CRA 발효로 제조사 책임 확대
2026년 9월부터 유럽연합(EU)의 사이버 복원력 법(Cyber Resilience Act, CRA) 핵심 보고 의무가 발효됐다. 같은 해 1월에는 사이버보안법(Cybersecurity Act) 개정안이 제안됐고, 2027년 12월에는 소프트웨어 자재 명세서(Software Bill of Materials, SBOM) 의무 조항이 예정대로 시행될 전망이다.
이 세 가지 변화가 맞물리면서 유럽 시장에 연결 제품과 소프트웨어를 공급하는 기업의 비용 구조와 계약 조건이 근본적으로 바뀌고 있다. 가격·기능·출시 속도로 경쟁해 온 기술 기업은 이제 취약점 보고, 공급망 증명, 제품 수명주기 보안까지 계약 테이블에 올려야 한다.
이번 변화의 핵심은 유럽이 사이버 보안을 사후 대응 비용이 아니라 시장 진입 조건으로 전환했다는 점이다. CRA는 기본 보안 요건을 충족하지 못한 연결 제품의 EU 시장 판매를 차단하는 구조를 담았다.
제조업체는 2026년 9월부터 적극적으로 악용되는 취약점과 심각한 보안 사고를 당국에 보고해야 한다. 2027년 12월에는 SBOM 의무 조항도 발효된다. 요약하면, 유럽 수출 기업은 제품 출하 후 결함이 생기면 고치는 방식에서 벗어나 설계 단계부터 보안 책임을 문서로 증명해야 하는 체계로 이동했다.
유럽 규제가 한국 정보통신기술(ICT) 기업에 민감한 이유는 단순하다. EU는 완제품, 부품, 산업용 장비, 사물인터넷(IoT) 기기, 소프트웨어 서비스를 함께 평가하는 방향으로 이동했다. 과거에는 인증 서류와 개인정보 보호 체계가 주된 점검 대상이었다면, CRA 체제에서는 펌웨어, 오픈소스 라이브러리, 업데이트 정책, 취약점 통지 절차까지 사업 리스크로 편입됐다.
본지 분석에 따르면, 이 변화는 대기업보다 중견 제조사와 소프트웨어 공급사에 더 큰 압박으로 작용할 가능성이 크다. 대기업은 전담 조직과 법무 자원을 갖추고 있지만, 중견 기업은 보안 엔지니어링과 컴플라이언스 비용을 동시에 흡수해야 하기 때문이다. EU가 2026년 1월 제안한 사이버보안법 개정안은 공급망 전략의 성격을 강하게 띤다.
광고
이 개정안은 회원국이 중요 인프라 안에서 고위험 ICT 공급업체를 지정하고, 해당 업체의 부품 사용을 제한할 수 있는 근거를 포함했다. 특정 제품의 성능보다 공급업체의 국적, 통제 구조, 보안 이력, 기술 의존도를 평가 대상으로 올려놓는 조치다. 한국 기업 입장에서는 유럽 고객사에 납품하는 1차 공급계약만 관리해서는 부족하다.
하위 부품, 외부 소프트웨어, 클라우드 기반 관리도구까지 설명할 수 있어야 계약 협상에서 불리한 위치를 피한다. 기업 전략에서 가장 먼저 바뀌는 항목은 제품 출시 일정이다.
CRA가 요구하는 취약점 관리와 사고 보고 체계는 최종 품질검사 단계에 덧붙이는 문서 작업이 아니다. 설계, 개발, 테스트, 배포, 사후 업데이트가 하나의 감사 가능한 흐름으로 연결돼야 한다.
보안 업데이트 지원 기간을 명확히 고지하지 않은 기기는 유럽 바이어로부터 추가 보증 요구를 받을 수 있다. SBOM 의무가 2027년 12월 발효되면 오픈소스 구성요소를 체계적으로 파악하지 못한 기업은 납기 지연이나 계약 보류를 겪을 수 있다.
고위험 ICT 공급망 제한이 변수
투자 측면에서도 방향이 뚜렷하다. 유럽 규제 강화는 보안 소프트웨어, 취약점 관리 플랫폼, 오픈소스 거버넌스, 보안 테스트 자동화 시장의 수요를 끌어올릴 재료다. 반대로 보안을 사후 비용으로 처리해 온 제조사는 원가율 상승을 피하기 어렵다.
