CRA 사고 및 취약점 신고

01신고 대상

해당 규정의 제14조 사이버 회복력법 은 디지털 요소가 포함된 제품의 제조자에게 두 가지 신고 의무를 부과합니다. 이 의무는 처음 보이는 것보다 범위가 좁으며, 일상적인 버그나 통상적인 패치는 대상이 아닙니다. Art. 14

• 적극적으로 악용되는 취약점: 악의적 행위자가 소유자의 허락 없이 시스템에서 이를 악용했다는 신뢰할 수 있는 증거가 있는 자사 제품의 취약점을 말합니다. 악용되기 전에 발견해 수정한 취약점은 통상적인 취약점 처리 프로세스, 이 신고 채널이 아닙니다.
• 심각한 사고: 데이터 또는 기능의 가용성, 진정성, 무결성 또는 기밀성을 보호하는 제품의 능력에 부정적인 영향을 미치거나 미칠 수 있는 사고를 말합니다. 심각성 기준은 제14조(5)에 규정되어 있습니다.

이 의무는 상업적 제조자에게만 적용되는 것이 아닙니다. 오픈소스 소프트웨어 관리자 도 디지털 요소가 포함된 제품에 관여하는 범위에서 자체적인 신고 의무를 부담합니다. Art. 24(3)

02세 가지 기한

각 신고는 세 단계로 이루어지며, 귀사가 인지한 시점부터 기산됩니다. 악용된 취약점이나 심각한 사고의 신고 기한은 촉박하며, 그렇기 때문에 사전 준비가 중요합니다. Art. 14(2)–(4)

• 24시간 이내조기 경보. 적극적으로 악용되는 취약점 또는 심각한 사고가 발생했다는 사실을 알리는 최초 통지입니다. 사고의 경우에는 불법적이거나 악의적인 행위에 의한 것으로 의심되는지 여부도 포함합니다.
• 72시간 이내취약점 / 사고 신고. 보다 상세한 설명입니다. 취약점과 악용의 일반적 성격, 초기 평가, 취한 시정 조치 또는 완화 조치와 이용자가 취할 수 있는 조치를 기재합니다.
• 최종 보고서최종 보고서. 대상이 취약점인 경우에는 14일 이내입니다. 시정 조치 또는 완화 조치가 이용 가능해진 시점부터 기산합니다. 대상이 심각한 사고인 경우에는 72시간 통지로부터 1개월 이내입니다. 전체 설명, 심각성, 영향 및 적용된 시정 내용을 기재합니다.

마지막 행의 비대칭에 유의하십시오. 취약점의 기한은 수정이 존재하는 시점에서, 사고의 기한은 앞선 통지에서 시작됩니다. 서로 다른 구조이므로 사내 런북에는 별도로 기재해 두는 것이 좋습니다.

03시작 시점

신고 의무는 CRA에서 가장 먼저 발효되는 주요 사항입니다. 대부분의 조항은 2027년 12월 11일부터 적용되지만, 제14조는 다음부터 적용됩니다 2026년 9월 11일: 법이 발효된 때로부터 21개월 후입니다. ENISA는 단일 신고 플랫폼을 같은 날짜까지 가동할 계획입니다. Art. 71

04신고 대상 기관

신고 대상 ENISA 및 해당 조정 담당 CSIRT에, 각 국가 당국에 개별적으로 제출하는 대신 단일한 창구를 통해 신고합니다. 그 창구가 단일 신고 플랫폼이며, ENISA가 제16조에 따라 이를 설치하고 관리하며 유지합니다. Art. 14 · 16

어느 CSIRT가 담당인지는 연합 내 주된 사업장 에 따라 정해지며, EU에 설립되어 있지 않은 경우에는 공인 대리인의 사업장에 따라 정해집니다. 신고를 접수한 CSIRT는 제품이 공급되는 회원국의 CSIRTs와, 필요에 따라 시장감시당국에 해당 통지를 전달합니다. Art. 14(7) · 18

지원은 양쪽 모두에 마련되어 있습니다. ENISA 는 특히 중소기업을 배려한 헬프데스크를 운영하며, 조정자로 지정된 CSIRTs 역시 제14조 의무에 관한 헬프데스크 지원을 제공해야 합니다. 또한 ENISA는 수정된 취약점을 유럽 취약점 데이터베이스에 등록하고, 2년마다 기술 동향 보고서를 발간합니다. 첫 보고서는 신고 의무 시행 후 24개월 이내에 예정되어 있습니다. Art. 17(6)

신고된 취약점의 전달은 CSIRT가 보류할 수 있지만, 신고자가 보류할 수는 없습니다

신고를 접수한 CSIRT는 정당한 사이버보안상의 사유가 있는 경우 엄격히 필요한 기간에 한하여 이후의 전달을 지연하거나 보류할 수 있습니다. 예를 들어 취약점이 협력적 공개 절차에 있는 경우입니다. 집행위원회는 그 요건을 2025년 12월 11일에 채택된 위임법에서 구체화했습니다. CSIRT가 통지를 보류하는 경우에는 즉시 ENISA에 알리고, 사유와 전달 예정 시점을 제시해야 합니다.

