막대한 비용을 들여 자동화 생산라인을 구축했는데, 정작 디지털 요소가 포함된 부품들이 사이버복원력법(CRA)의 사이버보안 요건을 충족하지 못한다는 사실을 뒤늦게 발견한다면 어떻게 될까요?

그 결과는 값비싼 재설계, 출시 지연, 심지어 시스템 전체 재설계로 이어질 수 있습니다.

CRA 시행이 가까워지고 있지만, 많은 시스템 통합업체(SI)와 최종 사용자들은 여전히 관망하는 자세를 취하고 있습니다. "조화표준이 아직 확정되지 않았으니, 명확해지면 그때 검토하겠다"는 것이 

일반적인 분위기입니다.

하지만 현실은 다릅니다. CRA는 2027년 12월부터 시행되며, 표준 확정과 시행 사이의 간격은 약 1년에 불과합니다. 안정성·장기 수명·복잡한 상호 의존성을 중시하는 OT 시스템에게 1년은 결코 충분한 

시간이 아닙니다.

정적인 체크리스트 방식의 컴플라이언스 점검도 점점 의미를 잃어가고 있습니다. 표준 확정을 수동적으로 기다리기보다, 공급업체와 함께 "사이버보안 적합성"을 선제적으로 평가하는 것이 훨씬 실질적인 

전략입니다.

먼저 알아두면 좋은 핵심 용어

●   CRA(Cyber Resilience Act, 사이버복원력법): 디지털 요소가 포함된 제품의 사이버보안 요건을 규정한 EU 법안으로, 2027년 12월부터 전면 시행됩니다.

●   Secure by Design(시큐어 바이 디자인): 제품 완성 후 보안 기능을 추가하는 것이 아니라, 요구사항·설계 단계부터 보안을 내재화하는 개발 방식입니다.

●   IEC 62443-4-1: 제조사의 "안전한 개발 프로세스(라이프사이클)"를 평가하는 국제 표준입니다.

●   IEC 62443-4-2: 개별 제품이 갖춰야 할 기술적 보안 기능(식별·인증, 접근 제어, 데이터 보호 등)을 규정한 국제 표준입니다.

●   조화표준(Harmonized Standard): EU 법령 요건 충족으로 추정받을 수 있는 근거가 되는 유럽 표준으로, CRA 관련 다수가 아직 초안(prEN) 단계입니다.

●   취약점 관리(Vulnerability Management): 취약점의 접수·분석·패치·공개에 이르는 지속적 대응 체계로, CRA는 최소 5년간의 지원을 요구합니다.

공급업체 준비도를 가늠하는 세 가지 기준

산업용 커넥티비티·OT 사이버보안 분야를 선도하는 기업으로서, 공급업체의 미래 컴플라이언스 준비 수준을 평가할 때 다음 세 가지 핵심 기준을 제안합니다. 이 기준들은 기존 국제 표준과 

EU가 공개한 초안을 근거로 합니다.

① 안전한 개발 프로세스가 공급업체의 근간에 자리 잡고 있는가?

CRA 부속서 I Part I.에 상응하는 부분으로, 앞선 제조사들은 완성된 제품에 보안 기능을 추가하는 방식이 아니라, 설계 단계부터 보안을 내재화하는 '시큐어 바이 디자인'을 실천하고 있습니다.

장비를 평가할 때 핵심 질문은 공급업체가 IEC 62443-4-1 인증을 보유하고 있는지 여부입니다. 이는 요구사항 정의부터 라이프사이클 관리 전반에 걸쳐 OT 보안을 핵심 고려사항으로 삼고 있다는 지표입니다.

공급업체가 EN IEC 62443-4-1:2018/prAA:2026과 prEN 40000-1-2의 공개 초안을 인지·검토하고 있는지도 확인해야 합니다. 안전한 개발 라이프사이클의 성숙도 역시 중요한 지표입니다. 예를 들어 성숙도 

레벨 3은 제조사가 보안 관리를 핵심 사업 운영 체계에 내재화했다는 의미입니다.

② 제품 자체가 제품 보안 요구사항을 충족하는가?

IEC 62443-4-2는 시스템 인수 또는 공급업체 선정 시 핵심 보안 기능—식별 및 인증, 접근 제어, 시스템 무결성, 데이터 보호, 보안 이벤트 로깅, 펌웨어 보호—을 평가할 수 있는 실질적인 방법을 제공합니다.

새롭게 부상하는 두 표준, prEN 40000-1-4와 EN IEC 62443-4-2:2019/prAA:2026도 면밀히 모니터링할 것을 권장합니다. CRA는 또한 EN 50770 시리즈처럼 특정 제품군(예: 방화벽, 라우터 등)에만 

적용되는 전용 표준(이른바 "수직 표준", 모든 제품에 공통 적용되는 "수평 표준"과 대비되는 개념)의 개발도 이끌고 있습니다.

③ 취약점 관리는 장기적인 시험대다

시스템 가동 이후 패치 없이 제로데이 취약점이 발견되는 상황은 최악의 시나리오입니다. CRA 부속서 I Part II의 취약점 관리란, 접수·분석·대응·공개 전 과정을 지속 처리하는 역량과 최소 5년간의 

지원을 의미합니다.

