하드웨어 지갑 제조업체를 대상으로 하는 EU 사이버 범죄 보고 규정이 발효되었습니다.

규칙에서 요구하는 사항

유럽연합(EU)의 하드웨어 지갑 제조업체 및 기타 연결 제품 제조업체에 대한 사이버 사고 보고 의무가 발효되었습니다. EU 사이버 복원력법(CRA)의 사고 보고 조항은 나머지 규정이 완전히 적용되기 1년 이상 전인 2026년 9월 11일부터 시행되었습니다.

CRA 제14조는 “디지털 요소가 포함된 제품” 제조업체를 대상으로 하며, 이 범주에는 기기 및 네트워크에 연결되는 하드웨어 지갑과 상용 지갑 소프트웨어가 모두 포함됩니다. 제조업체는 디지털 요소가 포함된 제품의 보안에 영향을 미치는 심각한 사고가 발생할 경우, 지정된 조정 기관인 CSIRT와 ENISA에 동시에 통보해야 합니다.

ENISA가 운영하는 CRA의 단일 보고 플랫폼(SRP)은 이제 EU 전역에서 이러한 신고가 처리되어야 하는 관문입니다. 제조업체는 SRP를 통해 지정된 조정 기관인 관련 CSIRT와 ENISA에 하나의 신고서를 제출합니다. 최초 보고서는 공개되지 않으며, 제조업체가 설립된 국가의 CSIRT와 단일 보고 플랫폼을 통해 ENISA로 전달됩니다.

3단계 보고 일정

보고 체계는 위기 상황이 전개됨에 따라 규제 당국이 점점 더 상세한 정보를 받을 수 있도록 3단계 일정으로 구성되어 있습니다. 초기 경고 후, 제조업체는 72시간 이내에 보다 완전한 취약점 신고서를 제출해야 합니다. 시정 또는 완화 조치가 마련되면, 제조업체는 14일 이내에 발생한 사건, 문제 해결 방법, 그리고 재발 방지를 위해 취하고 있는 조치를 설명하는 최종 보고서를 제출해야 합니다.

CSIRT와 ENISA에 제공되는 정보는 소스 코드 및 영업 비밀을 포함하여 기밀로 보호됩니다. 공개는 심각한 사고를 예방하거나 완화하기 위해 필요한 경우에만 진행되며, 일반적으로 제조업체와의 사전 협의가 필요합니다.

이 요구사항은 연결된 하드웨어 및 소프트웨어에 대한 더욱 강력한 사이버 보안 기준을 구축하려는 유럽연합(EU)의 노력의 일환입니다. 보안 설계, 적합성 평가 및 CE 마크를 포함한 이 규정의 더 광범위한 의무 사항은 2027년 12월 11일부터 완전히 적용되지만, 사고 보고 조항은 이미 지갑 제조업체가 취약점에 대해 생각하는 방식에 상당한 변화를 가져왔습니다.