CRA는 본인이 작성하지 않은 오픈 소스 코드에 대해서도 실사 절차를 이행할 것을 요구합니다.

주요 내용

• ‘사이버 복원력법(CRA)’ 제13조 제5항은 오픈 소스를 포함한 제3자 구성 요소에 대한 실사 의무를 규정하고 있다.
• 제13조를 위반할 경우, 최대 1,500만 유로 또는 전 세계 연간 매출액의 2.5% 중 더 높은 금액의 과태료가 부과될 수 있습니다.
• 구속력이 없는 서문 34항은 실사 절차를 구성 요소 위험과 연계하고 네 가지 가능한 조치를 제시하고 있으나, 구체적인 방법은 귀사가 선택하고 문서화하면 됩니다.
• 유럽연합 집행위원회의 지침에 따르면, 오픈소스 구성 요소를 통합한다고 해서 해당 구성 요소 자체의 CRA 규정 준수 책임까지 떠안게 되는 것은 아닙니다. 귀사의 제품에 대한 규정 준수는 여전히 해당 구성 요소를 포함하며, 업스트림에서 더 이상 수정하지 않더라도 귀사의 지원 기간 동안 해당 구성 요소의 취약점을 처리하는 것도 이에 포함됩니다.
• 제34조에서 규정하는 조치들은 패키지가 공개된 소스 코드에서 빌드되었는지, 아니면 삽입된 코드가 포함되어 있는지 여부를 묻지 않으므로, 두 가지 사항을 어느 정도까지 확인할지는 사용자의 위험 평가에 따라 결정됩니다.

제품에 오픈소스 구성 요소가 포함되어 있는 경우, ‘사이버 복원력법(CRA)’에 따라 2027년 12월 11일부터 해당 구성 요소에 대해 적정한 주의 의무를 이행해야 합니다. 유럽연합 집행위원회의 비구속적 지침에 따르면, 오픈소스 구성 요소를 상업적으로 제공하지 않는 유지보수자는 CRA에 따라 귀사에 어떠한 의무도 지지 않는다고 명시되어 있습니다. 그러나 제13조 제5항은 귀사의 적정한 주의 의무를 이러한 구성 요소까지 확대 적용하므로, 유지보수자가 상업적으로 수익을 창출하지 않는 라이브러리도 해당 범위에 포함됩니다.

얼마나 철저한 실사가 충분할까요? 캐나다 국세청(CRA)은 이에 대해 명확한 기준을 제시하지 않았으며, 서문 34항은 실사 수준을 구성 요소의 위험도에 따라 조정하고, 특정 조치를 의무화하지 않은 채 예시적인 조치들을 나열하고 있습니다. 이러한 조치들 중 어느 것도 귀사의 제품이 실행되는 패키지가 공개된 소스 코드를 기반으로 빌드되었는지, 또는 해당 패키지에 포함되어서는 안 될 코드가 포함되어 있는지 여부를 묻지 않습니다. 판단은 귀사에 달려 있으며, 기준을 충족하지 못할 경우 행정 과태료가 부과될 수 있습니다(제64조 제2항).

‘사이버 복원력법’이 귀하가 작성하지 않은 구성 요소에 대해 어떻게 규정하고 있는지

EU 사이버 복원력법( 규정 (EU) 2024/2847)은 제조업체에 실사 의무를 부과합니다. 디지털 요소가 포함된 제품이란 소프트웨어 또는 하드웨어 제품을 말하며, 여기에는 별도로 시장에 출시된 소프트웨어 또는 하드웨어 구성 요소도 포함됩니다(제3조 제1항). 제3조 제13항은 제조업체를 이러한 제품을 개발하거나 제조하거나, 또는 이를 설계·개발·제조하게 하고, 자신의 이름이나 상표로 시장에 출시하는 자연인 또는 법인으로 정의합니다. 이 정의는 제품이 판매, 유상 제공 또는 무상 제공되는지 여부와 관계없이 적용됩니다.

‘구성 요소’란 전자 정보 시스템에 통합되도록 의도된 소프트웨어 또는 하드웨어를 의미합니다(제3조 제6항). 따라서 귀사의 제품이 구축된 오픈 소스 라이브러리는 일반적으로 이에 해당합니다. 제2조 제1항에 따라, 캐나다 국세청(CRA)은 시장 출시된 제품 중, 그 의도된 목적이나 합리적으로 예측 가능한 용도에 장치 또는 네트워크와의 데이터 연결이 포함되는 제품을 규제 대상으로 삼습니다.

