본문바로가기

정보보안 기술기업의 EU 사이버복원력법(CRA) 신고 대응 매뉴얼 검토 및 법률자문 제공

[자문 핵심 요약]

  • 의뢰인: 유럽 시장에 디지털 기술 기반 제품과 소프트웨어를 공급하는 정보보안 기술기업
  • 주요 쟁점: EU 사이버복원력법(CRA) 적용범위, 보안 취약점 및 중대 사이버보안 사고 신고의무, 이용자 통지
  • 자문 내용: CRA 신고 대응 매뉴얼 검토·정비, 관련 법령 해석 및 기업 내부 규제 대응체계에 관한 법률자문

EU 사이버복원력법 대응을 위한 법률자문

법무법인 민후(現 법무법인(유한) 원)는 정보보안 기술을 개발하고 해외 시장에 관련 제품과 소프트웨어를 공급하는 기업 고객사로부터 EU 사이버복원력법(Cyber Resilience Act, 이하 CRA)에 따른 보안 취약점 및 사이버보안 사고 신고 대응 매뉴얼에 관한 법률자문을 요청받았습니다.

고객사는 유럽 시장에서 적용되는 사이버보안 규제에 대비하여 내부 신고 대응절차와 담당 조직의 역할을 정비하고 있었으며, 관련 법령에 부합하는 업무처리 기준을 마련할 필요가 있었습니다.

특히 디지털 제품의 유형과 공급방식에 따라 규제 적용 여부가 달라질 수 있고, 보안 취약점이나 사고가 발생한 경우 신속한 판단과 후속조치가 요구될 수 있어 관련 사항을 종합적으로 검토해야 하는 사안이었습니다.

CRA 적용범위 및 제품 관련 법적 검토

EU CRA는 디지털 요소가 포함된 제품의 사이버보안과 관련하여 제조자 등 경제주체에게 일정한 의무를 부과하는 규제입니다.

기업이 여러 종류의 제품과 소프트웨어를 개발·공급하는 경우에는 각 제품의 특성과 시장 제공 형태 등을 고려하여 관련 법령의 적용 가능성을 확인할 필요가 있습니다.

법무법인 민후(現 법무법인(유한) 원)는 고객사가 제공한 자료를 바탕으로 CRA의 적용대상 및 주요 의무에 관한 법적 쟁점을 검토하였습니다.

또한 제품과 소프트웨어 구성요소의 공급방식, 관계 사업자의 법적 지위 및 해외 사업 운영과 관련된 사항을 종합적으로 살펴보고, 신고 대응 매뉴얼에 반영할 필요가 있는 법률사항을 정리하였습니다.

보안 취약점 및 중대 사고 신고의무 검토

CRA에 따른 신고의무는 제품의 사이버보안과 관련하여 발생한 사안의 성격 및 법령상 요건에 따라 판단해야 합니다.

따라서 기업은 보안 취약점이나 사고에 관한 정보를 확인하는 과정에서 신고대상 여부와 법정 절차, 관련 조직의 역할 등을 체계적으로 검토할 필요가 있습니다.

법무법인 민후(現 법무법인(유한) 원)는 CRA상 보안 취약점 및 중대 사이버보안 사고와 관련된 신고의무와 절차를 검토하였습니다.

아울러 신고와 관련된 법정 요건 및 기한, 관계기관과의 업무처리, 후속보고와 기록관리 등 주요 사항을 살펴보고, 고객사의 내부 업무체계와 관련 규정 사이의 정합성을 검토하였습니다.

이용자 통지 및 해외 관계기관 관련 법률자문

사이버보안 사고가 발생하면 관계기관에 대한 신고뿐 아니라 영향을 받는 이용자에게 필요한 정보를 전달하는 문제도 발생할 수 있습니다.

또한 여러 국가에서 제품을 공급하는 기업은 해외 관계기관 및 사업자와의 업무관계를 고려하여 적용 법령과 책임 범위를 검토해야 합니다.

법무법인 민후(現 법무법인(유한) 원)는 CRA에 따른 이용자 통지의무와 관련 법적 쟁점을 살펴보고, 해외 관계기관과의 신고 및 통지업무에 관한 규정을 검토하였습니다.

이와 함께 기업 내부의 담당 조직 및 외부 관계자 사이에서 발생할 수 있는 법적 책임과 업무 협조에 관한 사항을 살펴보았습니다.

신고 대응 매뉴얼 검토·정비 및 자문의 의의

법무법인 민후(現 법무법인(유한) 원)는 이번 자문에서 고객사의 EU CRA 신고 대응 매뉴얼을 검토하고, 관련 법령 및 운영상 검토사항을 반영한 수정본과 정리본을 제공하였습니다.

또한 매뉴얼 검토 과정에서 제기된 추가 법률질의에 대해 CRA 적용범위, 관계기관 신고 및 이용자 통지 관련 법률의견을 제공하였습니다.

이번 자문은 EU 시장에 제품을 공급하는 기업이 해외 사이버보안 규제에 대비하여 내부 신고 대응체계와 법률문서를 함께 검토하고, 향후 관련 의무를 이행하기 위한 법적 검토사항을 체계적으로 정리할 수 있도록 지원하였다는 점에서 의미가 있습니다.

자주 묻는 질문(Q&A)

Q. EU CRA는 하드웨어뿐 아니라 소프트웨어에도 적용되나요?

EU CRA는 일정한 하드웨어와 소프트웨어 등 디지털 요소가 있는 제품을 대상으로 합니다. 구체적인 적용 여부는 제품의 특성과 공급방식, 법령상 적용범위 등을 종합적으로 검토해야 합니다.

Q. 제품에서 보안 취약점이 발견되면 반드시 EU 관계기관에 신고해야 하나요?

모든 취약점의 발견이 곧바로 신고의무로 이어지는 것은 아닙니다. 해당 취약점이나 사고가 CRA에서 정한 신고대상 요건에 해당하는지 검토해야 합니다.

Q. EU CRA 신고 대응 매뉴얼을 마련할 때 어떤 사항을 검토해야 하나요?

신고대상 여부와 관련 절차, 법정 기한, 내부 담당 조직의 역할, 이용자 통지 및 기록관리 등 법령 준수에 필요한 사항을 종합적으로 검토해야 합니다.

최근 유사 업무사례
더보기 +