CRA 사이버 복원력 법
CRA의 정의부터 제품 요구사항과 분류, 사이버보안 위험평가, 제품 생명주기와 취약점 관리, 취약점·보안사고 보고, 기술문서와 적합성 입증, 적합성 선언·CE 표시와 시장출시, 시장감시와 제재, 적용 시점과 기존 제품·인증까지 차례로 소개합니다.
구성
CRA란?
규제 개요
| 정식 명칭 | Regulation (EU) 2024/2847 (Cyber Resilience Act) · EU 사이버 복원력 법 |
|---|---|
| 규제 성격 | EU 규정(Regulation)으로, 회원국의 별도 국내법 전환 없이 직접 적용되는 수평적 규제입니다. |
| 목적 | 디지털 제품 생태계의 전 수명주기에 걸친 보안 보장 |
| 대상 | EU 시장에 제공되며 기기·네트워크와 데이터 연결을 포함하는 모든 · 제품(디지털 요소 포함 제품)을 대상으로 합니다. |
| 대상 제외 | 클라우드 서비스(SaaS·PaaS)는 서비스이므로 제외되지만, 제품과 함께 묶어 제공되면 포함될 수 있습니다. |
어떤 산업에 적용되는가
및 를 제조·수입·유통·공급하는 전 산업군에 수평적으로 적용됩니다.
다음 제품은 별도 법령이 적용되어 CRA 대상에서 제외됩니다.
누가 의무를 가지는가
제품 공급망에 참여하는 경제운영자에게 의무가 부과됩니다.
설계·개발·생산 단계부터 Annex I 필수 요구사항 충족, , CE 표시, 처리·보안 업데이트 제공, Article 14 보고의무(2026년 9월 11일부터)
EU 역외 제품 수입, 적합성·CE 표시·기술문서 확인, 자체 제품 실질적 변경 시 간주
후 제품 공급, 저장·운송 시 보안 상태 유지, 자체 제품 실질적 변경 시 간주
EU 역외 대리, 기술문서 보관·당국 협력
비영리·상업용 오픈소스 지속 지원 주체(경감 의무, CE 표시 불가)
어떻게 구성되는가
CRA는 8개 Chapter, 71개 Article로 구성됩니다.
각 Chapter를 누르면 어떤 내용을 담고 있는지 볼 수 있습니다.
제품 요구사항과 제품분류
제품을 출시하려면 무엇을 충족해야 하는가
제품을 출시하려면 제품 자체와 가 운영하는 처리절차가 모두 Annex I의 필수 요구사항을 충족해야 합니다.
Article 6(a)Article 6(b)제조업체가 함께 이행할 의무
제품과 처리절차는 어떤 필수 요구사항을 충족해야 하는가
사용자 데이터와 설정을 안전하고 쉽게 제거할 수 있도록 하고, 관련되는 경우 다른 제품·시스템으로 안전하게 이전할 수 있어야 합니다.
Annex I Part I (2)(m)제품에 포함된 소프트웨어 구성요소와 취약점을 파악하고 문서화해야 합니다. SBOM을 작성하며, 최소한 상위 수준의 의존관계를 포함해야 합니다.
Annex I Part II (1)보안 업데이트가 제공된 후 해결된 취약점에 관한 관련 정보를 공개해야 합니다. 다만 법정 조건에 따라 공개 시점을 조정할 수 있습니다.
Annex I Part II (4)보안 문제 해결을 위한 업데이트는 지체 없이 제공하고, 원칙적으로 무료로 배포해야 합니다. 맞춤형 기업용 제품에는 법정 계약 예외가 있습니다.
Annex I Part II (8)제품은 어떻게 분류되는가
일반 제품(Standard Products)
Annex III·IV의 중요·핵심 제품 범주에 해당하지 않는 CRA 적용 대상 제품입니다. Annex I의 보안요구사항은 여전히 적용됩니다.
Article 6Article 7Article 8Article 32(1)중요·핵심 제품 해당 여부는 어떻게 판단하는가
중요 제품의 분류기준
- 다른 제품·네트워크의 보안에 핵심적인 기능
- 다수 제품·사용자에게 중대한 영향
다른 제품·네트워크의 보안에 핵심적인 기능을 수행하거나, 다수 제품·사용자에게 중대한 영향을 미칠 수 있는 기능을 고려합니다.
