EU 사이버복원력법 통보 의무 시행: 9월 11일부터, 누가 얼마나 빨리 통보해야 하나

2026년 9월 11일, EU 사이버복원력법(Cyber Resilience Act, Regulation (EU) 2024/2847)의 통보 의무가 적용되기 시작했습니다. 유럽연합 사이버보안청(ENISA)은 같은 날 '단일 통보 플랫폼'(Single Reporting Platform, SRP)을 가동해, 제조자가 제14조에 따라 적극적으로 악용된 취약점(actively exploited vulnerability)과 중대 사고(severe incident)를 통보할 수 있도록 했습니다. 이 규정 자체는 '적용'을 세 개의 날짜로 나누고 있으며, 9월 11일은 그중 하나일 뿐입니다.

이 글은 2026년 9월 17일에 사실을 확인했으며, EU 집행위원회의 통보 의무 페이지, ENISA의 가동 보도자료와 FAQ, 그리고 관보(Official Journal)에 게재된 규정 전문을 참고했습니다. 본 사이트는 직접 시험해 보지 않았고, 플랫폼으로 통보를 실제로 제출해 본 적도 없습니다. 아래 내용은 제품을 비교하거나 기기를 업그레이드해야 하는지 권하지 않으며, 공개된 조문과 기한만을 정리합니다.

제71조의 세 날짜, 9월 11일은 제14조 차례일 뿐

사이버복원력법 제71조 제2항은 '적용'을 세 개의 날짜로 나눕니다. 규정 전체는 원칙적으로 2027년 12월 11일부터 적용되지만, 제14조(제조자의 통보 의무)는 이보다 앞서 2026년 9월 11일부터, 제4장(제35조부터 제51조까지, 적합성평가기관 통지에 관한 규정)은 더 일찍 2026년 6월 11일부터 각각 적용됩니다.

2026년 9월 11일에 시작되는 것은 제14조뿐입니다. EU 집행위원회 페이지는 이를 분명히 밝히고 있습니다. 제조자는 9월 11일부터 적극적으로 악용된 취약점과 제품 보안에 영향을 미치는 중대 사고를 통보해야 합니다. 오픈소스 소프트웨어 관리자는 제24조 제3항에 따라 같은 의무를 지지만, 이는 제품 개발에 관여한 범위로 한정되며 제71조 제2항에 따라 2027년 12월 11일이 되어야 적용됩니다. ENISA의 FAQ 역시 두 기산일을 구분해서 설명합니다.

이 규정은 2024년 10월 23일 스트라스부르에서 서명되었고, 같은 해 11월 20일 관보에 게재되었습니다. 제71조 제1항의 공식에 따르면 공표 후 20일째 되는 날 발효합니다. '발효'와 '조문이 요구하는 실제 행위'는 별개의 문제입니다. 이 글의 이어지는 모든 문장에서는 그 내용이 9월 11일에 이미 적용되는 것인지, 2027년 12월 11일이 되어야 적용되는 것인지를 밝힙니다.

인지한 뒤, 얼마나 빨리 통보해야 하는가

기한은 '제조자가 인지한' 시점부터 계산되며, 취약점이나 사고가 실제로 발생한 시점부터가 아닙니다. ENISA의 FAQ는 명확합니다. '통보 절차는 제조자, 또는 (향후 적용될) 오픈소스 소프트웨어 관리자가 인지한 시점에 시작된다.' 제3조 제42항은 '적극적으로 악용된 취약점'을, 악의적인 행위자가 시스템 소유자의 허락 없이 이를 악용했다는 신뢰할 수 있는 증거가 있는 경우로 정의합니다. 단순히 취약점의 존재를 아는 것만으로는 제14조 제1항의 통보 의무가 발생하지 않습니다.

적극적으로 악용된 취약점과 중대 사고에는 동일한 조기 경보(early warning)와 전체 통보(full notification) 기한이 적용되지만, 최종 보고서의 계산 방식은 다릅니다. 제14조 제2항에 따르면, 인지 후 부당한 지연 없이 늦어도 24시간 이내에 조기 경보를, 72시간 이내에 전체 통보를 보내고, 시정 또는 완화 조치가 마련된 뒤 14일 이내에 최종 보고서를 제출해야 합니다. 제14조 제4항에 따르면 중대 사고의 최종 보고서는 72시간 통보를 제출한 뒤 1개월 이내에 제출하면 되며, 기산점은 통보 그 자체이지 인지한 순간이 아니고, 14일 규정도 적용되지 않습니다.

