EU 사이버보안 기관인 ENISA가 2026년 9월 11일부터 '사이버 복원력법(CRA)'에 따른 단일 신고 플랫폼을 공식 운영하기 시작했습니다. EU 시장에 디지털 제품을 출시하는 제조사는 이제 이 포털 하나를 통해 실제로 악용된 취약점과 심각한 보안 사고를 의무적으로 신고해야 합니다. 신고 기한은 사건 인지 후 24시간 이내 초기 경보, 72시간 이내 상세 통보, 14일 이내 최종 보고서 제출입니다. 현재는 API 없이 웹 인터페이스만 제공되며, 오픈소스 소프트웨어 관리자에게는 2027년 12월 11일부터 동일한 의무가 적용됩니다. EU 시장에 제품을 판매하는 국내외 기업 보안 담당자라면 이 새로운 규제 의무를 반드시 숙지해야 합니다.
ENISA가 CRA(사이버 복원력법) 제16조에 근거한 단일 취약점·사고 신고 플랫폼을 2026년 9월 11일 개통했으며, 같은 날부터 제조사의 신고 의무가 법적으로 발효되었다.
EU 시장에 디지털 제품을 공급하는 모든 제조사는 실제 악용된 취약점 및 심각한 사고를 정해진 기한 내에 의무 신고해야 하며, 미준수 시 법적 제재를 받을 수 있다.
CRA는 EU 디지털 단일 시장의 사이버 복원력을 높이기 위해 제조사에 취약점·사고 신고 의무를 부과했고, ENISA가 이를 운영하도록 지정되었다.
제조사는 EU Login 계정(다중 인증 필수)으로 등록 후, 주요 사업 거점 국가의 CSIRT(국가 사이버 침해사고 대응팀)를 조정기관으로 지정해 신고하면 된다. 잘못된 조정기관 선택 시 신고가 무효 처리될 수 있다.
EU 시장 대상 제품을 보유한 기업은 즉시 CRA 신고 프로세스를 내부 절차에 반영하고, 담당 CSIRT 지정 및 EU Login 계정 등록을 완료해야 한다. API는 미지원 상태로 향후 제공 예정이므로 현재는 웹 인터페이스를 통해 수동 신고해야 한다.
본문
EU 사이버보안 기관인 ENISA는 2026년 9월 11일, 사이버 복원력법(CRA)의 단일 신고 플랫폼을 가동했습니다. 이 날은 법에서 정한 신고 의무가 제조사에 실제로 적용되기 시작한 날이기도 합니다. ENISA는 CRA 제16조 제1항에 따라 이 플랫폼을 구축하고 일상 운영을 맡고 있습니다.
이제 EU 시장에 디지털 요소가 포함된 제품을 출시하는 모든 사업자는 이 포털 하나를 통해 실제로 악용된 취약점과 심각한 사고를 신고해야 합니다. 신고 시계는 제조사가 해당 사건을 인지한 순간부터 시작됩니다. 초기 경보는 24시간 이내, 초기 평가를 포함한 상세 통보는 72시간 이내, 최종 보고서는 시정 또는 완화 조치가 마련된 시점으로부터 14일 이내에 제출해야 합니다. 심각한 사고의 경우 최종 보고서는 72시간 통보 후 한 달 이내에 제출해야 합니다.
제출 한 번으로, 이후 CSIRT가 전달
제조사는 전자 방식으로 신고서를 제출하고, 조정기관으로 지정된 CSIRT(국가 사이버 침해사고 대응팀)를 선택합니다. 이 팀이 최초 신고를 접수한 뒤, 해당 제품이 유통되는 다른 회원국의 CSIRT에 통보를 전달합니다. ENISA는 동시에 사본을 받습니다. 단, 제조사가 제16조 제2항에서 정한 예외 사유를 표시한 경우에는 수신 CSIRT가 나머지 정보를 공개할 때까지 ENISA에는 일부 정보만 전달됩니다.
조정기관 선택은 제조사의 책임입니다. 원칙적으로 EU 내 주요 사업장, 즉 제품 사이버보안에 관한 결정이 주로 이루어지는 회원국을 선택해야 합니다. 잘못된 조정기관을 선택하면 신고가 무효 처리되어 올바른 조정기관에 재제출해야 합니다.
등록은 다중 인증(MFA)이 적용된 EU Login 계정으로 이루어집니다. 각 제조사는 주 담당 대리인(Primary Assigned Representative) 1명과 최대 20명의 보조 대리인(Secondary AR)을 지정할 수 있으며, 지정된 CSIRT가 연결을 승인합니다. 연결 승인이 아직 처리 중인 대리인은 인증이 필수가 되기 전까지 최대 20건의 신고를 제출할 수 있습니다.
ENISA 사무총장 Juhan Lepassaar는 "실제 악용된 취약점과 심각한 사고에 관한 정보를 간소화된 방식으로 신고하고 공유함으로써 더욱 복원력 있는 디지털 단일 시장을 구축하는 데 기여할 것"이라고 말했습니다.
첫 번째 버전에서 빠진 것들
이번 버전에는 API가 제공되지 않아, 신고는 웹 인터페이스를 통해서만 가능합니다. ENISA는 조직이 내부 워크플로를 자동화할 수 있으며 향후 단계에서 API 기능이 추가될 수 있다고 밝혔습니다. 여러 제품 라인이 영향을 받는 벤더는 이벤트별로 신고서를 하나씩 양식에 입력해야 하며, 지사와 자회사 간에 조율하여 신고가 정확히 한 건만 제출되도록 해야 합니다.
플랫폼은 영어로만 출시되었으며, 지원 자료의 번역본은 추후 제공될 예정입니다. 취약점, 사이버 위협, 사고 및 아차사고(near miss)에 대한 제15조 기반의 자발적 신고 기능은 이후 단계에서 추가될 계획입니다. 오픈소스 소프트웨어 관리자에게는 동일한 의무가 2027년 12월 11일부터 적용됩니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