Article 7(2)(a)Article 7(2)(b)핵심 제품의 분류기준
- 필수 서비스 제공자의 제품 의존성
- 중요 공급망의 중대한 장애 가능성
필수 서비스 제공자의 제품 의존성이나 악용으로 인한 중요 공급망의 중대한 장애 가능성 등을 고려합니다.
Article 8(2)분류 시 확인할 점
핵심 기능 기준
제품에 특정 보안기능이 일부 포함되었다는 사실만으로 중요 제품이 되는 것은 아닙니다. 해당 제품 범주의 핵심 기능을 수행하는지 확인해야 합니다.
Article 7(1)분류목록은 바뀔 수 있는가
Annex III·IV의 중요·핵심 제품 목록은 고정되어 있지 않으며, EU 집행위원회가 법정 절차에 따라 제품 범주를 추가·이동·삭제할 수 있습니다.
Article 7(3)Article 8(2)Annex III·IV 제품 범주의 기술적 설명은 집행법령으로 구체화되므로, 실제로 제품을 분류할 때는 해당 집행법령도 함께 확인해야 합니다.
Article 7(4)사이버보안 위험평가와 필수 보안요구사항
위험평가는 왜 하고, 어디에 반영하는가
는 디지털 요소 포함 제품과 관련된 을 평가해야 합니다. 위험을 줄이고 보안사고를 예방하며, 가 발생하더라도 피해를 최소화하기 위한 것으로, 사용자의 건강과 안전에 미치는 영향도 고려합니다.
Article 13(2)평가 결과를 반영하는 단계
위험평가는 어떻게 이루어지는가
위험평가는 제품이 쓰이는 조건을 기준으로 위험을 분석하고, 그 결과로 보안요구사항의 적용 방식을 정한 뒤, 문서로 남기고 동안 갱신하는 순서로 이루어집니다.
Article 13(3)위험 분석
제품의 사용목적, 합리적으로 예측 가능한 사용방식과 사용조건, 운영환경, 보호해야 할 자산, 예상 사용기간을 기준으로 을 분석합니다. 예를 들어 산업용 장비는 공장 내부망, 원격접속 환경 등을 분석할 수 있습니다.
Article 13(3)보안요구사항 적용 결정
Annex I Part I (2)의 개별 보안요구사항이 제품에 적용되는지와 구현 방식, 위험 수준에 비례하는 보안수준, 식별·수정·업데이트 등 처리방식을 정합니다.
Article 13(3)Annex I Part I (1)Annex I Part II제품에 적용되지 않는 보안요구사항은 어떻게 처리하는가
위험평가에서는 Annex I Part I (2)의 개별 보안요구사항마다 제품에 적용되는지를 판단하고, 그 근거를 기술문서에 남겨야 합니다.
Article 13(3)Article 13(4)제품에 넣은 외부 ·와 오픈소스는 어떻게 관리하는가
위험평가 결과는 어떻게 입증하는가
위험평가 결과는 기술문서로 남기며, 는 제품분류에 맞는 절차로 제품과 처리체계가 필수 요구사항을 충족함을 입증해야 합니다.
Article 32Annex VIII기술문서에 남길 근거
다른 EU 법령과의 위험평가 연계
CRA Article 12의 고위험 AI 등 다른 EU 법령도 적용되는 제품은 법정 조건에 따라 위험평가를 통합할 수 있습니다.
Article 13(4)제품 생명주기와 취약점 관리
제품 생명주기 단계별로 무엇을 하는가
각 단계를 누르면 그 단계에서 무엇을 해야 하는지 볼 수 있습니다.
함께 고려하고 남길 것
동안 무엇을 유지해야 하는가
는 정해진 동안 제품과 의 을 효과적으로 처리해야 하며, 구매 시점에 지원종료 연도와 월을 명확히 표시하고 기술적으로 가능하면 지원종료 알림을 제공해야 합니다.
Article 13(8)Article 13(19)이 끝난 뒤에도 유지할 것
중 제공한 각 보안 업데이트
업데이트 제공일부터
사용자 안내·설명서
제품 출시부터
기술문서와 EU 적합성 선언서
제품 출시부터
최소 10년 또는 중 더 긴 기간
새 버전을 낸 뒤에도 이전 버전의 을 계속 고쳐야 하는가
실질적으로 변경된 후속 버전을 출시한 경우, 이전 사용자가 추가 비용 없이 최신 버전을 이용할 수 있는 등 법정 조건을 충족하면 최신 버전을 중심으로 수정 의무를 이행할 수 있습니다.