본지 분석에 따르면, 투자자는 매출 성장률만 볼 것이 아니라 제품 수명주기 보안 체계를 갖췄는지 확인해야 한다. 특히 유럽 매출 비중이 큰 기업이라면 CRA 대응 예산, SBOM 구축 여부, 사고 보고 프로세스가 기업 가치 평가의 할인 요인이 될 수 있다.
다만 규제만으로 유럽의 방어력이 곧바로 높아진다고 보기는 어렵다. EU 감사관들은 회원국 전체의 위협과 사고 데이터를 인공지능(AI)으로 분석하도록 설계한 유럽 사이버 보안 경보 시스템이 지연됐고, 의도한 방식으로 작동하지 않았다고 지적했다. 공격자는 국경을 가리지 않지만, 유럽의 대응 체계는 회원국별 법과 조직, 예산 차이를 안고 움직인다.
이 간극은 산업계에 또 다른 비용을 만든다.
광고
같은 EU 시장이라도 국가별 감독 관행과 보고 채널이 달라지면 기업은 단일한 내부 프로세스만으로 대응하기 어렵다. 방어용 AI 도구의 공급망도 변수다. Unite.AI와 Chatham House 보도에 따르면, 유능한 방어용 AI 도구 상당수가 미국에서 개발되고 있으며, 2026년 6월 미국의 수출 통제 사례가 접근 제한 위험을 드러냈다.
이는 유럽만의 고민이 아니다. 한국 기업도 보안관제, 이상 탐지, 취약점 분석 도구를 해외 벤더에 의존하는 경우가 많다. 특정 국가의 수출 통제나 라이선스 정책 변화가 발생하면 보안 운영 역량 자체가 흔들릴 수 있다.
따라서 기업의 대응은 유럽 규정 문구를 맞추는 수준을 넘어 도구 공급망을 분산하고 내부 검증 능력을 키우는 방향으로 가야 한다. 반론도 있다.
규제가 과도하면 중소 기술기업의 유럽 진출 비용이 커지고, 시장 경쟁이 줄어들 수 있다는 주장이다. 이 우려는 현실적이다. 보안 문서, 취약점 보고 체계, SBOM 관리 시스템을 새로 갖추는 데는 인력과 시간이 든다.
그러나 이 반론은 유럽이 왜 규제를 시장 조건으로 끌어올렸는지 충분히 설명하지 못한다. 연결 제품의 보안 결함은 개별 소비자의 불편을 넘어 전력, 교통, 의료, 제조 현장의 중단 위험으로 번진다.
보안 비용을 외부에 떠넘기는 기업이 가격 경쟁에서 유리했던 구조를 방치하면, 보안에 성실히 투자한 기업이 오히려 손해를 보는 역선택이 발생한다. 한국 기업의 선택지는 뚜렷하다. 유럽 규제를 수출 장벽으로만 보면 대응은 늘 늦어진다.
반대로 이를 조달 경쟁력의 기준으로 해석하면 보안 투자는 영업 자료가 된다. 유럽 고객사는 앞으로 가격표와 기능표 옆에 취약점 공개 정책, 업데이트 지원 기간, 공급망 증빙 능력을 놓고 비교할 가능성이 크다.
한국 기업이 선제적으로 CRA 대응 체계를 구축하면 단기 비용은 늘지만, 유럽 바이어의 실사 과정에서 시간을 줄이고 계약 신뢰도를 높일 수 있다.
한국 기업, 보안 원가 재계산해야
이 변화는 산업 생태계 전반으로 파급된다. 완제품 제조사는 부품사에 SBOM을 요구하고, 부품사는 다시 소프트웨어 공급사와 오픈소스 관리업체에 증빙을 요구한다.
광고
보안 책임이 위에서 아래로 흘러가는 구조가 아니라, 계약망 전체를 따라 되돌아오는 구조로 바뀐다. 본지 분석에 따르면, 국내 보안 스타트업에는 기회가 열리고 있다. 취약점 관리, 소프트웨어 구성 분석, 공급망 위험 평가, 사고 보고 자동화 같은 영역은 유럽 규제와 맞물려 기업 예산을 끌어낼 수 있다.
정부와 산업단체의 역할도 실무적이어야 한다. 선언보다 필요한 것은 기업이 바로 쓸 수 있는 CRA 대응 가이드, SBOM 작성 표준, 유럽 감독기관 보고 절차 해설이다.
