연결 제품 판매 기준이 보안 중심으로 바뀐다
2026년 9월, 유럽연합(EU)의 사이버 복원력 법(Cyber Resilience Act, CRA)이 취약점 및 중대 보안 사고 보고 요건을 본격 적용하기 시작했다. 2027년 12월에는 소프트웨어 자재 명세서(SBOM) 의무 조항까지 발효될 예정이다.
스마트폰 주변기기, 인터넷 공유기, 산업용 센서, 차량용 소프트웨어처럼 네트워크에 연결된 제품을 유럽에 파는 한국 기업에게 이 규제는 이미 현실이다. 핵심은 간단하다.
제품을 싸고 빠르게 내놓은 뒤 문제가 생기면 패치로 수습하던 관행을 EU가 더는 시장의 자율에만 맡기지 않겠다는 뜻이다. Unite.AI의 2026년 11월 12일 보도와 Chatham House의 2026년 11월 10일 분석에 따르면, EU는 2026년 1월 사이버 보안법(Cybersecurity Act) 개정안을 제안했다. 이 개정안은 회원국이 중요 인프라에서 고위험 정보통신기술(ICT) 공급업체를 지정하고 특정 부품 사용을 제한할 수 있는 길을 열었다.
2026년 9월부터는 CRA의 취약점 및 중대 보안 사고 보고 요건이 적용됐다. 2027년 12월에는 소프트웨어 자재 명세서(SBOM) 의무 조항도 시행될 예정이다.
날짜만 나열하면 복잡해 보이지만, 사회적 의미는 분명하다. 디지털 제품의 안전을 제조사의 사후 양심이 아니라 시장 진입 조건으로 끌어올리는 변화다. 일반 소비자에게 이 변화는 당장 눈에 띄는 가격표보다 보이지 않는 제품 기준에서 먼저 체감될 가능성이 크다.
연결형 제품이 기본 보안 요구 사항을 충족하지 못하면 EU 시장 판매 자체가 막힐 수 있기 때문이다. CRA는 제조사가 제품 수명 주기 동안 보안 책임을 지도록 규정하며, 적극적으로 악용되는 취약점과 심각한 보안 사고를 당국에 보고하도록 의무화한다. 소비자 입장에서는 보안 업데이트 제공 기간이 길어지고, 제품 설명서나 설정 화면에 보안 관련 안내가 늘어날 수 있다.
광고
반대로 제조 비용과 인증 부담이 가격에 반영될 여지도 있다. 보안은 공짜가 아니다. 지금까지는 그 비용을 해킹 피해자와 사회 전체가 나눠 냈다면, EU는 이제 제조 단계에서 비용을 먼저 계산하라고 요구한다.
본지 분석에 따르면 한국 기업에 더 민감한 대목은 CRA의 보고 의무보다 공급망 규칙이다. EU가 중요 인프라 안의 고위험 ICT 공급업체를 지정하고 부품 사용을 제한할 수 있게 되면, 완제품 제조사만이 아니라 부품·펌웨어·클라우드 관리도구를 공급하는 기업까지 계약 검토 대상에 오른다.
한국 기업이 유럽 통신사, 공공기관, 에너지 기업, 제조 현장에 장비나 소프트웨어를 납품한다면 보안 문서, 취약점 대응 절차, 공급업체 목록을 더 촘촘히 준비해야 한다. 여기서 중요한 것은 유럽 지사를 둔 대기업만의 문제가 아니라는 점이다.
국내 중소 소프트웨어 기업이 유럽 완제품 업체에 모듈 하나를 공급해도 그 모듈은 소프트웨어 자재 명세서(SBOM)에 등재될 수 있다. 소프트웨어 자재 명세서(SBOM)는 일반 독자에게 낯선 개념이지만, 식품 포장지의 원재료 표시와 비슷한 기능을 한다. 제품 안에 어떤 소프트웨어 구성요소가 들어갔는지 기록해 취약점이 발견됐을 때 영향을 받는 제품을 빠르게 찾기 위한 장치다.
2027년 12월 의무 조항이 발효되면 기업은 오픈소스 라이브러리, 외부 모듈, 자체 개발 코드의 관계를 더 정교하게 관리해야 한다. 이는 개발자의 업무 방식도 바꾼다.
빠르게 기능을 붙이는 능력만으로는 부족하고, 어떤 코드가 어디서 왔는지 설명할 수 있어야 한다. 본지 분석에 따르면, 한국의 소프트웨어 수출 기업과 제조업체가 지금부터 내부 개발 기록과 취약점 대응 체계를 정리해야 하는 이유가 여기에 있다.
취약점 보고와 부품 명세 의무가 기업 비용을 흔든다
EU의 규제 강화 배경에는 시장의 실패가 있다.
