사이버 복원력법

규정 (EU) 2024/2847과 eSeGeCe 컴포넌트 라이브러리. 최종 업데이트: 2026년 8월

CRA의 현재 진행 상황

규정 (EU) 2024/2847은 2024년 12월 10일에 발효되었으나, 의무는 단계적으로 적용됩니다.

2026년 6월 11일. 적합성 평가 기관 통보에 관한 규칙이 시행되어, 평가를 위한 기반이 비로소 존재하기 시작합니다.

2026년 9월 11일. 제조자는 실제로 악용되고 있는 취약점과 중대한 사고를 ENISA 및 관할 CSIRT에 신고해야 합니다. 24시간 이내 조기 경보, 72시간 이내 보다 상세한 신고, 시정 조치가 마련되면 최종 보고서를 제출합니다.

2027년 12월 11일. 필수 사이버보안 요구사항, 취약점 처리 요구사항, 기술 문서, EU 적합성 선언, CE 마킹이 전면 적용됩니다.

2027년 12월 이전에는 시장의 어떤 제품도 CRA 적합성 선언을 갖고 있지 않습니다. 그것을 발급하는 체계 자체가 아직 구축 중이기 때문입니다. 오늘 CRA 적합성 평가를 완료했다고 주장하는 공급업체가 있다면, 아직 존재하지 않는 것을 말하고 있는 것입니다. 지금 저희가 할 수 있는 일, 그리고 이 페이지의 목적은, 고객의 자체 평가에 필요한 근거 자료를 제공하는 것입니다.

eSeGeCe 컴포넌트는 적용 대상인가

그렇습니다. 상업적으로 공급되는 소프트웨어 라이브러리는 그 자체로 디지털 요소를 갖춘 제품이므로, eSeGeCe 컴포넌트는 이 규정의 적용 범위에 들어가며 저희가 그 제조자입니다. 이는 고객이 시장에 출시하는 제품에 대한 고객 자신의 의무와는 별개입니다.

제품 분류

eSeGeCe 컴포넌트 라이브러리는 규정의 부속서 III에도 부속서 IV에도 열거되어 있지 않습니다. 운영체제, 하이퍼바이저, 컨테이너 런타임, 방화벽, 침입 탐지 시스템, VPN, 신원 관리 시스템, 비밀번호 관리자, 부트 관리자, 공개키 기반구조, 네트워크 관리 시스템, 그 밖의 어떤 중요 또는 핵심 등급에도 해당하지 않습니다.

따라서 기본 범주에 속하며, 적합성은 인증기관이 아니라 제조자가 모듈 A의 내부 통제 절차에 따라 확립합니다. 고객의 문서 관점에서 이는, 저희 컴포넌트를 통합한다는 사실만으로 고객 제품이 더 높은 적합성 평가 등급으로 올라가지는 않는다는 뜻입니다. 고객 제품의 분류는 그 제품이 무엇을 하는지에 따라 정해집니다.

책임의 구분

고객은 EU 시장에 출시하는 제품의 제조자이며, 그 제품의 CE 마킹과 적합성 선언은 고객의 몫입니다. 저희와 고객의 관계는 두 조항이 규율합니다.

제13조 제5항. 서드파티에서 조달한 구성 요소를 통합할 때 그것이 제품의 사이버보안을 저해하지 않도록 상당한 주의를 기울여야 합니다. 아래 자료가 바로 그 목적으로 저희가 제공하는 것입니다.

제13조 제6항. 통합한 구성 요소에서 취약점을 발견하면 그 구성 요소를 유지관리하는 주체에게 신고해야 합니다. 저희 코드의 경우 그 창구는 취약점 공개 정책에 안내되어 있습니다.

실사를 위해 저희가 제공하는 것

전체 소스 코드. 모든 라이선스에는 사용하시는 컴포넌트의 Delphi 및 C++ Builder 전체 소스가 포함됩니다. 바이너리를 믿으라고 요구하지 않으며, 출시하시는 모든 것을 검토하고 감사하고 계측하고 다시 빌드하실 수 있습니다. 부속서 I 평가에서 이는 컴포넌트 공급자가 제시할 수 있는 가장 강력한 근거이며, 대부분의 상용 컴포넌트 공급업체는 이를 제공하지 않습니다.

요청 시 제공되는 SBOM. 부속서 I 제2부 제1항은 최소한 최상위 종속 항목을 포함하는 자재 명세서를 작성해 기술 문서에 보관할 것을 요구하며, 공개를 요구하지는 않습니다. 저희는 릴리스마다 CycloneDX 형식으로 이를 관리하고 요청 시 제공하므로, 고객 자산 목록에 바로 반영하실 수 있습니다. 보안 페이지를 통해 요청해 주십시오.

협력적 취약점 공개 정책. 단일 연락 창구, 접수 확인 및 평가 목표 기한, 공개 유예 기간을 갖추어 공개되어 있으며, 부속서 I 제2부 제5항의 요구를 충족합니다.

문서화된 변경 이력. 모든 릴리스에는 보안 관련 변경을 포함해 무엇이 바뀌었는지 기록한 이력 파일이 함께 제공되므로, 무엇이 언제 수정되었는지에 대한 서면 기록을 갖게 됩니다.

지원 기간. 주요 버전에 대한 보안 수정은 출시일로부터 최소 5년간 제공되며, 이는 제13조 제8항의 최소 요건을 충족합니다.

기본값이 안전한 설계

부속서 I 제1부는 제품이 안전한 기본 설정으로 제공되고, 서비스 거부로부터 스스로를 보호하며, 공격 표면이 최소화될 것을 요구합니다. 이 작업은 이미 제품에 반영되어 있습니다. 최근 릴리스에서 WebSocket 서버는 수신 제어 프레임의 속도를 제한하고, 무제한으로 받아들이는 대신 동시 연결 수에 상한을 두게 되었으며, HTTP/2 서버에는 최대 요청 본문 크기가 추가되었고, MCP 서버를 호출할 수 있는 브라우저 출처가 제한되었습니다. 전송 보안은 OpenSSL로, 또는 Windows에서는 배포할 외부 라이브러리가 전혀 필요 없는 SChannel로 제공됩니다. 이러한 기본값을 강화한 것은 그것이 옳은 기본값이기 때문이며, 마감 기한이 요구해서가 아닙니다.

준비 중인 사항

위 기한에 대비해 저희는 부속서 VII에 기술된 기술 문서, 부속서 V의 EU 적합성 선언, 저희에게 해당하는 범위의 CE 마킹, 부속서 II의 사용자 대상 정보 및 지침, 그리고 2026년 9월부터 시작되는 제14조 신고 의무를 위한 내부 절차를 준비하고 있습니다. 완료되는 대로 결과를 이곳에 공개하겠습니다. 이 규정의 조화 표준은 아직 제정 중이며, 마련되는 즉시 그에 맞추겠습니다.