EU, '디지털 보안' 장벽 현실화…K가전·IoT 9월부터 신고 비상

유럽연합(EU)이 인터넷과 네트워크에 연결되는 하드웨어·소프트웨어 제품의 사이버보안을 강화하는 규제를 시행할 예정이어서 유럽 시장 진출을 노리는 한국의 가전, 사물인터넷(IoT), 소프트웨어(SW) 기업들의 대응에 비상이 걸렸다.

유럽연합 집행위원회는 지난 27일(현지시각) EU 시장에 유통되는 디지털 요소 보유 제품에 사이버보안 의무를 부과하는 사이버복원력법(CRA)의 실무 지침(practical guidance)을 공식 발표했다. 이번 지침은 오는 9월 11일 시작되는 '사이버보안 취약점·사고 의무 신고제'를 40여 일 앞두고 나왔다.

이번 지침은 구속력이 없지만 CRA의 본격 시행을 앞두고 EU의 사이버보안 규제가 새로운 시장 진입 요건으로 현실화하고 있다는 평가가 나온다.


유럽연합 집행위원회는 정책 자료에서 제조업체와 개발자 등 모든 규모의 사업자가 제품 전 생애주기에 걸쳐 지켜야 할 보안 기준과 실무 이행 방안을 명시했다.
지난 2024년 12월 발효한 CRA는 내년 12월부터 전체 의무를 본격 적용하지만, 실제로 악용된 취약점이나 제품 보안에 영향을 미치는 중대한 사고를 인지하면 24시간 이내 조기경보를 제출하고 72시간 이내 완전 신고를 마쳐야 하는 의무는 오는 9월 11일부터 우선 적용된다.

이번 실무 지침은 기업들이 제품을 설계할 때부터 사이버 공격을 막도록 구조화하는 '보안 내재화(Secure by Design)' 원칙을 강조한다.

기업은 초기 설계 단계부터 보안 위험을 평가하고, 제품 유통 이후에도 지속적인 보안 업데이트 제공과 기술 문서 유지보수 체계를 갖춰야 한다.


산업계에서는 CRA 요건을 충족하지 못한 제품은 EU 시장에 적법하게 출시하기 어려워지는 만큼 사이버보안이 새로운 시장 진입 요건으로 부상했다는 우려가 나온다.
과거에는 제품의 기능과 가격 경쟁력이 유럽 시장 진입을 결정했지만, 앞으로는 제품 위험 등급에 따라 자체 적합성 평가나 제3자 검증을 거치지 못할 경우 수출 길에 차질이 빚어질 수 있다는 것이다.

규제 여파는 완제품 제조사에만 그치지 않고, 완성품에 들어가는 모듈과 부품, 소프트웨어를 공급하는 중견·중소 협력사로 확산하고 있다.

보안 인력 확보와 취약점 관리, 기술문서 작성 등에 추가 비용이 발생할 가능성이 있어 수출 기업 전반의 규제 준수 부담이 커질 수 있다는 분석이 나온다.

전·IoT·SW 제조사는 보안 설계 재구축과 기술문서 관리 등 단기로는 규제 대응 비용 증가라는 부담을 안게 된다.

한국 보안 업계에는 CRA 대응 컨설팅, 취약점 점검과 자동 업데이트 솔루션 공급 등 새로운 시장 창출의 기회를 얻을 것으로 전망된다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com