Article 13(10)취약점·보안사고 보고와 대응
어떤 이 보고 대상이 되는가
보고와 보안사고 보고는 각각 무엇을 보고하는가
보고 대상을 판단할 때 확인할 점
일반 과 의무보고의 구분
실제 악용의 신뢰할 만한 증거가 없는 은 Article 14(1)의 의무보고 대상이라고 단정할 수 없습니다. 다만 관리·수정 의무와 자발적 신고는 별개입니다.
Article 3(42)Article 14(1)Article 15(1)일반 장애와 보안사고의 구분
단순 통신장애·기기 고장만으로 Article 14(3)의 중대한 보안사고가 되는 것은 아닙니다. 가 제품 보안에 미치는 영향과 Article 14(5)의 기준을 확인해야 합니다.
Article 14(3)Article 14(5)보고의무 책임주체
Article 14의 직접적인 보고의무는 에 부과됩니다. 사용자· 등 다른 주체의 자발적 신고와 구분해야 합니다.
Article 14(1)Article 14(3)Article 15보고와 보안사고 보고는 언제까지 하는가
| 최초 경고 | 후속 통지 | 최종보고 | |
|---|---|---|---|
| 적극 악용 | 24시간 제조업체가 적극 악용 취약점을 인지한 후 부당한 지체 없이, 늦어도 24시간 이내에 초기 경고를 제출해야 합니다. Article 14(2)(a) | 72시간 인지 후 늦어도 72시간 이내에 제품·취약점·악용 양상과 조치 현황 등 확인 가능한 정보를 제출해야 합니다. Article 14(2)(b) | 14일 보안패치 또는 다른 시정·완화조치를 이용할 수 있게 된 날부터 14일 이내에 최종보고해야 합니다. Article 14(2)(c) |
| 중대한 보안사고 | 24시간 중대한 보안사고를 인지한 후 부당한 지체 없이, 늦어도 24시간 이내에 초기 경고를 제출해야 합니다. Article 14(4)(a) | 72시간 인지 후 늦어도 72시간 이내에 사고의 성격과 초기 평가결과 등을 제출해야 합니다. Article 14(4)(b) | 1개월 72시간 사고통지를 제출한 날부터 1개월 이내에 최종보고서를 제출해야 합니다. Article 14(4)(c) |
·보안사고 보고는 어디에 제출하는가
는 ENISA가 구축·운영하는 단일 보고 플랫폼을 통해 에 보고하며, 보고 내용은 ENISA도 동시에 접근할 수 있습니다.
Article 14(1)Article 14(3)Article 14(7)Article 16(1)·보안사고를 사용자에게 어떻게 알리는가
적극 악용 이나 중대한 보안사고를 인지하면 영향받은 사용자에게 알려야 하며, 필요한 경우 전체 사용자에게도 통지해야 합니다.
Article 14(8)의무보고 대상이 아닌 ·도 신고할 수 있는가
무엇을 신고할 수 있는가
신고는 어떻게 처리되는가
공개와 책임
일반 대중에게 경고하는 것이 사고 예방·완화에 필요하거나 공익상 필요한 경우, 조정 CSIRT는 법정 절차에 따라 사고를 공개하거나 제조업체에 공개를 요구할 수 있습니다.
Article 17(2)기술문서·표준과 적합성 입증
기술문서는 언제 작성하고 얼마나 보존하는가
는 CRA의 필수 요구사항을 충족하기 위해 적용한 방법과 관련 증거를 기술문서로 작성해야 하며, 기술문서에는 최소한 Annex VII에 규정된 항목 가운데 제품에 해당하는 항목을 포함합니다.