이와 별도로, 특히 예외적인 상황에서는 제16조(2) 의 제한적인 요건 중 하나를 72시간 통지에 표시할 수 있습니다. 즉, 악용이 자사 CSIRT가 속한 회원국 내에 국한된다는 점, 추가 전달이 해당 회원국의 본질적 이익에 반한다는 점, 또는 전달이 임박한 높은 사이버보안 위험을 초래한다는 점입니다. 이를 표시하면 CSIRT가 전체 통지를 공개할 때까지 ENISA는 제한된 정보(통지가 이루어졌다는 사실, 제품에 관한 일반 정보, 악용의 일반적 성격, 보안상의 사유가 제기되었다는 사실)만 받게 됩니다.

05플랫폼 등록

ENISA의 2026년 7월 31일 자 안내는 실제 화면을 보여 주는 최초의 자료입니다. 플랫폼이 가동되기 전에는 등록 자체를 할 수 없지만, 누가 계정을 보유할지 지금 정하고 자격 증명을 미리 준비할 수 있습니다. 또한 24시간 기한에 쫓기며 처음 마주하기 전에 절차를 파악해 두어야 합니다.

필요해지기 전에 두 사람을 지정하십시오

플랫폼은 각 제조자에게 두 가지 사용자 계정을 부여하며, 누가 이를 맡을지는 오늘 정할 수 있습니다. 주 대표자가 먼저 등록하여 플랫폼에 제조자 정보를 생성합니다. 그런 다음 이 담당자가 부 대표자를 초대합니다. 이 대표자는 같은 제조자에 대해 백업 역할을 맡으며 제조자를 대신하여 제출할 수 있습니다. 두 사람 모두 자사에서 지명한 개인입니다. 제출이 수동으로 이루어지는 만큼, 지명된 신고 담당자가 한 명뿐이고 그 사람이 휴가 중이거나 자고 있거나 퇴사한 상황은 실질적인 운영 위험이므로, 두 번째 자리는 선택이 아니라 필수로 다루십시오.

자격 증명은 EU Login이며, 두 사람 모두 오늘 만들 수 있습니다

플랫폼 계정은 EU Login을 통해 인증합니다. 이는 집행위원회가 온라인 시스템 전반에서 사용하는 공통 로그인 서비스입니다. ENISA는 계정을 미리 만들어 둘 수 있다고 밝히고 있으며, 이것이 지금 당장 할 수 있는 가장 유용한 일입니다. 주 대표자용 하나와 부 대표자용 하나를 ecas.ec.europa.eu에서 만들되, 1년 뒤에도 유효할 업무용 이메일 주소를 사용하십시오. 집행위원회는 EU Login이 무엇이고 더 넓은 신원 체계에서 어떤 위치를 차지하는지를 신뢰할 수 있는 디지털 신원 페이지에서 설명하고 있습니다.

등록 절차

플랫폼에 처음 접속하면 역할을 선택하고, 드롭다운에서 지정 CSIRT 를 고른 뒤 EU Login으로 인증하고, 법적 약정을 읽고 동의하며, 미리 채워진 개인 정보(이름, 성, 이메일, 법인명)를 확인한 다음 제조자의 명칭, 주소 및 추가 정보를 입력합니다. 제조자의 필수 항목을 누락하면 절차가 진행되지 않습니다. 완료되면 계정이 "AR Active" 역할로 활성화되고, 확인 이메일이 발송되며, 플랫폼에 제조자 개체가 생성됩니다.

해당 부 대표자는 주 대표자의 이메일 초대 를 통해 참여하여, 미리 채워진 개인 정보와 제조자 정보를 확인하고 같은 제조자의 백업 사용자로 등록됩니다. 이 초대는 7일후 만료되며, 이후 해당 기록은 "Invitation Expired"로 표시되어 새로 발송해야 합니다. 백업 계정은 주 대표자와 같은 자리에서 함께 설정하십시오. 사고 대응 도중에 만료된 초대를 발견하는 것은 피할 수 있는 문제입니다.

