CRA가 2027년에 바꾸는 것 — 62443이 CE 마킹의 기반 규격이 되기까지

결론부터

2027년 12월 11일부터, 사이버보안 적합성을 입증하지 못한 디지털 제품은 EU에서 팔 수 없다. EU Cyber Resilience Act(CRA, Regulation (EU) 2024/2847)가 CE 마킹의 요건에 사이버보안을 편입하기 때문이다. 그리고 그 적합성을 입증하는 기반 규격으로 IEC 62443이 자리 잡고 있다. 물리 안전만 보던 CE 마크가 이제 "이 제품은 안전하게 설계됐고 취약점을 관리한다"까지 증명해야 하는 마크로 바뀐다.

이 글은 세 가지를 다룬다. 첫째, CRA가 무엇이고 언제부터 무엇이 강제되는가 — 시점이 핵심이다. 둘째, 62443이 어떻게 CRA의 조화표준으로 편입되는가. 셋째, 62443만으로는 못 덮는 CRA 고유 요구 6종 — 여기가 실무의 함정이다. 62443 자체의 구조가 낯선 독자는 IEC 62443-4-2 입문을 먼저 참고하면 좋다.

1. CRA란 무엇인가 — 세계 최초의 수평 규제

CRA의 정식 명칭은 Regulation (EU) 2024/2847 — 디지털 요소를 가진 제품에 대한 수평적 사이버보안 요구사항에 관한 규정이다. 2024년 12월 10일 발효됐다.

"세계 최초"라는 수식이 붙는 이유는 이것이 디지털 요소를 가진 물리 제품에 사이버보안 요구를 강제하는 최초의 수평(horizontal) 규제이기 때문이다. 소프트웨어만도, IT 시스템만도 아니다 — 네트워크에 연결되는 거의 모든 것이 대상이다. (엄밀히는 미국 IoT Cybersecurity Improvement Act(2020), 영국 PSTI(2024), 싱가포르 CLS 같은 선행 제도가 있었지만, 범위가 좁은 제품군 한정이었다. CRA는 제품군을 가리지 않는 수평 규제라는 점에서 성격이 다르다.)

적용 대상 — 세 조건

다음 세 조건을 모두 만족하면 CRA 대상이다.

1. 네트워크에 연결 — 직접 인터넷 연결이 아니어도 된다. 상위 시스템을 통한 간접 연결로 충분하다.
2. 소프트웨어 또는 디지털 기능 포함
3. 상업 활동으로 EU 시장에 공급

여기서 주의할 점 두 가지. 첫째, "제품"의 범위가 넓다. 예를 들어 연결된 산업 기기라면 하드웨어만이 아니라 펌웨어·OS·제어 소프트웨어·모바일 앱·클라우드 서비스·원격 관리 기능이 모두 제품의 일부로 간주된다. 원격 데이터 처리 솔루션과 별도로 판매되는 컴포넌트까지 포함한다.

둘째, 역외 적용된다. 미국·중국·일본 제조사라도 EU 시장에 출하하면 준수 의무를 진다. 제조 위치는 무관하다. 이 점이 CRA를 사실상 글로벌 규범으로 만든다 — EU 시장을 포기하지 않는 한 피할 수 없다.

제외 대상은 이미 동등한 요구가 있는 영역이다 — 의료기기(MDR/IVDR), 항공 인증 제품(EASA) 등.

제조사 의무 — 사후 패치가 아니라 설계부터

CRA가 요구하는 제조사 의무는 네 갈래다.

• Secure by design — 기본 비밀번호 금지, 공격면 최소화, 보안 업데이트 메커니즘 탑재. 사후 패치가 아니라 설계 단계부터 보안이 들어가야 한다.
• 생애주기 취약점 관리 — 지원 기간 동안 능동적으로 모니터링·공개·패치.
• 인시던트 신고 — 능동적으로 악용되는 취약점과 중대 인시던트를 EU 단일 신고 플랫폼에 보고.
• CE 마킹 — 물리 안전만이 아니라 사이버보안 적합성까지 포함해 CE 마크를 붙인다.

2. 시점이 핵심이다 — 2026과 2027

CRA의 시의성은 적용일이 단계적이라는 데 있다. 발효(2024-12-10)와 전면 적용 사이에 중간 마일스톤이 있고, 그 첫 번째가 이미 눈앞이다.