Article 31(1)Annex VII작성·보존 시기
추가 요건
기술문서에 무엇을 담는가
제품 소개4개 항목
| 제품 개요·사용목적 | 제품의 종류, 주요 기능 및 제조업체가 의도한 사용목적을 설명합니다.Annex VII (1)(a) |
|---|---|
| 소프트웨어 버전 | 필수 보안요구사항의 준수에 영향을 미치는 소프트웨어 버전을 식별합니다.Annex VII (1)(b) |
| 하드웨어 구조·외관 | 하드웨어 제품의 외관, 표시사항, 내부 배치 등을 보여주는 사진이나 도면을 포함합니다.Annex VII (1)(c) |
| 사용자 안내정보 | Annex II에서 요구하는 사용자 정보와 설치·운영·보안 업데이트 관련 안내를 포함합니다.Annex VII (1)(d)Annex II |
설계·개발과 처리 방식6개 항목
| 설계·개발 자료 | 설계도면, 시스템 구조, 소프트웨어 구성요소의 상호관계 및 통합방식을 설명합니다.Annex VII (2)(a) |
|---|---|
| 취약점 처리절차 | 취약점 식별·접수·수정·공개를 위한 제조업체의 관리절차를 기록합니다.Annex VII (2)(b) |
| SBOM | 제품의 소프트웨어 구성요소와 의존관계를 파악할 수 있는 소프트웨어 구성명세서를 기술문서에 포함합니다.Annex VII (2)(b)Annex I Part II (1) |
| 취약점 신고정책·연락처 | 공동 취약점 공개정책과 외부 신고창구를 운영한다는 근거를 포함합니다.Annex VII (2)(b) |
| 보안 업데이트 배포방식 | 보안 업데이트를 안전하게 배포하기 위해 선택한 기술적 방법을 설명합니다.Annex VII (2)(b) |
| 생산·모니터링 절차 | 제품 생산 및 관리절차와 그 절차의 검증에 필요한 정보를 포함합니다.Annex VII (2)(c) |
위험평가와 근거2개 항목
| 사이버보안 위험평가 | 제품의 설계·개발·생산·공급·유지관리 과정에서 고려한 사이버보안 위험과 Annex I Part I 요구사항의 적용성을 설명합니다.Annex VII (3) |
|---|---|
| 보안지원기간 결정 근거 | 지원기간을 결정할 때 고려한 제품 사용기간·환경 등 관련 정보를 기록합니다.Annex VII (4)Article 13(8) |
적용 표준과 시험 결과3개 항목
| 적용 표준·인증 목록 | 적용한 조화표준, 공통규격 및 유럽 사이버보안 인증체계와 적용 범위를 기록합니다.Annex VII (5) |
|---|---|
| 표준 미적용 시 대체조치 | 관련 표준·규격을 적용하지 않은 경우 필수 보안요구사항을 충족하기 위해 채택한 대체 기술적 조치를 설명합니다.Annex VII (5) |
| 보안시험 보고서 | 제품 및 취약점 처리절차가 적용되는 필수 요구사항을 충족하는지 검증한 시험결과를 포함합니다.Annex VII (6) |
선언서 사본과 당국 제출2개 항목
| EU 적합성 선언서 사본 | 최종 EU 적합성 선언서 사본을 기술문서에 포함합니다.Annex VII (7) |
|---|---|
| 감독당국의 SBOM 요청 | 감독당국이 적합성 확인에 필요하다는 이유를 제시하여 요청하는 경우, 해당되는 SBOM을 제공할 수 있어야 합니다.Annex VII (8) |
| 조화표준 | 공통규격 | EU 사이버보안 인증 | |
|---|---|---|---|
| 무엇인가 | EU 관보에 참조정보가 공표된 표준 | 이 마련되지 않았을 때 집행위원회가 정하는 규격 | Regulation (EU) 2019/881에 따른 유럽 인증체계의 인증서·적합성 진술서 |
| 인정 조건 | EU 관보 공표가 필요하며, EN·IEC·ISO 표준이라는 이유만으로는 인정되지 않음 | 법정 절차로 제정된 공통규격을 준수 | 해당 인증체계의 인증서 또는 적합성 진술서 보유 |
| 인정 범위 | 표준이 다루는 요구사항까지이며, 일부만 적용하면 그 부분까지 | 규격이 다루는 Annex I 요구사항까지 | 인증 범위 안의 요구사항까지 |
| 참고 | — | 같은 요구사항의 이 공표되면 폐지 절차 적용 | 최소 substantial 수준 인증이면 특정 제3자 를 대체 가능 |
| Article 27(1) | Article 27(2)Article 27(5)Article 27(6) | Article 27(8)Article 27(9) |
다른 기술표준의 활용 — IEC 62443 등 관련 기술표준은 보안설계와 입증자료로 활용할 수 있지만, CRA 으로 공식 인정되지 않았다면 그 자체만으로 법정 적합성 추정이 발생하지는 않습니다. (Article 27(1) · Annex VII (5))
는 어떤 방식으로 하는가
는 제품 자체와 처리절차가 Annex I의 필수 요구사항을 충족하는지 평가해야 하며, 평가는 아래 네 가지 방식 가운데 제품 분류에 맞는 방식으로 진행합니다.