제14조 제6항은 CSIRT에 한 가지 권한을 추가로 부여합니다. 통보를 받은 CSIRT가 필요하다고 판단하면, 제조자에게 상황을 설명하는 중간 보고서(intermediate report)를 추가로 제출하도록 요구할 수 있습니다. 조기 경보, 전체 통보, 최종 보고서 외에 이 중간 보고서가 더해질 수 있는 것입니다. EU 집행위원회의 통보 페이지는 이 네 가지 기한을 한 문장으로 압축해서 설명합니다.

통보는 어디로 가는가: 하나의 창구, ENISA에도 동시 공유

통보는 단일 통보 플랫폼을 통해 단 한 번만 제출됩니다. 제14조 제7항에 따르면 제조자는 EU 내 주요 사업장(main establishment)이 있는 회원국의 CSIRT 전자 통보 창구를 통해 통보를 제출해야 하며, 동시에 ENISA도 이를 열람할 수 있도록 해야 합니다. 집행위원회는 특히 예외적인 상황에서는 그렇지 않을 수 있다고 설명합니다. '주요 사업장'은 먼저 제품 보안에 관한 결정을 내리는 회원국을 기준으로 하고, 판단이 어려우면 고용 인원이 가장 많은 회원국을 기준으로 합니다. EU 집행위원회는 이를 한 문장으로 요약합니다. 제조자는 플랫폼을 통해 한 번만 통보하고, 그 통보는 주요 사업장이 있는 회원국의 CSIRT로 가며 동시에 ENISA도 이를 열람한다는 것입니다.

EU 내에 주요 사업장이 없는 제조자는 제14조 제7항에 따라 다음 네 가지 기준을 순서대로 적용해 창구를 정합니다. 해당 제조자의 제품을 가장 많이 취급하는 공인대리인(authorised representative)이 있는 회원국, 해당 제조자의 제품을 가장 많이 시장에 출시하는 수입자(importer)가 있는 회원국, 해당 제조자의 제품을 가장 많이 공급하는 유통업자(distributor)가 있는 회원국, 이용자 수가 가장 많은 회원국입니다. ENISA는 창구를 잘못 선택하면 통보가 무효로 처리되어 올바른 창구로 다시 제출해야 할 수 있다고 경고합니다.

통보를 받은 CSIRT는 해당 제품이 판매되는 다른 회원국의 CSIRT에 이를 전달하고, 시장감시당국이 필요로 하는 정보를 제공합니다. 이는 제16조의 내용입니다. 제71조 제2항이 정한 조기 적용 대상 조문은 제14조와 제4장뿐이며, 제16조는 여기에 포함되지 않습니다. 그럼에도 집행위원회와 ENISA는 모두 플랫폼 자체는 제16조에 따라 구축되어 9월 11일부터 운영되고 있다고 밝히고 있습니다. 예외적인 상황에서는 CSIRT가 전달을 늦출 수 있습니다. 집행위원회에 따르면 2025년 12월 11일에 이러한 지연의 조건을 정한 위임법령(delegated act)이 이미 채택되었습니다.

이용자와 이미 판매된 기기에는 어떤 의미인가

이미 판매된 기기도 예외가 아닙니다. ENISA의 FAQ는 제14조의 통보 의무가 '2026년 9월 11일부터, 사이버복원력법 적용 범위에 속하는 모든 연결 제품에 적용되며, 2027년 12월 11일 이전에 이미 시장에 나온 제품도 포함한다'고 명시합니다. 몇 년 전에 구입한 공유기, 카메라, 웨어러블 기기라도 EU 시장에서 판매되는 제품이라면, 적극적으로 악용된 취약점이나 중대 사고가 발생했을 때 제조자는 2027년 12월의 전면 적용을 기다리지 않고 지금 바로 통보해야 합니다.

제14조 제8항은 제조자가 인지한 뒤 영향을 받는 이용자에게 취약점이나 사고를 알리고, 필요한 경우 이용자가 취할 수 있는 위험 완화 및 시정 조치도, 적절한 경우 구조화된 기계 판독 형식으로 함께 알리도록 요구합니다. 이 글이 확인한 공식 페이지에는 이 통지의 기한이나 언어, 방식에 대한 규정은 보이지 않습니다. 오해하기 쉬운 부분은, 통보 의무가 있다고 해서 '기기가 더 빨리 수정 업데이트를 받는다'는 뜻은 아니라는 점입니다. 이는 제13조의 유지보수 기간 규정에 해당하며, 이 역시 2027년 12월 11일이 되어야 적용됩니다. 이 글이 확인한 공식 페이지에도 통보 의무 시행이 수정 업데이트를 더 빠르게 만든다는 내용은 없습니다.