2024-12-10  발효 (in force)
     │
2026-09-11  ★ 취약점·인시던트 신고 의무 발효
     │      - 능동 악용 취약점: 24시간(조기경보) / 72시간(전체) / 14일(최종)
     │      - 중대 인시던트 신고
     │
2027-12-11  ★★ 전면 적용
            - 기술문서 완비
            - CE-CRA 마킹 (없으면 EU 판매 불가)

2026년 9월 — 신고 의무가 먼저 온다

전면 적용보다 1년 이상 앞서, 2026년 9월 11일부터 취약점·인시던트 신고 의무가 발효된다. 능동적으로 악용되는 취약점을 알게 되면 24시간 이내 조기경보, 72시간 이내 전체 신고, 14일 이내 최종 보고를 EU 단일 신고 플랫폼에 제출해야 한다.

여기에 실무 리스크가 하나 있다. 신고 의무가 발효되는데 이를 접수할 ENISA 단일 신고 플랫폼(SRP)의 가동 여부가 불확실하다는 점이다. 그리고 법문에는 플랫폼 미가동에 대한 면책 조항이 없다. 제조사는 신고 채널을 스스로 준비해 두어야 하고, 이 시점 관리가 2026년 하반기의 과제가 된다.

2027년 12월 — CE 없으면 판매 불가

전면 적용일에는 기술문서와 CE-CRA 마킹이 완비되어야 한다. CE 마크가 없으면 EU 시장에 출하할 수 없다. 이것이 CRA가 단순한 권고가 아니라 시장 진입 장벽인 이유다. 62443 인증을 지금 준비하는 제조사들의 동기가 여기 있다 — 인증 자체가 목적이 아니라, CE 마킹의 근거를 확보하는 것이 목적이다.

3. 62443이 CE 마킹의 기반이 되는 구조

CRA는 법이지 기술 표준이 아니다. 법은 "안전하게 설계하라"고 말하지, "패스워드는 최소 몇 자여야 한다"고 말하지 않는다. 그 간극을 **조화표준(harmonised standard)**이 메운다. 조화표준을 따르면 CRA 필수요구(ESR, Essential Security Requirements)에 대한 **적합성이 추정(presumption of conformity)**된다.

그리고 OT(운영기술) 영역의 조화표준이 IEC 62443 위에 세워지고 있다. CEN-CENELEC의 CLC/TC 65X WG3가 다음 작업을 진행한다.

[IEC 62443-4-2:2019]  ──A11:2026──▶  EN IEC 62443-4-2:2019/A11:2026
[IEC 62443-4-1]       ──A11:2026──▶  EN IEC 62443-4-1/A11:2026
         │
         ▼  (그 위에 파생)
   prEN 50770-1~6  (6종 OT 프로파일)
         │
         ▼  각 프로파일이 Annex ZZ로
   CRA 필수요구(ESR) ↔ 기술 보안요구 매핑

핵심은 **A11:2026이라는 개정판(Amendment)**이 기존 62443-4-2에 CRA 대응에 필요한 것들을 더한다는 점이다. A11:2026이 추가하는 것:

• 모든 CR·RE에 대한 적용성 기준
• CR·RE별 평가 산출물 정의
• TS 62443-6-2 평가 방법론 편입 (컴포넌트를 반복·재현 가능하게 평가하는 방법)
• Security Test Grades / Modules 개념
• SL 기반 합격 기준

즉 "62443-4-2 요구를 만족하는가"를 CE 마킹 목적으로 판정할 수 있게 하는 평가 틀이 A11:2026과 6-2에서 나온다. 그래서 62443-4-1(개발 프로세스)과 4-2(컴포넌트 요구)가 함께 지목된다. 앞서 다른 글에서 짚었듯 4-2 인증은 4-1 인증을 전제하므로, CRA 대응도 두 표준을 한 묶음으로 봐야 한다.

조화표준의 현재 상태 — 아직 게재 0건

여기서 냉정한 현실 하나. 2026년 8월 기준, M/606 위임에 따른 조화표준 41종 중 EU 관보(OJEU)에 게재된 것은 0건이다.

조화표준은 OJEU에 게재되어야 비로소 "적합성 추정" 효과가 생긴다. 게재 전까지는 그 표준을 따라도 자동으로 적합성이 추정되지 않는다. 즉 현재로서는 어떤 제품군에서도 조화표준을 통한 적합성 추정 경로가 아직 열려 있지 않다.

