개인정보 보호위원회

EU 집행위원회(EC), 「사이버복원력법(CRA)*」의 일관된 적용과 기업의 규제 준수를 지원하기
위해 적용 범위·사이버보안 위험평가 등 주요 쟁점을 구체화한 공식 가이드라인을 발표

 * (Cyber Resilience Act) 디지털 요소를 포함한 제품의 설계부터 유지관리까지 전 생애주기에 걸쳐 사이버보안 요구사항을
부과하기 위해 제정. ‘24.12월 발효, 보고 의무는 ’26.9.11, 주요 의무는 ‘27.12.11일부터 적용 예정

본 가이드라인은 「CRA(Cyber Resilience Act)」가 디지털 요소 포함 제품이 EU 시장에 최초 공급되는 시점부터
적용되며, 독립형 소프트웨어는 최초 공급 시점에 시장 출시가 이루어진 것으로 간주된다고 설명

 - 이후 제공되는 소프트웨어 업데이트나 후속 버전은 새로운 제품으로 취급되는 것이 아니라, 보안 적합성에 영향을
미치는 실질적 변경(Substantial modification)에 해당하는 경우에만 새로운 시장 출시로 간주

 - 또한, 웹사이트나 단순 웹 애플리케이션은 원칙적으로 「CRA」 적용 대상이 아니며, 제품 기능 수행에 필수적인
원격 데이터 처리 기능을 제공하는 경우에만 적용 대상이 될 수 있음을 사례를 통해 제시

본 가이드라인은 무료·오픈소스 소프트웨어(Free and Open-Source Software, FOSS)의 경우 개발
방식·재원이 아니라 실제 상업적 활동 여부를 기준으로 「CRA」 적용 여부를 판단해야 한다고 설명

 - 공개 저장소에서 소스코드를 공유하거나 자발적으로 기여하는 개발자는 「CRA」상 제조자가 아니며, 개발·배포를 실질적으로 통제하는 유지관리자(maintainer)가 책임 주체가 될 수 있다고 명시

 - 소프트웨어 판매·다른 서비스의 수익 창출·개인정보 처리 조건 부과 등 상업성이 인정되면 제조자 의무가
발생하지만, 단순 후원금·개발비 지원·비용 회수용 제한적 기술지원은 상업적 활동으로 보지 않는다고 설명

 - 아울러 상업적 활동을 위한 것으로 의도된 오픈소스 소프트웨어의 유지·발전을 지속적으로 지원하는 법인은
'오픈소스 소프트웨어 관리기관(Open-source software steward)'으로서 별도 의무를 부담하며, 지원
방식에 따라 취약점 관리와 사고 통지 의무 범위가 달라질 수 있음을 안내

본 가이드라인은 「CRA」 주요 의무 적용일('27.12.11) 이전에 설계된 제품이 그 이후 시장에 출시되는
경우, 위험평가로 기존 보안조치가 필수 요구사항 충족을 입증 시 재설계 없이 출시할 수 있되, 적합성평가·CE
마킹·취약점 처리 등의 의무는 그대로 이행해야 한다고 설명

 - 제조사가 제품의 의도된 용도와 예측 가능한 사용환경을 고려한 위험평가를 수행하고, 상호운용성 등으로
최신 기술 수준의 보안조치를 모두 적용하기 어려운 경우에는 그 제약과 위험을 문서화·적절한 대체 보호조치를
마련해야 한다고 안내

 - 이와 함께 제품군 내 변형 제품이 동일한 아키텍처·보안 설계·의도된 용도·위험 노출도를 모두 공유하는 경우, 단일 위험평가·기술문서·적합성평가 자료로 갈음할 수 있으며, 지원기간 동안 위험평가를 최신 상태로 유지하고
취약점 관리 절차를 지속적으로 이행해야 한다고 설명

 - 또한, 제품 기능 수행에 필수적인 원격 데이터 처리 솔루션은 「CRA」 적용 대상에 포함될 수 있는 반면, 단순한 원격 서비스 자체는 규제 대상이 아님을 구체적인 활용 사례와 함께 설명

더불어 본 가이드라인은 중요 제품의 적합성 평가, 지원기간 설정, 취약점 대응, 사고 보고, 다른 EU 법령과의
관계 등 기업들이 실제 규정을 적용하는 과정에서 자주 제기되는 쟁점에 대한 해석 기준을 제시하는 가운데
법적 구속력은 없으나 EU 전역에서 「CRA」를 일관되게 적용하기 위한 공식적인 해석 지침으로 활용될 전망

출처 ∙ Commission publishes new guidance to support timely Cyber Resilience Act implementation (EC, 2026.7.27.)