제3조(22)항은 “시장에 공급”을 유상 또는 무상을 불문하고 상업적 활동의 일환으로 EU 시장에서 유통 또는 사용을 목적으로 공급하는 것으로 정의하고 있다. 무상으로 공급하는 행위도 상업적일 수 있다. 오픈 소스의 경우, 중요한 점은 게시자가 이를 통해 수익을 창출하는지 여부입니다. 예를 들어, 사용료를 부과하거나, 릴리스나 업데이트에 대한 접근을 유료로 제한하거나, 이를 이용하여 다른 서비스를 판매하는 경우 등이 해당됩니다(제18조 서문; 위원회 지침, 3.2절). 유지 관리자가 상업적 활동 외의 목적으로 제공하는 라이브러리는 제품으로 간주되지 않지만, 여전히 귀하의 제품에 포함된 구성 요소입니다.

제13조 제5항은 제조사가 제3자로부터 조달한 구성 요소를 통합할 때, 해당 구성 요소가 제품의 사이버 보안을 훼손하지 않도록 적정한 주의를 기울일 것을 요구하고 있다. 여기에는 상업 활동의 일환으로 시장에 출시되지 않은 자유 및 오픈 소스 구성 요소도 명시적으로 포함된다. 제13조는 2027년 12월 11일부터 적용된다(제71조 제2항).

제13조를 위반할 경우, 최대 15,000,000유로의 행정 과태료가 부과될 수 있으며, 기업(EU 용어로 ‘사업체’)의 경우 직전 회계연도의 전 세계 연간 총매출액의 2.5% 중 더 높은 금액이 부과될 수 있다(제64조 제2항).

결함 있는 제품으로 인한 손해 배상은 별도의 제도인 지침 (EU) 2024/2853, 즉 ‘제품 책임 지침’의 적용을 받습니다. 이 지침의 서문 제31항은 해당 지침이 CRA를 보완하는 성격이라고 명시하며, 보안 업데이트 미제공으로 인해 손해가 발생한 경우 이에 따라 제조사의 책임이 발생할 수 있다고 밝히고 있습니다.

실사(Due Diligence)가 파악할 수 있는 것과 파악할 수 없는 것

‘사이버 복원력법(CRA)’은 제조업체가 적정한 주의 의무를 이행할 것을 요구하며, 구속력이 없는 서문 34항에서 그 내용이 더욱 구체적으로 명시되어 있습니다. 이 조항은 적절한 주의 의무 수준이 구성 요소와 관련된 사이버 보안 위험의 성격과 수준에 따라 달라지며, 적정한 주의 의무 이행 시 나열된 네 가지 조치(표 1) 중 하나 이상을 고려해야 한다고 명시하고 있습니다. 지침과는 별도로 마련된 유럽연합 집행위원회의 CRA 관련 FAQ (자주 묻는 질문)에는 추가적인 예시가 제시되어 있습니다.

표 1. 자료에서 구성요소에 대한 실사 절차로 제시한 조치들

참고: 위원회의 자주 묻는 질문(FAQ)에 따르면, 위원회의 답변은 어떠한 추가 요건도 부과하지 않으며, 위원회의 견해는 구속력을 갖지 않는다고 명시되어 있습니다.

제34조 서문에는 “하나 이상”이라고 명시되어 있으므로, 어떤 단일 조치도 필수적인 것으로 간주하지 않습니다. 또한 제34조 서문이나 제13조 제5항 모두 방법, 깊이 또는 기록 형식을 규정하고 있지 않습니다.

부속서 VII에는 기술 문서에 반드시 포함되어야 할 사항들이 나열되어 있습니다. 여기에는 위험 평가, 소프트웨어 구성 요소가 전체 시스템에 어떻게 통합되는지에 대한 설명, 그리고 시험 보고서가 포함되어 있으나, 구성 요소에 대한 실사 항목은 별도로 명시되어 있지 않습니다. 그렇다고 해서 실사 내용이 기록되지 않는다는 의미는 아닙니다. 제13조 제7항은 여전히 제조업체가 제품의 성격과 사이버 보안 위험에 비례하여 제품의 관련 사이버 보안 측면을 체계적으로 문서화할 것을 요구하고 있습니다.

위험 수준이 설정되고 방법은 유연하게 남겨져 있는 상황에서, 각 구성 요소에 대해 어느 정도의 실사를 수행할지는 귀하의 판단에 달려 있습니다. 위원회의 지침(170항 및 171항)은 이 의무를 두 단계로 나눕니다. 먼저 제품의 위험 평가를 통해 각 구성 요소가 제품에 제공해야 할 요건을 파악한 다음, 해당 구성 요소가 이를 충족하는지 확인해야 합니다. 제13조 제5항은 이 의무를 구성 요소의 통합 시점과 연계하고 있으므로, 구성 요소가 통합될 당시 작성된 검증 기록은 수년 후에 재구성된 기록보다 더 신뢰할 수 있습니다.