가장 큰 공백은 CRA 필수요구 전반을 다루는 핵심 표준(EN 40000-1-4 등)의 인도 목표가 2027년 10월 — 전면 적용 2개월 전 — 이라는 점이다. 제조사가 2027년 12월까지 무엇을 근거로 CE를 붙일지는 현재 미해결 상태다. 표준이 늦게 나오면, 초기에는 조화표준 없이 자체 평가나 제3자 인증으로 적합성을 입증하는 경로에 의존해야 할 수 있다.

4. 62443이 못 덮는 CRA 요구 6종

이 글의 실무적 핵심이 여기다. 62443을 다 만족해도 CRA를 다 만족하는 것은 아니다. CRA에는 62443이 다루지 않는 고유 요구가 있다.

62443 밖의 6가지 기술 요구

무게중심은 4-2가 아니라 4-1 쪽

흥미로운 점은, 이 6종 중 다수가 컴포넌트 요구(4-2)가 아니라 개발 프로세스(4-1) 관할이라는 것이다.

여기서 언급된 4-1의 접두사(DM=이슈 관리, SG=보안 지침, SUM=업데이트 관리, SM=보안 관리)는 62443-4-1의 8개 Practice에서 나온다. 이 프로세스 표준이 CRA의 취약점 관리·공개·폐기 요구를 상당 부분 흡수한다는 뜻이다.

결론: CRA 대응의 무게중심은 제품 기능(4-2)이 아니라 개발 프로세스(4-1)에 있다. 제품을 아무리 견고하게 만들어도, CVD 정책·안전 삭제 지침·패치 전달 프로세스가 문서화되어 있지 않으면 CRA를 못 넘는다.

규제 고유 산출물

기술 요구 외에도 CRA는 규제 특유의 산출물을 요구한다.

• CE 마킹 + EU 적합성 선언(DoC)
• Annex VII 기술문서
• Art 14 신고 (위 2026-09-11 신고 의무)
• 지원기간 선언

마지막 항목에 함정이 하나 있다. "지원기간 선언"이 OT 제품에서 문제가 된다. 흔히 "5년 지원"으로 회자되지만, CRA recital 60은 산업제어시스템의 장기 지원기간을 명시하고, 집행위 가이던스는 5년이 기본값이 아니라 하한임을 못박았다. 즉 20~30년 운영되는 산업 기기라면 5년 지원 선언으로는 부족할 수 있다. 지원기간은 제품 수명에 맞춰 정당화해야 하는 값이지, 일률적으로 5년을 적으면 되는 것이 아니다.

5. 지금 무엇을 해야 하는가

시점을 역산하면 준비 순서가 나온다.

2026년 하반기까지 — 취약점·인시던트 신고 프로세스를 갖춘다. 2026-09-11 신고 의무에 대비해 CVD 정책(4-1 DM-5), 신고 채널, 24/72시간 대응 절차를 문서화한다. ENISA 플랫폼 가동 여부와 무관하게 자체 준비가 필요하다.

2027년 전면 적용까지 — 62443-4-1(개발 프로세스)과 4-2(컴포넌트 요구)를 축으로 적합성을 쌓되, 62443 밖의 6종(SBOM·CVD·정보공유·데이터 최소화·안전 삭제·타 시스템 가용성)을 별도로 챙긴다. 조화표준이 늦게 나올 가능성에 대비해, 조화표준 없이도 적합성을 입증할 경로(기술문서·제3자 평가)를 병행 검토한다.

정리

CRA가 2027년에 바꾸는 것은 결국 하나로 요약된다 — 사이버보안이 CE 마킹의 필수 요건이 되고, 그 기반 규격으로 62443이 선다.

• 시점 — 2026-09-11 신고 의무가 먼저 오고, 2027-12-11 전면 적용에서 CE 없으면 판매 불가.
• 구조 — 62443-4-2/4-1이 A11:2026 개정과 6-2 평가 방법론을 통해 조화표준으로 편입된다. 단, 2026-08 기준 조화표준은 OJEU 게재 0건으로 적합성 추정 경로가 아직 미확정.
• 함정 — 62443만으로는 SBOM·CVD 정책·안전 삭제 등 6종을 못 덮고, 그 무게중심은 4-2가 아니라 4-1(개발 프로세스)에 있다. 지원기간 5년은 OT에서 하한일 뿐 기본값이 아니다.

62443을 "인증받으면 끝나는 것"으로 보면 CRA 앞에서 헛발을 딛는다. CRA는 62443을 기반으로 삼되, 그 위에 프로세스와 규제 산출물을 요구한다. 표준의 요구사항 지도 자체가 궁금하다면 IEC 62443-4-2 입문에서 FR1~7과 컴포넌트 타입을 정리해 두었다.