파트너 선정 시에는 ISO/IEC 30111에 따른 내부 처리 절차와 ISO/IEC 29147에 따른 취약점 공개 시스템을 갖췄는지 확인해야 합니다. 신뢰할 수 있는 공급업체는 prEN 40000-1-3 같은 공개 초안도 

지속적으로 모니터링합니다.

관련 표준 개요

참고: 위 개정·신규 표준들은 이 글 작성 시점 기준 초안 또는 공개 의견수렴 단계에 있으며, 공식 명칭·적용 범위는 향후 변경될 수 있습니다.

공급업체 평가 전 확인할 질문 체크리스트

1. 공급업체가 IEC 62443-4-1 인증을 보유하고 있습니까?

인증이 없다면, EN IEC 62443-4-1/prAA:2026 등 관련 공개 초안을 인지하고 대응 중인지 확인이 필요합니다.

2. 제품이 IEC 62443-4-2의 핵심 보안 기능을 충족합니까?

식별·인증, 접근 제어, 데이터 보호, 로깅, 펌웨어 보호 항목을 개별적으로 점검해야 합니다.

3. 공급업체의 모든 제품이 CRA 제품 카테고리·제품군별 전용 표준(수직 표준)에 매핑되어 있습니까?

EN 50770 시리즈 등 제품군별 표준 대응 현황을 문서로 요청해 확인해야 합니다.

4. 취약점 처리·공개 절차(ISO/IEC 30111·29147)가 마련되어 있습니까?

최소 5년간의 지원과 공개 보안 권고 발행 여부에 대한 확인이 필요합니다.

5. 서류 체크리스트가 아니라 조직의 개발 문화에 보안이 내재화되어 있습니까?

안전한 개발 라이프사이클의 성숙도(Maturity Level) 역시 함께 확인해야 합니다.

한눈에 보는 핵심 정리

01. CRA 시행까지 남은 시간은 유예 기간이 아닙니다.

표준 확정 후 시행까지 약 1년뿐이며, OT 설비의 특성상 사전 준비 없이는 대응이 어렵습니다.

02. 평가 기준은 세 가지입니다.

안전한 개발 프로세스, 제품 보안 요구사항, 취약점 관리 체계를 기준으로 공급업체를 평가해야 합니다.

03. 체크리스트만으로는 부족합니다.

서류상의 준수가 아니라, 보안이 조직의 개발 문화에 실제로 내재화되어 있는지를 확인해야 합니다.

04. 결국 질문은 이것입니다.

"표준이 확정되었는가"가 아니라 "우리 공급업체는 지금 준비되어 있는가"입니다.

FAQ

Q1. CRA는 우리 회사와 무슨 상관이 있나요?

OT 설비에 디지털 요소가 포함되어 있고 EU 시장 또는 EU 대상 프로젝트에 공급한다면, 해당 설비와 공급업체 모두 CRA 요건의 영향을 받습니다.

Q2. 아직 표준이 초안 단계인데 지금부터 준비해야 하나요?

네. 표준 확정 후 시행까지 약 1년뿐이라, OT 설비 특성상 사전 준비 없이는 시행 시점에 맞추기 어렵습니다.

Q3. 공급업체를 평가할 때 가장 먼저 확인해야 할 것은 무엇인가요?

① 안전한 개발 프로세스, ② 제품 보안 기능, ③ 취약점 관리 체계, 이 세 가지가 실질적인 출발점입니다.

Q4. 체크리스트로 CRA 대응을 확인하면 충분한가요?

부족합니다. 보안이 조직의 개발 문화·라이프사이클에 실제로 내재화되어 있는지(성숙도)를 함께 살펴봐야 합니다.

Q5. MOXA 같은 공급업체를 선택하면 무엇이 달라지나요?

IEC 62443 계열 인증과 공개 초안 대응 현황을 투명하게 공유할 수 있어, 규제 준수를 넘어 시장 신뢰도를 높이는 방향으로 선택할 수 있습니다.

지금 도입을 검토 중인 OT 설비와 공급업체는 2027년 CRA 시행 시점에 매끄럽게 대응할 준비가 되어 있습니까?

그 준비를 뒷받침할 안전한 개발 프로세스와 취약점 관리 체계는 서류가 아니라 실제로 검증되었습니까?

위존과 함께 OT 설비·공급업체의 CRA 대응 수준을 표준 기반의 아키텍처 관점에서 점검해보세요.

OT Network & Cybersecurity Partner, WeZON

(주)위존 MOXA 영업팀

위존 본사: 서울시 강남구 강남대로 308, 랜드마크타워 7층

대표번호 070-5126-8703   팩스 02-2182-8399   대표이메일 moxa@wezon.com

#CRA #OTCybersecurity #IEC62443 #SecureByDesign #VulnerabilityManagement #IndustrialNetworking #SupplyChainSecurity #핵심용어

원문 링크: https://www.moxa.com/en/articles/eu-cra-countdown-assess-ot-supply-chain-cybersecurity-early