광고
Unite.AI와 Chatham House의 원천 자료가 지적한 문제는 시장 인센티브가 보안보다 가격, 기능, 출시 속도를 앞세웠다는 점이다. 소비자는 제품을 살 때 암호화 방식이나 업데이트 기간을 세밀하게 비교하기 어렵다.
기업은 보안 투자를 늘려도 판매 현장에서 즉시 보상을 받기 힘들다. 그 틈에서 취약한 기술이 쌓이고, 공격자는 그 약한 고리를 찾아낸다.
사이버 공격이 개인의 비밀번호 탈취를 넘어 병원, 전력망, 교통, 금융 서비스로 번지면 피해는 소비자 불편을 넘어 사회 기능의 중단으로 확장된다. EU가 규제를 통해 제품 설계 단계의 책임을 묻는 이유가 여기에 있다.
물론 반론도 만만치 않다. 규제가 늘면 스타트업과 중소기업의 유럽 진입 비용이 커지고, 인증 서류를 감당할 인력이 부족한 기업은 시장에서 밀릴 수 있다.
이 지적은 현실적이다. 그러나 이 반론은 사이버 보안 비용을 누가, 언제 부담할 것인지라는 핵심 질문을 비켜 간다.
취약한 제품이 널리 팔린 뒤 대규모 침해 사고가 나면 기업은 긴급 패치와 고객 보상에 쫓기고, 이용자는 서비스 중단과 개인정보 피해를 떠안는다. 사회 전체가 사후 비용을 나눠 내는 구조다. EU의 접근은 그 비용을 제품 설계와 공급망 관리 단계로 앞당기는 선택에 가깝다.
단기 부담은 커질 수 있지만, 보안이 낮은 제품이 가격 경쟁력만으로 시장을 넓히는 길은 그만큼 좁아진다. 문제는 EU 내부 역량이 규제 속도를 따라가느냐에 있다.
Unite.AI와 Chatham House의 보도에 따르면 EU 감사관들은 회원국 전체의 위협 및 사고 데이터를 인공지능(AI)으로 분석하도록 설계한 유럽 사이버 보안 경보 시스템이 지연됐고 의도대로 작동하지 않았다고 지적했다. 규칙은 강화됐지만, 위협 정보를 빠르게 모으고 회원국 간 대응을 맞추는 체계에는 빈틈이 남았다는 뜻이다.
광고
사이버 공격자는 국경을 기다리지 않는다. 한 회원국의 병원 시스템을 노린 악성코드가 다른 나라의 공급망 소프트웨어를 통해 퍼질 수 있다.
이 상황에서 보고 의무만 늘리고 분석·공유 체계가 느리면 기업은 행정 부담을 느끼고, 정부는 공격의 흐름을 뒤늦게 파악하는 악순환에 빠진다. 또 하나의 변수는 방어용 인공지능(AI) 도구의 외부 의존성이다. Unite.AI와 Chatham House의 원천 자료는 많은 유능한 방어용 AI 도구가 미국에서 개발됐고, 2026년 6월 미국 수출 통제 사례처럼 접근이 제한되거나 철회될 위험이 있다고 짚었다.
클라우드, 보안 분석, 반도체 설계 소프트웨어처럼 핵심 기술 도구가 특정 국가와 기업에 집중되면 정책 변화가 곧 서비스 접근 문제로 번진다. 본지 분석에 따르면, 이 구조는 한국 기업에게도 낯설지 않다.
EU가 사이버 규제를 강화하는 동시에 회원국 정보 공유와 대응 훈련, 국가 차원의 시스템 강화를 요구받는 이유도 여기에 있다. 규제 문서만으로는 공격을 막을 수 없다.
탐지 도구, 인력, 훈련, 국제 협력까지 갖춰야 규제가 실제 방어력으로 바뀐다.
한국 기업도 유럽 공급망 규칙을 먼저 읽어야 한다
한국 정부와 기업은 이 흐름을 유럽의 특수한 규제 취향으로 축소해선 안 된다. 본지 분석에 따르면 EU의 CRA는 개인정보보호 일반규정(GDPR)이 그랬던 것처럼 글로벌 기업의 내부 기준을 끌어올리는 압력으로 작동할 가능성이 있다. 유럽에 맞춰 제품 보안 체계를 정비한 기업은 같은 절차를 다른 지역 고객에게도 설명할 수 있다.
반대로 유럽 요구에 임시 문서로만 대응하면, 취약점 보고와 SBOM 제출 과정에서 계약 리스크가 반복될 수 있다. 특히 사물인터넷(IoT), 산업제어시스템(ICS), 차량 소프트웨어, 보안 솔루션 기업은 영업 부서보다 개발·법무·보안 조직이 먼저 움직여야 한다. 제품 기획 단계에서 보안 업데이트 기간, 취약점 접수 창구, 외부 라이브러리 관리 방식을 정하지 않으면 나중에 인증과 계약 단계에서 더 큰 비용을 치른다.