통보된 취약점이 자동으로 공개되는 것도 아닙니다. 제17조 제5항에 따르면 시정 또는 완화 조치가 마련되고 제조자가 동의한 경우에 한해, ENISA가 이미 공개된 취약점을 유럽 취약점 데이터베이스(European vulnerability database, EUVD)에 추가합니다. 과징금과 관련해서는 제64조가 상한을 정하고 있는데, 제13조·제14조 및 부속서 I의 보안 요구사항을 위반한 경우 최대 1,500만 유로, 또는 위반 기업의 직전 회계연도 전 세계 연간 매출액의 2.5% 중 더 높은 금액이 상한이 됩니다. 실제 제재 규정은 각 회원국이 정해 집행위원회에 통지합니다. 제64조는 제71조 제2항이 정한 조기 적용 대상 조문에 포함되어 있지 않으며, 이 글이 확인한 세 개의 공식 페이지 모두 과징금을 언급하지 않았고, 지금부터 2027년 12월 사이에 제14조 위반이 처벌되는지에 대해서도 설명하지 않습니다.

플랫폼은 지금 어디까지 갖춰졌는가

ENISA는 이번에 가동한 플랫폼을 '초기 운영 역량'(initial operating capability)이라고 표현하며, 완성된 버전이 아니라고 밝힙니다. FAQ는 아직 갖춰지지 않은 기능을 나열합니다. 가동 시점에는 인터페이스가 영어만 지원하고, 응용 프로그램 인터페이스(API)가 없어 통보는 플랫폼 화면을 통해서만 제출해야 하며, 제15조의 자율 통보(취약점, 위협, 사고, 미수 사고에 관한)도 아직 열리지 않아 현재는 제14조에 따른 의무 통보만 접수합니다. ENISA는 자율 통보가 '향후 단계'에 도입될 것이라고 밝혔지만, 응용 프로그램 인터페이스와 다른 언어 버전에 대해서는 다음 단계에서 '검토할 수 있다', '재검토할 것이다'라고만 밝혔을 뿐, 구체적인 일정은 제시하지 않았습니다.

플랫폼은 소비자의 고장 신고 창구도 아닙니다. 현재 버전이 받아들이는 것은 제조자가 제14조에 따라 제출하는 의무 통보뿐이며, 제조자가 아닌 사람이 제출한 통보는 무효로 표시될 수 있습니다. ENISA는 또한 알려진 결함 하나를 스스로 공개했습니다. 72시간 카운트다운 타이머는 실제로는 24시간 조기 경보를 제출한 시점부터 48시간을 기준으로 하기 때문에, 경우에 따라 제조자가 인지한 지 72시간이 지나기 전에도 통보가 '기한 초과'로 표시될 수 있습니다. ENISA는 타이머 표시가 법적 의무 자체를 대신하지 않는다고 강조합니다.

통보를 제출할 수 있는 사람에게도 자격 제한이 있습니다. 제조자 한 곳당 '주 지정대표자'(Primary AR)는 한 명만 둘 수 있고, '부 지정대표자'(Secondary AR)는 최대 20명까지 둘 수 있으며, 모두 다요소 인증을 지원하는 EU 로그인(EU Login) 계정으로 로그인해야 합니다. 플랫폼에는 현재 이 외의 별도 법인 인증 수단이 없습니다. 같은 제조자의 주 지정대표자와 부 지정대표자는 원래 누가 제출했는지와 관계없이 해당 제조자의 통보를 모두 볼 수 있으며, 아직 제출하지 않은 임시 저장본만 각자의 계정에 남습니다. 이 글이 확인한 공식 페이지에는 가동 이후 몇 건의 통보가 접수되었는지, 몇 개 제조자가 등록되었는지 공개되어 있지 않아 이 글도 이러한 수치는 다루지 않습니다.

2026년 테크 뉴스 총정리: 하드웨어, 플랫폼, 통신, 규제의 핵심

Apple, EU 대상 새 App 사업 조건 발표: 코어 테크놀로지 수수료 5%로, 대체 결제도 동시 사용 가능

• 테크·산업
• 테크 뉴스