마음에 남는 것과 그렇지 않은 것

2026년 7월 27일자 위원회 지침에 따르면 , 오픈 소스 구성 요소를 통합하는 제조업체는 해당 구성 요소의 개별 CRA 준수 여부에 대해 책임을 지지 않으며, 유지보수를 위해 소스 코드를 기여하는 경우에도 마찬가지이다(86항). 다만, 제조업체는 제13조 제5항에 따른 실사 의무는 물론, 제13조 제6항에 따른 취약점 보고 및 수정 사항 공유 의무를 포함한 제품에 대한 자체 의무는 계속 이행해야 한다(88항).

상류 단계의 관리자 및 유지보수 담당자는 제조업체에 비해 CRA 의무가 훨씬 가볍습니다. 제3조(14)항은 오픈소스 소프트웨어 관리자를, 상업적 활동을 목적으로 하는 특정 자유 및 오픈소스 제품의 개발을 체계적이고 지속적으로 지원하며 해당 제품의 지속 가능성을 보장하는 것을 목적으로 하는, 제조업체가 아닌 법인이라고 정의합니다. 제24조는 관리자에게 완화된 규제 체계를 적용한다. 즉, 문서화된 사이버 보안 정책 수립, 시장 감시 당국과의 협력, 그리고 제한된 경우에 한해 악용된 취약점 및 사고에 대한 제14조 보고 의무의 일부를 이행하면 된다(제24조 제3항). 지침에 따르면, 시장에 출시되지 않은 구성 요소의 유지보수자는 해당 구성 요소를 통합하는 제조업체에 대해 어떠한 의무도 지지 않는다(87항).

귀하의 의무는 통합 단계에서 그치지 않습니다. 제13조 제6항에 따르면, 귀하는 구성 요소에서 발견한 취약점을 해당 구성 요소를 제조하거나 유지보수하는 주체에게 보고하여 이를 시정해야 하며, 수정 프로그램을 개발한 경우에는 관련 코드나 문서를 공유해야 합니다. 제13조 제8항은 귀하가 설정한 지원 기간 동안 제품(구성 요소 포함)의 취약점을 효과적으로 처리할 것을 요구합니다. 해당 기간은 제품의 예상 사용 기간이 5년 미만인 경우를 제외하고 최소 5년이어야 합니다. CRA에 따르면, 관리자(제24조)나 시장에 출시되지 않은 구성 요소의 유지 관리자(제87항)는 귀하에게 지원 기간을 제공할 의무가 없으므로, 귀하의 제품 지원 기간이 아직 수년 남아 있더라도 해당 구성 요소 버전에 대한 업스트림 수정 사항 제공이 중단될 수 있습니다.

나열된 작업들은 패키지가 어떻게 빌드되었는지는 묻지 않습니다

서문 34에 명시된 네 가지 조치 중 세 가지는 구성 요소의 공개된 기록을 검토합니다. 이 조치들은 해당 구성 요소의 제작자가 적합성을 입증했는지, 정기적인 보안 업데이트를 받고 있는지, 그리고 취약점 데이터베이스에 해당 구성 요소에 대해 어떤 정보가 기재되어 있는지 확인합니다. 네 번째 조치인 ‘추가 보안 테스트’는 사용자가 직접 구성 요소를 테스트해야 하는 유일한 조치입니다.

컴포넌트의 기록은 프로젝트가 어떻게 동작하는지를 설명하지만, 제품에서 최종적으로 실행되는 패키지가 해당 프로젝트가 공개한 소스 코드를 기반으로 빌드되었는지, 아니면 그곳에 속하지 않는 코드가 포함되어 있는지는 알려주지 않습니다. 빌드 출처 및 삽입된 코드는 제34조 서문이나 유럽연합 집행위원회 FAQ의 예시 어디에도 언급되어 있지 않습니다. 그러나 이 두 가지 요소는 모두 구성 요소가 제품의 사이버 보안을 침해하는지 여부에 직접적인 영향을 미치며, 이는 제13조(5)항이 방지하고자 하는 결과입니다.

제13조 제5항은 구체적인 방법을 명시하지 않으므로, 출처를 확인하고 삽입된 코드를 탐지하는 방식은 사용자에게 달려 있습니다. 패키지를 소스 코드와 대조하여 검증하거나, 패키지가 사용 환경에 유입되기 전에 악성 코드를 검사하는 것이 두 가지 방법입니다. SBOM은 제품에 포함된 항목을 나열하지만, 패키지를 목록에 포함한다고 해서 해당 패키지가 어떻게 빌드되었는지 또는 어떤 코드를 포함하고 있는지까지 검증되는 것은 아닙니다. 각 구성 요소에 대해 이러한 조치가 어느 정도 필요한지는 위험 평가를 통해 파악해야 합니다.

