요약:
유럽 연합은 9월 11일 디지털 제품 제조업체와 소프트웨어 개발자에게 더욱 엄격한 사이버 보안 보고 의무를 부과하는 사이버 복원력법(Cyber Resilience Act)의 주요 조항을 공식적으로 발표했습니다. 새로운 규정에 따르면 기업은 자사 제품에 해커가 악용하는 보안 취약점이 있다는 사실을 발견하면 매우 짧은 시간 내에 이를 EU 사이버 보안 기관에 신고해야 하며, 그렇지 않으면 향후 심각한 처벌을 받을 수 있습니다.
법안의 요구 사항에 따르면 회사는 자사 제품의 취약점이 실제로 악용되었음을 발견한 경우 먼저 24시간 이내에 유럽 사이버 보안국(ENISA)에 조기 경고 통지를 보내야 합니다. 그런 다음 취약성의 성격, 영향 범위, 취해진 완화 조치를 포함하여 상황에 대한 보다 자세한 설명을 72시간 이내에 제출합니다. 취약점이 복구된 후 14일 이내에 최종 보고서를 제출해야 합니다. 단순한 취약점 악용이 아닌 심각한 사이버 보안 사고와 관련된 경우 최종 보고서 제출 기한이 1개월로 연장됩니다.
EU는 이 시스템의 주요 목적이 전체 디지털 제품 생태계의 투명성과 대응성을 향상시키는 것이라고 밝혔습니다. EU는 공급업체가 보안 위험을 신속하게 공개하고 보고하도록 함으로써 취약점의 장기적인 은폐로 인한 피해를 줄이고 IoT 장치, 소프트웨어 플랫폼 및 연결된 제품의 전반적인 보안 수준을 향상시키기를 희망합니다.
많은 사이버 보안 규정과 달리 새 시스템은 향후 출시될 신제품뿐만 아니라 이미 시장에 출시된 디지털 제품에도 적용됩니다. 이는 기업이 단순히 신제품에 대한 보안 대응 메커니즘을 구축할 것이 아니라, 기존 소프트웨어, 하드웨어, 지속적으로 유지 관리 중인 제품에 대한 신속한 취약점 보고 시스템을 구축해야 함을 의미합니다. 관련 제품이 공격을 받거나 취약점을 악용한 것으로 확인되면 법적 보고 프로세스가 시작됩니다.
새 규정의 범위는 상당히 넓습니다. 현지 EU 기업 외에도 EU 시장에 디지털 제품 및 서비스를 판매하는 모든 외국 기업도 관련 요구 사항을 준수해야 합니다. 소프트웨어 개발자, 하드웨어 제조업체, 가전제품 회사, 사물 인터넷 장비 공급업체 등 그 제품이 EU 시장에 진입하는 한 제한을 받을 수 있습니다.
기업이 새로운 시스템에 적응할 수 있도록 돕기 위해 유럽연합 집행위원회는 일련의 실무 지침 문서를 발행했으며, 유럽 사이버보안청은 기업이 제출한 취약성 및 보안 사고 보고서를 접수하고 관리하는 통합 보고 플랫폼을 구축했습니다. 관련 기관은 규제 당국이 적시에 네트워크 보안 위험 역학을 파악할 수 있도록 하는 동시에 표준화된 프로세스를 통해 기업 규정 준수 비용을 절감하기를 희망합니다.
취약점 보고 시스템이 오늘부터 구현되는 동안 사이버 복원력법의 전체 준수 요구 사항도 단계적으로 구현됩니다. 정해진 시간표에 따르면 제품 인증, 기술 문서, CE 마킹 등 포괄적인 의무를 포함한 완전한 요구 사항이 2027년 12월부터 공식적으로 의무화됩니다.
이 법안이 도입된 배경에는 최근 글로벌 사이버 공격이 빈번히 증가하고, 다수의 스마트 기기와 인터넷 연결 제품에서 오랫동안 복구되지 않은 취약점이 발견된 점이다. EU는 과거 일부 제조업체가 안전 문제를 적시에 공개하고 처리하려는 동기가 부족했다고 보고, 입법을 통해 통일된 기준을 마련하고 법적 책임을 활용해 기업의 안전 관리 수준 향상을 촉진할 필요가 있다고 본다.
분석가들은 이 새로운 규정으로 인해 기술 업계가 내부 보안 대응 프로세스를 재설계하게 될 것이라고 믿습니다. 미래에 기업은 취약점을 더 빨리 발견해야 할 뿐만 아니라 지정된 시간 내에 평가, 알림 및 해결이 완료되도록 보장해야 합니다. 대규모 기술 기업의 경우 이는 24시간 네트워크 보안 팀을 구축하는 데 더 많은 리소스를 투자해야 함을 의미합니다. 반면 중소 규모 개발자의 경우 상당한 규정 준수 압박에 직면할 수 있습니다.
사이버 복원력법(Cyber Resilience Act)의 점진적인 시행으로 EU는 세계에서 가장 엄격한 사이버 보안 규정을 가진 지역 중 하나가 되어가고 있습니다. 향후 몇 년 안에 이 시스템이 실제로 허점 남용을 줄이고 소비자와 기업의 디지털 보안 수준을 향상시킬 수 있는지 여부는 글로벌 기술 산업의 중요한 관심사가 될 것입니다.
댓글