Article 32(1)제품 분류에 따라 어떤 평가경로를 따르는가
일반 제품의 평가
중요·핵심 제품의 특별규정이 적용되지 않는 일반 제품은 원칙적으로 Module A 등 Article 32(1)의 평가경로를 이용할 수 있습니다.
Article 32(1)특정 오픈소스 제품의 특례
Annex III에 해당하는 일정한 자유·오픈소스 제품은 기술문서를 출시 시 공개하는 조건으로 Article 32(1)의 평가절차를 사용할 수 있습니다.
Article 32(5)EU 적합성 선언·CE 표시와 시장출시
란 무엇이고, 무엇을 갖춰야 하는가
시장 제공은 상업활동 과정에서 유상 또는 무상으로 제품을 EU 시장에 유통·사용하도록 공급하는 행위이며, 그중 최초의 공급이 입니다.
Article 3(22)Article 3(23)출시 전 갖춰야 할 요건
제품을 시장에 출시하려면 제품이 Annex I Part I의 필수 보안요구사항을 충족하고 의 처리절차가 Part II의 요구사항을 충족해야 하며, 는 출시 전에 필요한 평가절차를 이행해야 합니다.
Article 6(a)Article 6(b)Article 13(1)Article 13(12)출시 전에 는 무엇을 준비하는가
는 제품과 처리절차의 적합성을 입증하고 기술문서·적합성 선언·CE 표시 등을 준비해야 하며, 제품에는 식별정보를 표시하고 사용자 안내정보를 함께 제공해야 합니다. (Article 13(12)~(20) · Annex II)
제품에 표시하고 함께 제공할 정보
설치·사용·업데이트·지원종료 등 Annex II에서 요구하는 정보를 사용자에게 제공합니다.
Article 13(18)Article 13(19)Article 13(20)Annex IIEU 적합성 선언서는 어떻게 작성하는가
는 Annex I의 필수 요구사항을 충족했음을 입증한 뒤 Annex V의 구조에 따라 EU 적합성 선언서를 작성하며, 선언서를 작성함으로써 제품의 CRA 준수에 대한 책임을 부담합니다.
Article 28(1)Article 28(2)Article 28(4)Annex V선언서 관리
CE 표시는 어떻게 하는가
CE 표시는 Regulation (EC) No 765/2008의 일반원칙에 따라 적용되며, 제품이 EU 시장에 출시되기 전에 부착해야 합니다.
Article 29Article 30(3)어디에 표시하는가
함께 확인할 점
제품을 수입하거나 유통하는 업체는 공급 전에 무엇을 확인해야 하는가
와 는 제품을 시장에 내놓기 전에 등이 의무를 이행했는지 확인하고, 요구사항을 충족하지 않는다고 판단할 이유가 있으면 적합성이 확보될 때까지 출시·공급해서는 안 됩니다.
Article 19Article 20- 제조업체의 적합성평가 실시와 기술문서 작성Article 19(2)(a)Article 19(2)(b)
- CE 표시, EU 적합성 선언, 사용자 안내정보 제공Article 19(2)(c)
- 부적합으로 판단할 합리적 이유가 있으면 출시 금지Article 19(3)
- CE 표시와 제조업체·수입업자의 의무 이행Article 20(2)
- 요구사항 미충족으로 판단할 이유가 있으면 공급 금지Article 20(3)
출시 후에는 무엇을 유지해야 하는가
제품 설계·생산공정 및 관련 표준의 변경을 고려하여 지속적으로 적합성을 유지하고 필요한 문서를 갱신해야 합니다.
Article 13(14)Article 31(2)시장감시·시정조치와 제재
누가 무엇을 감독하는가
CRA 적용 제품에는 EU 시장감시 일반규정인 Regulation (EU) 2019/1020이 적용되며, 각 회원국은 하나 이상의 을 지정해 집행합니다. 감독 대상에는 제품의 보안기능뿐 아니라 가 운영하는 처리절차도 포함됩니다.
Article 52(1)Article 52(2)Article 53Article 54감독당국의 권한과 의 협력
오픈소스 관리주체 감독
은 오픈소스 관리주체(Open-source Software Steward)의 Article 24 의무도 감독하고 필요한 시정조치를 요구합니다.
Article 52(3)위반이 의심되면 어떤 절차로 조치되는가
EU 전역 적용
법정 기간 내 이의가 없으면 조치가 정당한 것으로 간주되고, 다른 회원국도 해당 제품에 제한조치를 취합니다.
