"사이버복원법"

EU 사이버복원법, 취약점 24시간 신고 의무 시행

EU 사이버복원법(CRA) 제14조에 따른 취약점 신고 의무가 발효되어, 디지털 요소가 포함된 제품을 EU 시장에 공급하는 제조사는 소재지와 무관하게 적용 대상이 된다. 제조사는 실제 악용되는 취약점을 인지한 뒤 24시간 내 초기 경고, 72시간 내 상세 신고를 ENISA의 단일신고플랫폼(SRP)을 통해 해당 CSIRT에 제출해야 한다. 최종 보고서는 대응조치 제공 후 14일 내(중대 사고는 최초 신고 후 1개월 내) 제출해야 하며, 이용자에게도 지체 없이 통지해야 한다. 이 핵심 의무를 위반하면 최대 1500만 유로 또는 연간 매출의 2.5% 중 높은 금액의 과징금이 부과될 수 있다. CRA의 나머지 조항 대부분은 2027년 12월 11일부터 적용되며, 이때 보안 기본설계 및 SBOM 의무화 등이 시행된다.