---
title: 사이버 복원력 법(CRA)이 운영기술(OT) 산업에 미치는 영향
description: EU 사이버 복원력 법(CRA) 시행으로 OT 제품도 보안 내재화와 인증이 의무화됩니다. 설계 보안, 취약점 보고, 장기 업데이트 준비가 필수입니다.
image: https://blog.ssenstone.com/hubfs/Cyber%20Resilience%20Act%20CRA-2.webp
---
디지털 기능이 포함된 제품이라면 이제 보안은 ‘선택’이 아니라 ‘의무’입니다. 유럽연합(EU)의 사이버 복원력 법(CRA) 시행이 다가오면서, OT 산업 전반에도 변화의 바람이 불고 있습니다. 공장 자동화 장비, 에너지 설비, 교통 시스템 등 전통적인 OT 제품들도 앞으로는 ‘보안이 내장된 설계’(secure-by-design)가 기본이 되고, CE 마크와 유사한 보안 적합성 인증이 요구됩니다.
**CRA****란?**
CRA는 유럽 내에서 유통되는 모든 디지털 제품에 사이버보안 요건을 법적으로 명시한 새로운 규제입니다. 하드웨어든 소프트웨어든, 인터넷에 연결되거나 데이터를 처리하는 제품이라면 대상이 됩니다.
주요 요구사항은 다음과 같습니다:
- 설계단계부터 보안 내재화
- 제품 수명 주기 전반에 걸친 보안 유지
- 취약점 발생 시 24시간 이내 보고
- 보안 업데이트 최소 5년 제공
책임 주체는 제조사뿐 아니라 수입업자, 유통업자까지 포함되며, 제품에 따라 자체 적합성 선언 또는 제3자 인증 절차를 거쳐야 합니다.
**OT ****제품도 예외가 아니다**
지금까지 OT는 ‘운영 환경이 폐쇄적’이라는 이유로 규제 논의에서 상대적으로 비껴 있었습니다. 하지만 CRA는 제품의 사용 환경이 아닌 기능과 위험 수준에 따라 규정 적용 여부를 판단합니다.
즉, 연결되지 않은 장비라도 통신 기능이나 데이터 처리 기능이 있다면 CRA 대상이 될 수 있습니다. 다음과 같은 제품들도 CRA 적용 대상에 포함될 수 있습니다:
- PLC, RTU, IED 등 산업용 제어장비
- 게이트웨이, 통신모듈, 센서 등 IIoT 디바이스
- 운영 중인 보안 어플라이언스 (예: 방화벽, 인증 서버)
- 제어 시스템에 포함된 펌웨어 및 소프트웨어
**OT OEM****이 준비해야 할 것**
CE 인증을 받아야 하는 보안 대상 제품이라면, CRA 요구사항에 따라 다음과 같은 조치가 필요합니다:
1. 보안 리스크 평가 및 문서화
2. 제품 보안 설계 문서 (예: threat modeling)
3. 버그/취약점 리포팅 체계 운영 및 공개 채널 확보
4. 사용자 대상 보안 가이드 제공
5. 적합성 평가 후, CE 마크 표시
6. 유지보수 및 업데이트 계획 수립
OT 제품은 수명 주기가 길고 펌웨어 변경이 까다롭기 때문에, 초기 단계부터 이를 고려한 보안 설계와 문서 체계를 갖추는 것이 관건입니다.
**
**
**CRA****는 언제부터 시행되나?**
****
- 2024년 1월: CRA 공식 채택
- 2025년 중반: 구체 시행령 및 기술 표준 마련
- 2027년 초: 전면 적용 시작 (대부분 제품 대상)
현재 시점은 ‘전환 기간’에 해당하며, OT OEM 입장에서 보안 인증 전략을 수립하고 체계를 점검하기에 가장 적절한 시기입니다.
**앞으로의 보안은 '책임 있는 설계'로**
보안을 코드에만 맡기던 시대는 지났습니다. CRA는 보안을 기술의 일부가 아닌, 제품 책임의 일부로 간주하며 명확한 법적 의무로 규정하고 있습니다. OT 업계도 이제 "안전한 운영=보안이 반영된 설계와 관리"라는 인식 전환이 필요합니다. 이제는 점검하고 대비해야 할 때입니다.
## 관련 문서
[ ](https://blog.ssenstone.com/blog/ot-the-pivotal-role-of-identity?hsLang=ko)
[OTAC](https://blog.ssenstone.com/blog/tag/otac) [IAM](https://blog.ssenstone.com/blog/tag/iam) [PLC](https://blog.ssenstone.com/blog/tag/plc) [SSenStone](https://blog.ssenstone.com/blog/tag/ssenstone) [OT](https://blog.ssenstone.com/blog/tag/ot) [cybersecurity](https://blog.ssenstone.com/blog/tag/cybersecurity)
### [OT 사이버 보안에서 '신원'이 핵심인 이유](https://blog.ssenstone.com/blog/ot-the-pivotal-role-of-identity?hsLang=ko)
주요 인프라와 산업 시스템을 제어하는 OT(운영 기술) 환경은 점점 더 정교한 사이버 공격의 주요 대상이 되고 있습니다. 기존에는 OT 보안 전략이 네트워크 보안에만 집중돼 있었지만, 이제는 '신원(Identity)'이 중요한 보안 요소로 떠오르고 있습니다. 그 배경을 논할 때 빠뜨릴 수 없는...
[센스톤](https://blog.ssenstone.com/blog/author/센스톤)
[자세한 내용](https://blog.ssenstone.com/blog/ot-the-pivotal-role-of-identity?hsLang=ko)
[ ](https://blog.ssenstone.com/blog/otsecurity-it-ot?hsLang=ko)
[OTAC](https://blog.ssenstone.com/blog/tag/otac) [PLC](https://blog.ssenstone.com/blog/tag/plc) [SSenStone](https://blog.ssenstone.com/blog/tag/ssenstone) [OT](https://blog.ssenstone.com/blog/tag/ot) [cybersecurity](https://blog.ssenstone.com/blog/tag/cybersecurity) [NIS2](https://blog.ssenstone.com/blog/tag/nis2) [IEC62443](https://blog.ssenstone.com/blog/tag/iec62443) [CRA](https://blog.ssenstone.com/blog/tag/cra)
### [OT 보안이란? IT와 OT의 차이점](https://blog.ssenstone.com/blog/otsecurity-it-ot?hsLang=ko)
OT(운영기술) 보안에 대한 논의가 확산되면서 가장 자주 제기되는 질문 중 하나는 “IT 보안과 OT 보안은 무엇이 다른가”입니다. 네트워크가 연결돼 있고 시스템 접근을 통제해야 한다는 점에서 두 영역은 유사해 보이지만, 실제 산업 현장에서 반복되는 사고는 이 두 환경이 동일한 전제 위에 놓여 있지...
[센스톤](https://blog.ssenstone.com/blog/author/센스톤)
[자세한 내용](https://blog.ssenstone.com/blog/otsecurity-it-ot?hsLang=ko)
```json
{
"@context": "http://schema.org",
"@type": "Person",
"name": "센스톤", "ssenstone"
"url": "http://www.ssenstone.com",
"sameAs": [
"https://www.facebook.com/ssenstone",
"https://blog.naver.com/ssen_stone",
"https://www.youtube.com/channel/UCHIR31J0VTuogasYbu5Nwrg",
"https://www.linkedin.com/company/ssenstone"
]
}