CSIRT가 대표자를 수동으로 확인하지만, 그로 인해 제출이 막히지는 않습니다

특정 인물이 특정 제조자를 대신하여 실제로 신고할 수 있는지는 누군가 확인해야 하며, 그 확인은 조정자로 지정된 CSIRT의 몫입니다. 수동 절차이고 방식은 CSIRT마다 다르며, 각 CSIRT가 자체 방식을 정합니다. 중요한 점은 이 확인이 플랫폼 최초 접속 이후에 이루어지며, 신고와 병행하여 진행된다는 것입니다. ENISA는 이 검증이 결코 제출 능력에 영향을 주지 않는다고 밝히고 있습니다. 검증되지 않은 계정도 24시간 기한 내에 제출할 수 있습니다.

ENISA가 시장 전체를 미리 등록시켜 CSIRTs를 추정에 근거한 확인 업무로 채우기보다, 실제로 제출이 필요해진 시점에 등록과 검증을 시작하라고 권고하는 이유도 여기에 있습니다. 미리 해 둘 준비는 EU Login 계정과 두 자리를 누가 맡을지에 대한 결정이며, 플랫폼 등록 자체가 아닙니다.

06신고서 제출

신고는 대시보드에서 진행합니다. 통지를 생성한 뒤 세 건을 따로 제출하는 것이 아니라 각 단계마다 같은 기록에 추가합니다. 각 단계에는 전용 탭이 있으며, 각각 먼저 초안으로 저장할 수 있습니다. 초안은 본인만 볼 수 있습니다.

• 조기 경보대시보드에서 새 통지를 시작하고 필수 항목을 입력한 다음, 기존 제조자를 선택하거나 새로 추가합니다. 제출하면 지정 CSIRT로 전송되고 ENISA에도 자동으로 전송됩니다. 이메일과 알림 확인은 신고자, CSIRT, ENISA에 전달됩니다.
• 72시간조기 경보가 있는 경우에만 이용할 수 있습니다. 같은 통지를 열어 72시간 탭을 작성합니다. ENISA는 이를 자동으로 받지만, 다만 제16조(2)의 요건을 원용한 경우에는 해당 기록에 표시가 되고, CSIRT가 공개할 때까지 ENISA가 볼 수 있는 범위가 제한됩니다.
• 최종 보고서앞선 두 단계가 모두 있는 경우에만 이용할 수 있습니다. 다른 관련 CSIRTs는 조정 담당 CSIRT가 수동으로 전달한 뒤에야 최종 보고서를 받습니다.

무엇이 필수이며, 언제 필요한가

ENISA는 각 단계에서 어떤 항목이 필수인지 공개했습니다. 이 표는 널리 퍼진 오해를 바로잡는 데 유용합니다. 24시간 조기 경보는 경보이지 조사가 아닙니다.

• 24시간 시점: 통지의 유형과 수준, 제조자 또는 스튜어드의 명칭, 제품, 제목입니다. 사고의 경우에는 불법적이거나 악의적인 행위가 의심되는지 여부를 기재합니다. 제품이 공급되는 회원국은 이미 파악하고 있는 경우에만 요구됩니다.
• 72시간 시점: 취약점과 악용의 일반적 성격, 취한 시정 조치 또는 완화 조치, 이용자가 취할 수 있는 조치입니다. 사고의 경우에는 탐지 시점과 발생 시점, 그리고 초기 평가를 기재합니다. 민감성 표시도 이 단계에서 합니다.
• 최종 보고서 시점: 전체 설명, 심각성과 영향, 시정 조치가 이용 가능해진 날짜, 보안 업데이트의 세부 내용입니다. 사고의 경우에는 추정 근본 원인과 진행 중인 완화 조치를 기재합니다.

선택 항목이지만 함께 기록해 둘 만한 것으로는 CVE ID 및 해당 EUVD ID가 있으며, 둘 다 첫 단계부터 입력할 수 있습니다.

수정, 그리고 되돌릴 수 없는 지점

제출한 통지는 갱신할 수 있으며, 플랫폼은 자사 CSIRT와 ENISA, 그리고 전달을 통해 이미 통지를 받은 CSIRTs에 자동으로 알립니다. 두 가지 제한이 있습니다. 종료된 통지는 갱신할 수 없고, 기록은 최종 보고서를 제출하면 수정할 수 없게 됩니다.

07오늘 할 수 있는 일

24시간 기한을 지키는 것은 서류상의 문제가 아니라 운영상의 문제이며, 준비의 거의 전부는 지금 착수할 수 있습니다. 아래의 어느 항목도 플랫폼 가동에 좌우되지 않습니다.

