사이버 복원력 법(CRA)이 운영기술(OT) 산업에 미치는 영향

CRA란?

CRA는 유럽 내에서 유통되는 모든 디지털 제품에 사이버보안 요건을 법적으로 명시한 새로운 규제입니다. 하드웨어든 소프트웨어든, 인터넷에 연결되거나 데이터를 처리하는 제품이라면 대상이 됩니다.

주요 요구사항은 다음과 같습니다:

• 설계단계부터 보안 내재화
• 제품 수명 주기 전반에 걸친 보안 유지
• 취약점 발생 시 24시간 이내 보고
• 보안 업데이트 최소 5년 제공

책임 주체는 제조사뿐 아니라 수입업자, 유통업자까지 포함되며, 제품에 따라 자체 적합성 선언 또는 제3자 인증 절차를 거쳐야 합니다.

OT 제품도 예외가 아니다

지금까지 OT는 ‘운영 환경이 폐쇄적’이라는 이유로 규제 논의에서 상대적으로 비껴 있었습니다. 하지만 CRA는 제품의 사용 환경이 아닌 기능과 위험 수준에 따라 규정 적용 여부를 판단합니다.

즉, 연결되지 않은 장비라도 통신 기능이나 데이터 처리 기능이 있다면 CRA 대상이 될 수 있습니다. 다음과 같은 제품들도 CRA 적용 대상에 포함될 수 있습니다:

• PLC, RTU, IED 등 산업용 제어장비
• 게이트웨이, 통신모듈, 센서 등 IIoT 디바이스
• 운영 중인 보안 어플라이언스 (예: 방화벽, 인증 서버)
• 제어 시스템에 포함된 펌웨어 및 소프트웨어

OT OEM이 준비해야 할 것

CE 인증을 받아야 하는 보안 대상 제품이라면, CRA 요구사항에 따라 다음과 같은 조치가 필요합니다:

1. 보안 리스크 평가 및 문서화
2. 제품 보안 설계 문서 (예: threat modeling)
3. 버그/취약점 리포팅 체계 운영 및 공개 채널 확보
4. 사용자 대상 보안 가이드 제공
5. 적합성 평가 후, CE 마크 표시
6. 유지보수 및 업데이트 계획 수립

OT 제품은 수명 주기가 길고 펌웨어 변경이 까다롭기 때문에, 초기 단계부터 이를 고려한 보안 설계와 문서 체계를 갖추는 것이 관건입니다.

CRA는 언제부터 시행되나?

• 2024년 1월: CRA 공식 채택
• 2025년 중반: 구체 시행령 및 기술 표준 마련
• 2027년 초: 전면 적용 시작 (대부분 제품 대상)

현재 시점은 ‘전환 기간’에 해당하며, OT OEM 입장에서 보안 인증 전략을 수립하고 체계를 점검하기에 가장 적절한 시기입니다.

앞으로의 보안은 '책임 있는 설계'로