우리 소프트웨어가 유럽에 나간다면 남의 일이 아닙니다
EU 사이버복원력법(Cyber Resilience Act, CRA)은 2024년 12월 발효되었습니다. 유예 기간이 남았다고 안심하기에는 일정이 촘촘합니다.
적용 대상은 '디지털 요소가 포함된 제품(Product with Digital Elements)'을 EU 시장에 출시하는 제조·수입·유통 사업자입니다. 완성형 소프트웨어만 해당하는 것이 아닙니다. 펌웨어가 탑재된 임베디드 기기, 산업용 제어 소프트웨어, 클라우드와 연동되는 IoT 제품까지 사정권이 넓습니다. 국내 설비 제조사가 유럽 바이어에 납품하는 장비의 HMI 소프트웨어도 예외가 아닙니다.
SBOM이 요구하는 정보의 수준
CRA 부속서 I은 제조사가 제품 구성 요소를 식별·문서화하고, 기계 판독이 가능한 일반적 포맷의 SBOM을 최소한 최상위 종속성까지 작성하도록 요구합니다. 실무에서는 다음 정보가 필요합니다.
핵심은 평시에 만들어 두어야 한다는 점입니다. 당국 요청을 받은 뒤에 과거 릴리스의 구성 목록을 복원하는 일은 사실상 불가능합니다. 포맷은 SPDX 또는 CycloneDX 중 하나를 표준으로 정하고, Syft나 cdxgen 같은 도구를 CI/CD에 붙여 빌드 시점마다 자동 생성하는 방식이 현실적입니다. 릴리스 아티팩트와 SBOM을 동일한 버전 태그로 묶어 보관해야 추적이 가능합니다.
취약점 보고 의무의 실무 부담
2026년 9월부터 적용되는 보고 의무는 기한이 짧습니다.
보고 대상은 조정자 역할을 하는 CSIRT와 ENISA이며, 단일 보고 플랫폼을 통해 접수됩니다. ENISA가 운영하는 유럽 취약점 데이터베이스(EUVD)까지 고려하면 관리 지점이 늘어납니다. 24시간이라는 기한은 기술 문제가 아니라 조직 문제입니다. 누가 '실제 악용'을 판단하고, 누가 서명해서 제출하며, 담당자 부재 시 누가 대신하는지를 문서로 정해두지 않으면 기한을 지킬 수 없습니다.
SBOM만으로는 공급망 공격이 줄지 않는 이유
목록을 만들었다는 사실 자체가 보안을 개선하지는 않습니다. 흔히 다음 상태에서 멈춥니다.
판단 기준은 단순합니다. 오늘 심각도 9점대 CVE가 공개되었을 때, 영향받는 제품 목록을 몇 분 안에 뽑을 수 있는지 확인해 보시기 바랍니다. 몇 분이 아니라 며칠이 걸린다면 SBOM이 자산이 아니라 파일 더미로 남아 있는 것입니다.
지금 시작하는 3단계
1단계 — 제품 인벤토리와 적용 판정: 보유 제품·모듈을 나열하고 EU 출시 여부, 제품 분류(일반/중요/핵심), 최소 5년의 지원 기간 산정 기준을 정리합니다.
2단계 — SBOM 자동화: CI/CD 파이프라인에 SBOM 생성·서명·보관 단계를 추가하고, 릴리스마다 아티팩트와 함께 저장합니다.
3단계 — 절차와 계약 정비: 취약점 모니터링, 패치 SLA, 보고 담당자와 대체자, 협력사 SBOM 제출 의무 조항을 문서화합니다.
POLYGLOTSOFT의 접근
POLYGLOTSOFT는 기존 빌드 파이프라인을 갈아엎지 않고 SBOM 생성·검증 단계를 통합하는 방식을 권장합니다. 외주·협력사 산출물까지 포함한 컴플라이언스 체계를 함께 설계하고, 구독형 개발과 SM 서비스를 통해 2026년 9월과 2027년 12월이라는 규제 일정에 맞춰 지속적으로 대응해 드립니다. 대응 범위를 어디까지 잡아야 할지 판단이 서지 않으신다면, 제품 인벤토리 점검부터 부담 없이 문의해 주시기 바랍니다.