국가 차원의 대응 훈련과 정보 공유 개선 역시 원본 자료가 지적한 EU의 과제와 맞닿는다. 한국이 유럽 규제의 외부 관찰자로 남으면 기업별 비용은 커진다.
산업별 공통 템플릿과 시험·인증 지원을 마련하면 같은 비용으로 더 많은 기업이 유럽 시장의 문턱을 넘을 수 있다. 2026년 11월 현재 확인된 사실만 놓고 보면, EU의 사이버 규제는 단기 규정 변경이 아니라 기술 제품의 판매 조건을 다시 쓰는 작업이다.
CRA의 2026년 9월 보고 의무와 2027년 12월 SBOM 의무는 시간표가 이미 제시된 확정 변수다. 고위험 ICT 공급업체 제한 논의는 공급망 정치와 보안 심사를 결합한다. 한국 기업이 지금 계산해야 할 것은 규제를 피하는 방법이 아니라 보안을 제품 원가와 브랜드 신뢰의 일부로 편입하는 속도다.
유럽 시장에서 다음 계약을 따낼 기업은 기능을 가장 빨리 붙이는 회사가 아니라, 위험을 가장 명확하게 설명하는 회사일 가능성이 크다. 한국 IT 산업은 이 기준 변화에 맞춰 제품 개발 방식을 바꿀 준비를 서둘러야 한다.
※ 이 기사는 Unite.AI의 2026년 11월 12일 보도와 Chatham House의 2026년 11월 10일 자료를 참조하여 작성하였다. 원천 자료에서 기자명과 기사 제목은 확인되지 않았다.
FAQ
Q. CRA는 한국 기업에도 직접 적용되는가
A. CRA는 EU 시장에 판매되는 연결 제품과 관련 소프트웨어를 겨냥한 규제다. 한국에 본사를 둔 기업이라도 유럽 고객에게 제품을 공급하면 계약과 인증 과정에서 CRA 요건을 충족하도록 요구받는다. 2026년 9월부터 취약점과 심각한 보안 사고 보고 의무가 시행됐고, 2027년 12월에는 SBOM 의무 조항이 발효될 예정이다. 유럽 매출이 있는 기업은 법무 검토와 개발 프로세스 점검을 함께 시작해야 하며, 1차 계약뿐 아니라 하위 부품·외부 소프트웨어·클라우드 도구까지 공급망 전반을 점검해야 한다. 대응이 늦을수록 유럽 바이어의 실사 과정에서 계약 조건이 불리해질 가능성이 높다.
Q. SBOM 의무가 기업 운영에서 왜 부담이 되는가
A. 소프트웨어 자재 명세서(SBOM)는 제품 안에 어떤 소프트웨어 구성요소가 들어갔는지 확인하는 목록이다. 상당수 제품이 자체 개발 코드, 외부 라이브러리, 오픈소스, 펌웨어를 혼합해 사용하기 때문에 이 목록을 정확히 관리하지 못하면 취약점이 발견됐을 때 어떤 제품에 영향이 있는지 빠르게 판단하기 어렵다. 특히 2027년 12월 SBOM 의무 발효 이후에는 목록을 갖추지 못한 기업이 납기 지연이나 계약 보류를 겪을 수 있다. 기업은 개발 단계에서 구성요소 기록을 자동화하고, 납품 계약에 하위 공급사의 정보 제공 의무 조항을 삽입해야 한다. SBOM 관리 체계를 먼저 구축한 기업은 유럽 고객사의 실사 과정에서 경쟁사 대비 협상 우위를 가질 수 있다.
Q. 투자자는 EU 사이버 규제에서 무엇을 봐야 하는가
A. 투자자는 유럽 매출 비중과 함께 기업의 보안 대응 체계를 확인해야 한다. CRA 대응 예산, 취약점 보고 절차, 업데이트 지원 정책, SBOM 구축 여부는 향후 비용과 계약 리스크를 가늠하는 지표가 된다. 보안 체계를 갖춘 기업은 단기 비용을 부담하지만 유럽 고객사의 실사에서 유리한 위치를 차지할 수 있다. 반대로 보안 책임을 문서 수준으로만 처리한 기업은 납기 지연, 추가 보증 요구, 계약 조건 악화를 겪을 가능성이 있다. 본지 분석에 따르면, 유럽 매출 비중이 큰 기업일수록 이 항목들이 기업 가치 평가의 할인 요인으로 작용할 수 있으므로 재무 분석 시 별도 항목으로 점검해야 한다.
광고
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}