패키지가 사용 환경에 도달하기 전에 확인하기

TuxCare의 SecureChain은 지원 대상인 오픈소스 패키지의 소스 코드를 분석하여 알려진 악성코드, 의심스러운 코드 패턴 및 기타 공급망 위험 요소를 탐지한 후, 강화되고 격리된 빌드 환경 내에서 해당 소스 코드를 기반으로 패키지를 재빌드합니다. 심사에서 부적격 판정을 받은 패키지는 사용자의 환경에 도달하기 전에 차단됩니다. 각 패키지에는 SBOM, VEX 문서, 그리고 해당 패키지를 생성한 소스 및 빌드 기록을 담은 SLSA 레벨 3 출처 정보가 함께 제공됩니다.

아직 활발하게 유지보수되고 있는 구성 요소의 경우, SecureChain은 새로운 취약점이 발견될 때마다 서비스 수준 계약(SLA)에 따라 재빌드된 패키지로 수정 사항을 제공합니다. 업스트림 유지보수가 종료된 후에는 TuxCare의 ‘Endless Lifecycle Support’를 통해 귀사가 실행 중인 특정 버전의 모든 심각도 수준(‘Critical’부터 ‘Low’까지)에 해당하는 취약점을 지속적으로 해결해 드립니다.

발송하는 패키지 안에 무엇이 들어 있는지 확인할 수 없으신가요? SecureChain이 해당 패키지가 빌드에 반영되기 전에 어떻게 검증하는지 확인해 보세요.

자주 묻는 질문

‘사이버 복원력법’의 적용 대상은 누구인가?

EU의 제품 사이버보안 규정인 ‘사이버 복원력법(CRA)’은 상업 활동의 일환으로 EU 시장에 공급되며, 그 의도된 목적 또는 합리적으로 예측 가능한 용도에 기기나 네트워크와의 데이터 연결이 포함되는 디지털 요소를 갖춘 제품을 대상으로 합니다(제2조 제1항 및 제3조 제22항). 의무는 주로 제조업체에 부과됩니다. 수입업자, 유통업자 및 오픈소스 소프트웨어 관리자에게는 별도의 의무가 부과됩니다(제19조, 제20조 및 제24조).

‘사이버 복원력법’의 조항은 언제 적용되나요?

‘사이버 복원력법(CRA)’은 2024년 12월 10일에 발효되었다. 적합성 평가 기관에 대한 통지를 규정한 제4장은 2026년 6월 11일부터, 제조업체의 보고 의무를 규정한 제14조는 2026년 9월 11일부터 적용되었다. 나머지 조항은 2027년 12월 11일부터 적용된다(제71조 제2항).

CRA가 제조물 책임 규정을 대체하는가?

아닙니다. ‘사이버 복원력법(CRA)’의 제31조 서문은 ‘제품 책임 지침(Directive (EU) 2024/2853)’을 보완적인 것으로 규정하고 있습니다. 해당 지침은 결함 있는 제품으로 인해 발생한 손해에 대한 배상을 다루는 반면, CRA는 행정 과태료를 뒷받침으로 하는 제조업체의 의무를 규정하고 있습니다(제64조). 제65조는 소비자의 집단적 이익에 해를 끼치거나 끼칠 우려가 있는 위반 행위에 대해 EU의 대표 소송 규정을 적용합니다.

제조업체는 CRA의 규제를 받지 않는 유지보수자가 제공하는 오픈소스 소프트웨어를 사용할 수 있는가?

네, 제조사가 해당 구성 요소가 제품의 사이버 보안을 훼손하지 않도록 적절한 주의를 기울인다면 가능합니다. ‘사이버 복원력법(CRA)’ 제13조 제5항은 상업적으로 시장에 출시되지 않은 오픈소스 구성 요소를 명시적으로 다루고 있으며, 제34조 서문에서는 그 수준이 구성 요소의 위험도에 따라 결정된다고 명시하고 있습니다.

제조사는 구성 요소의 취약점을 유지보수 담당자에게 보고해야 합니까?

네, 취약점을 확인한 후에는 그렇습니다. 2027년 12월 11일부터 ‘사이버 복원력법(CRA)’ 제13조 제6항에 따라 제조사는 오픈 소스 구성 요소를 포함한 통합 구성 요소의 취약점을 해당 구성 요소를 제조하거나 유지 관리하는 주체에게 보고하고, 이를 시정해야 합니다. 제조업체가 수정 프로그램을 개발할 경우, 관련 코드나 문서를 공유해야 합니다. 이는 2026년 9월 11일부터 적용되어 온 당국에 대한 제14조 보고 의무와는 별개의 사항입니다.

요약

기사 이름

사이버 복원력법 제13조 제5항 오픈소스 실사

설명

2027년 12월부터 CRA 제13조 제5항에 따라, 귀사가 배포하는 오픈소스 구성 요소에 대해 실사(due diligence)를 수행해야 합니다. 서문 제34항에는 수행해야 할 조치들이 열거되어 있으나, 구체적인 방법은 귀사에 맡겨져 있습니다.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고