광고
일상생활의 관점에서도 변화는 작지 않다. 소비자는 유럽 시장에서 판매되는 연결 제품을 통해 더 명확한 보안 책임 구조를 기대할 수 있다.
다만 그 기대가 곧바로 모든 제품의 안전을 보장하지는 않는다. 보안 업데이트를 제공하는 기업의 약속, 취약점 공개 이후 패치 속도, 공급망 안의 하청 구조까지 함께 봐야 한다. 정부 역시 수입 제품과 국내 제조 제품의 보안 기준을 어떻게 맞출지 고민해야 한다.
유럽 규제가 국내 제도로 그대로 들어온다는 뜻은 아니지만, 수출 기업의 표준 업무가 국내 소비자의 기대 수준을 끌어올리는 경로가 될 수 있다. 보안을 비용 항목으로만 보는 기업은 유럽 계약 문턱에서 흔들릴 가능성이 크다. 반면 보안을 제품 설계의 기본값으로 삼는 기업은 CRA 발효 이후 시장에서 신뢰를 먼저 쌓는 위치에 선다.
이제 독자가 물어야 할 것은 새 규제가 얼마나 까다로운가가 아니라, 우리가 쓰고 파는 디지털 제품이 사고가 난 뒤에야 안전을 설명하는 구조에 머물러도 되는가이다. ※ 이 기사는 Unite.AI의 2026년 11월 12일 보도와 Chatham House의 2026년 11월 10일 분석을 참조하여 작성했다. 원천 자료에서 기자명과 기사 제목은 확인되지 않았다.
FAQ
Q. 한국 소비자가 EU 사이버 복원력 법(CRA)을 직접 신경 써야 하는 이유는 무엇인가?
A. CRA는 EU 시장에서 연결 제품을 판매하는 제조사의 보안 책임을 강화하는 제도다. 한국 소비자가 국내에서 제품을 구매하더라도 같은 기업이 유럽 기준에 맞춰 보안 업데이트와 취약점 관리 체계를 정비하면 그 영향이 다른 시장 제품에도 반영될 수 있다. 다만 모든 기업이 동일한 정책을 전 세계에 적용한다는 공식 보장은 없다. 소비자는 제품 구매 시 업데이트 제공 기간, 취약점 신고 창구, 보안 공지 이력을 확인하는 습관을 갖는 편이 안전하다. GDPR 도입 이후 국내 기업들이 개인정보 처리 방침을 전면 정비한 사례처럼, CRA도 유사한 파급 효과를 낼 가능성이 있다.
Q. 소프트웨어 자재 명세서(SBOM)는 일반 이용자에게 어떤 의미가 있는가?
A. SBOM은 제품 안에 들어간 소프트웨어 구성요소를 추적하기 위한 기록이다. 일반 이용자가 명세서를 직접 읽을 가능성은 크지 않지만, 취약점이 발견됐을 때 제조사가 영향을 받는 제품을 빠르게 확인하는 기반이 된다. 2027년 12월 EU 의무 조항이 시행되면 유럽 공급망에 들어가는 기업은 이 기록을 더 체계적으로 관리해야 한다. 이용자에게는 보안 사고 이후 패치 속도와 안내 품질이 달라지는 형태로 효과가 나타날 수 있다. 결국 SBOM 의무화는 제조사의 행정 부담을 늘리는 동시에 소비자가 더 빠른 보안 대응을 기대할 수 있는 구조적 근거가 된다.
Q. 유럽에 수출하는 한국 중소기업은 무엇부터 준비해야 하는가?
A. 먼저 자사 제품이 네트워크에 연결되는지, 외부 소프트웨어 구성요소를 포함하는지, 유럽의 중요 인프라 고객에게 납품될 가능성이 있는지 점검해야 한다. 그다음 취약점 접수·분석·보고 절차와 보안 업데이트 제공 기간을 문서로 정리해야 한다. SBOM을 작성할 수 있도록 개발 단계의 라이브러리 사용 기록도 남겨야 한다. 2026년 9월 보고 요건은 이미 적용됐고, 2027년 12월 SBOM 의무 조항까지 시간이 많지 않으므로 영업 계약이 아니라 제품 개발 프로세스부터 정비하는 접근이 현실적이다. 인증 준비를 외주에만 맡기면 반복적인 계약 리스크를 피하기 어렵고, 개발 초기부터 보안 설계를 내재화한 기업이 중장기적으로 유럽 시장에서 유리한 위치를 차지할 것이다.
광고
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}