• EU Login 계정을 만드십시오. 주 신고 담당자와 최소 한 명의 백업을 위해 만듭니다. 소요 시간은 몇 분이며, ecas.ec.europa.eu 에서 할 수 있고, 사고 대응 도중에 발견하고 싶지 않은 단계를 하나 줄여 줍니다.
• 지정 CSIRT를 확인하십시오. 연합 내 주된 사업장에 따라 정해지며, EU 밖에 설립된 경우에는 공인 대리인의 사업장에 따라 정해집니다. ENISA의 조정자 전체 목록은 아직 공개되지 않았으므로, 지금 판단 근거를 기록해 두고 목록이 나오면 대조해 확인하십시오.
• 24시간 양식을 사내에 마련하십시오. ENISA의 조기 경보 필수 항목에 대응하는 짧은 서식을 준비해 두면, 첫 실제 제출은 문안을 작성하는 일이 아니라 옮겨 적는 일이 됩니다.
• 근무 시간 외를 포함해 담당자를 지정하십시오. 신고가 필요한지 판단할 사람, 작성할 사람, 제출할 사람을 정하십시오. API가 없으므로 마지막 단계는 키보드 앞에 앉은 지정된 사람입니다.
• 정확한 SBOM을 유지하십시오. 출하한 사실을 몰랐던 구성 요소는 신고할 수 없습니다. 소프트웨어 자재 명세서를 관리하고 릴리스 변경에 맞추어 최신 상태로 유지하십시오.
• 지속적으로 모니터링하십시오. 구성 요소를 알려진 취약점 정보원과 대조하여, 적극적으로 악용되는 결함이 몇 주가 아니라 몇 시간 안에 드러나도록 하십시오. 당사의 SBOM 및 취약점 분석기 는 자재 명세서를 NVD와 EU 취약점 데이터베이스(EUVD)와 대조합니다.
• 실제로 무엇이 적용 대상인지 확인하십시오. 72시간 단계에서는 제품 유형과 부속서 III 또는 IV의 범주를 묻기 때문에, 필요해지기 전에 분류를 확정해 두십시오. 분류 도구 가 그 답을 제시하며, 적합성 매트릭스 신고를 이를 포함하는 더 광범위한 부속서 I 취약점 처리 의무와 연결합니다.
• 웨비나를 일정에 넣으십시오. ENISA는 플랫폼 서비스 개시 2주 전에 한 차례 개최하고, 출시에 가까워지면 짧은 안내 영상을 공개할 계획입니다.

08원문에서 직접 확인하기

이 페이지는 2026년 8월 6일기준 상황을 반영합니다. 플랫폼은 계속 변하고 있고 ENISA는 모든 변경을 알리기보다 조용히 페이지를 수정하므로, 아래 페이지의 "최종 업데이트" 표시는 직접 확인해 볼 가치가 있습니다. 아래가 일차 자료이며, 위의 내용은 모두 이에 대한 당사의 해석입니다.

• ENISA · 단일 신고 플랫폼: 허브 페이지로, 팩트시트와 함께 법적 근거, 기한, 전달 경로, 항목 표, 플랫폼 보안을 다루는 상세 FAQ가 있습니다. 공개 URL도 이곳에서 발표됩니다.enisa.europa.eu/topics/product-security-and-certification/single-reporting-platform-srp
• ENISA · SRP 사용자 등록 안내: 주 사용자와 백업 사용자를 위한 단계별 등록 절차를 인터페이스 화면과 함께 보여 줍니다.enisa.europa.eu/cra-srp-ar-user-registration
• ENISA · SRP 통지 제출 안내: 조기 경보, 72시간 통지, 최종 보고서를 어떻게 제출하고 갱신하는지, 각 상태가 무엇을 촉발하는지 설명합니다.enisa.europa.eu/cra-srp-ar-notification-submission-and-update
• 집행위원회 · CRA 신고 의무: 정책 페이지로, 신고를 다루는 제5절이 포함된 CRA 이행 FAQ도 함께 제공합니다.digital-strategy.ec.europa.eu/en/policies/cra-reporting
• 집행위원회 · CRA 적용 지침 (2026년 7월 27일): 9.1항이 제조자와 오픈소스 스튜어드의 신고 의무를 규정합니다. 당사의 지침 요약 이 나머지를 다룹니다.digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
• EU Login: 플랫폼이 사용할 계정을 만드십시오. 지금 하십시오.ecas.ec.europa.eu/cas/login

구속력 있는 조문으로는 제14조부터 제17조가 신고 생태계를 규정하고 제16조가 플랫폼을 설치합니다. 당사의 규정 리더에서 읽어 보십시오. 주요 일정은 진행 현황 페이지에서 추적합니다.

09자주 묻는 질문