와이즈스톤 와이즈스톤

기술인사이트

기술리포트

사이버 복원력 법(CRA)의 조화 표준 구성과 발행 과정
  • 작성자
    와이즈스톤 박성혁 주임연구원
  • 작성일
    2026-01-25

사이버 복원력 법(Cyber Resilience Act; CRA)은 2024년 10월 23일 유럽 연합에서 채택되고 2024년 12월 11일 공식 발효된 규정이다.
이는 디지털 요소가 포함된 제품에 대해 전 생애주기에 걸친 사이버 보안 요구사항을 규정하고 있다.

해당 법안은 2027년 12월 11일부터 적용 예정으로 유럽 회원국과 EFTA(European Free Trade Association) 회원국인 노르웨이, 아이슬란드, 리히텐슈타인 내 유통되는 디지털 제품은 해당 요구사항을 만족해야 한다.

현재 사이버 복원력 법과 관련된 조화 표준들이 개발 중이며, 약 40여개의 표준 중 일부는 초안이 발행되고 있다. 사이버 복원력 법 조화 표준의 구성과 표준의 발행 과정에 대해 알아보자.

○ CRA 조화 표준의 수평적·수직적 체계
사이버 복원력 법은 규정(Regulation) 형태로 제정되어 EU 전 회원국에 직접 적용되며, 법적 요구사항을 기술적으로 충족하기 위한 수단으로 조화 표준의 활용을 전제로 한다.

사이버 복원력 법에 따른 조화 표준 체계는 기존의 ICT 보안 표준과 유사하게 수평적(Horizontal) 표준과 수직적(Vertical) 표준의 이원적 구조로 구성되는 방향으로 개발되고 있다.

이러한 구조는 다양한 제품 군에 공통적으로 적용되는 보안 요구사항을 수평적 표준으로, 특정 제품 유형 또는 사용 환경에 특화된 요구사항을 수직적 표준으로 구분하여 적용할 수 있도록 한다.

① 수평적 조화 표준(Horizontal standards)
수평적 조화 표준은 디지털 요소가 포함된 모든 제품에 공통적으로 적용되는 기본 사이버 보안 요구사항을 정의한다.
이는 CRA Annex I 및 Annex II에 명시된 필수 요구사항을 기술적으로 구체화하는 역할을 하며, 제품 유형과 무관하게 적용 가능한 최소 보안 기준을 제시한다. 이러한 수평적 조화 표준은 다음과 같은 내용을 포함한다.
- 사이버 복원력 원칙 , 일반 보안 요구사항, 취약점 처리

수평적 표준은 CRA 적합성 평가의 기본 전제 조건으로 작용하며, 이후 수직적 표준이 존재하더라도 우선적으로 충족되어야 한다.
수평적 조화 표준 중 일부 초안이 공개되었으며, prEN 40000-1-1, prEN 40000-1-2, prEN 40000-1-3이 이에 해당한다.

수평적 조화 표준(Horizontal standards)
prEN 40000-1-1 : 표준 내 용어에 대한 설명
prEN 40000-1-2 : 제품의 생애주기에 걸친 사이버 복원력의 원칙을 설명하고 있으며, 위험 관리 요서와 사이버 보안 활동 별 평결 기준을 제시
prEN 40000-1-3 : 취약점 처리의 각 단계, 조정된 취약점 공개에 대한 정책과 취약점 관리에 대한 설명 및 평결 기준을 제시.예) 시스템 인프라, 소프트웨어 인프라, 개발 환경, 운영 환경과 관련된 요구사항

② 수직적 조화 표준(Vertical standards)
수직적 조화 표준은 특정 제품 군, 산업 분야 또는 사용 목적에 특화된 추가적인 사이버 보안 요구사항을 정의한다. 이는 수평적 표준을 기반으로 하여, 각 제품의 특성에 따라 요구되는 보안 수준을 보완·확장하는 역할을 한다.
수직적 표준은 다음과 같은 제품 군을 대상으로 한다.


수직적 표준은 해당 범주에 속하는 제품에 적용되며, 수평적 표준 요구사항을 전제로 추가 요구사항을 부과한다.
수직적 표준 또한 다수의 초안이 공개된 상황으로, 제품군 별 제조사 혹은 시험 및 인증 기관은 지속적인 모니터링을 통해 이를 추적할 필요가 있다.


○ CRA 조화 표준 개발 과정

CRA에 따른 조화 표준은 EU 집행위원회(EU Commission)의 표준화 요청을 기반으로 CEN-CENELEC(유럽 표준화 위원회-유럽 전기기술 표준화위원회)를 중심으로 개발되고 있다. EU 집행위원회는 CRA의 필수 요구사항을 기술적으로 구현하기 위해 필요한 표준의 범위와 목적을 정의하고, 이를 CEN-CENELEC에 공식적으로 위임한다.
이에 따라 CEN-CENELEC은 관련 기술위원회(TC) 및 작업 그룹(WG)을 구성하여 조화 표준 개발을 진행하며, 기존 국제 표준(IEC, ISO/IEC, ETSI 등)을 최대한 활용하거나, CRA에 특화된 신규 유럽 표준(EN)을 제정하는 방식으로 작업이 이루어진다.


