 제품 안전과 환경 규제도 비슷한 경로를 밟았다. CRA 역시 유럽에서만 끝날 규칙으로 보기 어렵다.
본지 분석에 따르면, 글로벌 고객사는 하나의 공급망에서 지역별 보안 기준을 따로 운용하기보다 가장 엄격한 기준을 조달 조건으로 삼는 방향이 비용 효율적이다. 이때 한국 기업이 해야 할 선택은 규제를 피하는 우회로를 찾는 것이 아니라 보안 대응 체계를 제품 경쟁력의 일부로 전환하는 일이다.
유럽 시장을 잃지 않기 위해서가 아니라, 연결된 제품을 팔아야 하는 모든 시장에서 같은 질문을 받게 될 가능성이 크기 때문이다. 2024년 12월 10일 발효된 CRA는 2026년 9월 보고 의무를 먼저 가동했고, 2027년 12월 대부분의 설계·적합성 규칙 적용으로 이어진다.
이 3단계 일정은 기업에 시간을 준 동시에 변명을 줄였다. 비즈니스 관점에서 승부처는 법률 검토 보고서가 아니라 사고가 발생한 첫 24시간의 의사결정 속도다. 한국 제조사와 소프트웨어 기업이 유럽 매출을 유지하려면 제품 기획서, 개발 저장소, 고객 지원 체계를 한 줄로 연결해야 한다.
사이버 보안은 이제 판매 뒤 서비스가 아니라 수출 계약의 선결 조건이다. 한국 기업은 유럽 규제를 비용으로만 볼 것인가, 아니면 보안 체계를 갖춘 공급자로 가격 협상력을 높이는 계기로 삼을 것인가. 본지 분석에 따르면, 규제 대응에 먼저 투자한 기업이 유럽 조달 시장에서 후발 주자를 앞서는 시간적 우위를 확보하게 될 것이다.
※ 이 기사는 Exterro, Semper Sec, Goodwin, Vircon Legal, Pearl Cohen 및 European Union이 공개한 EU 사이버 복원력 법안(CRA) 설명 자료와 법안 내용(CRA 공식 관보, 2024년 12월 10일 발효)을 참조하여 작성하였다.
광고
FAQ
Q. 한국 기업이 EU 법인 없이 수출만 해도 CRA 적용 대상인가?
A. EU 밖에 설립된 제조업체라도 EU 시장에 디지털 요소 포함 제품을 출시하면 CRA 의무를 부담한다. 규제 기준은 기업의 본사 위치가 아니라 제품이 EU 시장에 공급되는지 여부에 맞춰져 있다. 한국 기업은 유럽 총판이나 현지 고객을 통한 판매 구조에서도 사고 보고와 사용자 통지 절차를 점검해야 한다. 적용 여부가 불명확한 제품은 네트워크 연결성, 소프트웨어 업데이트 기능, 데이터 처리 방식을 기준으로 내부 분류표를 먼저 작성해야 한다.
Q. 24시간 보고 의무에 대비해 가장 먼저 정비할 항목은 무엇인가?
A. 가장 먼저 정해야 할 것은 취약점 인지 시점의 기록 주체와 보고 승인권자다. 24시간 기한은 기술팀이 문제를 완전히 해결한 뒤가 아니라 사고나 적극 악용 취약점을 알게 된 시점부터 움직인다. 기업은 CSIRT와 ENISA에 보낼 초기 경고, 72시간 상세 통지, 최종 보고서 양식을 사전에 준비해야 한다. 고객에게 알릴 완화 조치 안내문과 패치 배포 절차도 같은 훈련 안에 포함해야 한다. 실제 모의훈련을 정기적으로 실시해 조직 전체의 대응 속도를 검증하는 것이 필수적이다.
Q. CRA 대응 비용은 중소 IT 기업에 어떤 부담을 주나?
A. CRA는 최소 5년 지원 기간 명시와 제품 수명 주기 전반의 보안 관리를 요구해 중소 기업의 고정비를 높인다. 취약점 접수 창구, 오픈소스 소프트웨어 구성 요소 관리, 기술 문서 보관, 사고 보고 훈련이 모두 비용 항목으로 작용한다. 이 비용을 단순한 규제 부담으로만 처리하면 유럽 고객사의 조달 기준에서 밀릴 위험이 커진다. 중소 기업은 모든 제품을 한꺼번에 정비하기보다 유럽 매출 비중이 높은 제품부터 적용 대상과 보고 절차를 확정하는 방식이 현실적이다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