Article 54(7)Article 54(8)Article 54(9)EU 차원에서는 어떻게 조치되는가
회원국 조치에 이의가 있을 때
Article 55집행위원회가 해당 회원국·경제주체와 협의
국가조치의 정당성 결정
다른 회원국도 필요한 조치
EU 차원의 직접 개입
Article 56회원국의 대응이 충분하지 않음
집행위원회가 EU 차원의 시정·제한조치 요구
정당화한 상황이 계속되는 동안
요건을 충족한 제품도 조치 대상이 될 수 있는가
CRA 요구사항을 충족하는 제품이라도 과 법에서 정한 추가 위험을 일으키면 당국이 필요한 조치를 요구할 수 있습니다.
Article 57(1)추가 위험의 유형
보안요구사항 외에 서류와 표시도 갖춰야 하는가
보안요구사항을 충족하는 것과 별개로, CE 표시·EU 적합성 선언서·통지기관 식별번호·기술문서를 제대로 갖추지 않으면 형식적 부적합으로 시정을 요구받으며, 시정요구에도 계속되면 공급 제한·금지·· 등의 조치를 받습니다.
Article 58감독기관들은 어떻게 함께 조사하고 동시에 점검하는가
은 혼자 감독하는 것 외에도, 다른 기관이나 다른 회원국 당국과 함께 제품을 점검할 수 있습니다.
Article 59Article 60혼자
위반 시 벌금은 얼마인가
각 회원국은 효과적이고 비례적이며 억제력 있는 제재규칙을 정해야 하며, 행정벌금은 위반 유형별 상한 금액과 기업의 직전 회계연도 전 세계 총연매출액 비율 중 높은 금액까지 부과됩니다. (Article 64(1)~(4))
Article 64(1)Article 64(2)Article 64(3)Article 64(4)벌금은 어떻게 정해지고, 예외는 무엇인가
벌금은 위반의 성격·중대성·기간·결과, 유사 위반의 기존 벌금, 기업 규모와 시장점유율 등을 고려해 정하며, 공급 제한·· 등의 조치와 함께 부과될 수 있습니다.
Article 64(5)Article 64(9)고려사항과 예외
Article 14의 24시간 최초 경고 기한을 지키지 못한 경우에 관한 특별 벌금 예외가 있습니다. 다른 보고의무는 면제되지 않습니다.
Article 64(10)(a)적용 시점과 기존 제품·인증
이미 출시된 제품에도 CRA가 적용되는가
해당 제품이 2027년 12월 11일 이전에 EU 시장에 실제로 출시되었는지를 먼저 확인해야 합니다. 제조일만으로 판단하지 않습니다.
Article 69(2)Article 32027년 12월 11일 이전 출시
중대한 변경이 없으면 신규 제품 요구사항이 소급 적용되지 않으며, 이 날 이후 중대한 변경을 하면 CRA 적용 여부를 새로 판단합니다.
Article 69(2)Article 3(30)2027년 12월 11일 이후 처음 출시
기존 모델이라도 개별 제품이 이 날 이후 처음 EU 시장에 출시되면 CRA의 신규 제품 요구사항을 검토해야 합니다.
Article 6Article 69(2)Article 71(2)보고의무는 기존 제품에도 적용됩니다 — 기존 출시 제품이라도 CRA 적용범위에 해당하면 Article 14의 적극 악용 취약점·중대한 보안사고 보고의무를 적용받습니다.
Article 69(3)- 사용목적이 달라져 최초 위험평가에서 고려하지 않은 기능이나 사용환경이 생기는 경우Article 3(30)Recital 39
- 새로운 기능으로 공격표면이 넓어지거나 기존 위험평가에 없던 위험이 생기는 경우Recital 39Article 3(30)
- 취약점을 수정해 위험을 낮추고 사용목적을 바꾸지 않는 보안패치Recital 39
- 화면 디자인 개선, 언어 추가 등 보안 위험과 사용목적에 실질적 영향이 없는 변경Recital 39
기존 인증은 계속 유효한가
다른 EU 조화법령에 따라 발급된 관련 EU 형식검사 인증서·승인결정은 원칙적으로 2028년 6월 11일까지 유효하지만, 기존 인증이 CRA의 모든 필수 보안요구사항을 자동으로 충족한다는 의미는 아닙니다.
Article 69(1)