CRA 조화 표준의 개발 절차는 일반적인 유럽 표준(EN) 개발 절차를 따르며, 주요 단계는 다음과 같다. 먼저 작업 그룹 내에서 조화 표준의 초안이 작성된다. 초안이 일정 수준 이상 완성되면 의견수렴(Public Enquiry) 단계로 진입한다. 이 단계에서는 표준 초안이 prEN(Proposed European Standard) 형태로 공개되며, 산업계, 시험·인증기관, 회원국 이해관계자들이 공식적으로 의견을 제출할 수 있다. 현재 다수의 CRA 조화 표준이 prEN 형태로 공개되고 있다.

의견 수렴 기간 동안 접수된 의견은 작업 그룹에서 검토·반영되며, 기술적 수정이 이루어진다. 이후 표준 초안은 최종 승인(Voting) 단계로 넘어가며, CEN-CENELEC 회원국의 투표를 통해 채택 여부가 결정된다. 최종 승인 이후 표준은 유럽 표준(EN)으로 공식 발행된다.

CRA 조화 표준은 법 적용 시점(2027년 12월 11일)에 맞추어 단계적으로 발행될 예정이며, 표준 별로 개발 일정과 완료 시점에는 차이가 존재한다.

또한 표준 별로 계획된 완료 시점은 최종 승인 시점으로 발행 이전 요구사항을 사전에 검토하고 대응 전략을 수립을 고려한다면 조화 표준의 개발 현황과 초안 공개 여부를 지속적으로 모니터링할 필요가 있다.

그리고, 공개된 초안은 참고 자료로 활용될 수 있으나, 최종 규제 적용 기준은 EN 발행 및 OJEU 인용 이후 확정된다는 점에 유의해야 한다.



○ CRA 조화 표준 개발 계획

CRA 조화 표준의 전반적인 개발 범위와 일정은 CEN-CENELEC에서 공개한 “CRA Standardization Work Programme(m_606_work_programme_final.pdf)” 문서를 통해 확인할 수 있다.

해당 문서는 CRA에 따른 조화 표준 개발을 위해 정의된 표준화 과제 목록과 각 표준의 범주, 책임 기술위원회, 그리고 목표 일정(target date)을 정리한 공식 작업 계획서이다.

이 작업 계획서에서는 CRA 조화 표준을 수평적 표준과 수직적 표준으로 구분하여 제시하고 있으며, 각 표준이 CRA의 어느 요구사항을 기술적으로 지원하는지를 명확히 하고 있다. 또한 일부 표준은 기존 국제 표준을 기반으로 한 개정 또는 유럽 표준화(adoption) 형태로, 일부는 CRA 대응을 위한 신규 표준으로 개발되는 것이 명시되어 있다.

표준 별로 제시된 개발 일정은 법 적용 시점 이전에 조화 표준을 제공하기 위한 목표 시점으로 설정된 것으로, 실제 발행 시점은 의견수렴 결과 및 기술적 논의에 따라 조정될 수 있고, 이에 따른 변경 점 또한 실시간 반영되니 지속적인 모니터링할 필요가 있다.

○ CRA 조화 표준 초안 확인 방법

CRA 조화 표준 중 의견 수렴 단계에 진입한 표준은 일반적으로 CEN-CENELEC 회원국 표준 기관을 통해 열람 또는 구매할 수 있다. CEN-CENELEC 체계에서는 조화 표준의 의견수렴을 위해 각 회원국 표준 기관이 prEN 문서를 배포·판매하는 방식을 취하고 있으며, 이에 따라 동일한 prEN 문서라도 국가별 표준 기관을 통해 접근하게 된다.

예를 들어, 독일의 DIN, 영국의 BSI, 프랑스의 AFNOR 등 주요 유럽 국가의 표준 기관 웹사이트에서는 prEN 번호 또는 표준 제목을 기준으로 검색을 통해 해당 초안을 구매할 수 있다.

국가별 표준 기관을 통해 제공되는 prEN 문서는 내용상 동일한 유럽 표준 초안이지만, 판매 정책과 접근 방식은 기관별로 상이하다. 일부 기관은 유료 판매만을 제공하는 반면, 일부는 회원 또는 특정 조건 하에 열람 서비스를 제공하기도 한다. 따라서 CRA 대응을 위해 특정 조화 표준의 초안을 확인하고자 할 경우, 해당 표준의 prEN 번호를 기준으로 복수의 회원국 표준 기관을 확인하는 것이 현실적인 접근 방법이다.


마치며
사이버 복원력 법의 적용 시점이 다가옴에 따라, CRA 조화 표준은 단순한 참고 규격을 넘어 유럽 시장 진입을 위한 핵심 기술 기준으로 자리 잡게 될 것이다.

특히 prEN 단계에서 공개되는 표준 초안은 최종 규제 적용 이전에 기술적 요구사항을 이해하고 대응 전략을 준비할 수 있는 중요한 자료로서, 선제적 준비의 기회를 제공한다.

향후 EN 발행 및 OJEU 인용을 통해 조화 표준이 확정되면, CRA에 따른 적합성 평가 체계 또한 본격적으로 정착될 것으로 예상되며, 이에 대한 지속적인 표준 동향 모니터링과 기술적 해석 역량 확보가 중요해질 것이다.