CRA·RED 시대, 제품 사이버보안을 표준 시험으로 증명합니다
EU Cyber Resilience Act(CRA), RED 사이버보안 위임규정, IEC 62443-4-2, ETSI EN 18031-1 대응을 위한 요구사항 검토부터 공인 시험, 인증기관 제출까지 지원합니다.
IACS 구성품, 무선기기(RED 적용 대상), IoT·임베디드 기기, 산업용 소프트웨어 제조사의 규제 식별부터 시험, 인증 대응까지 단계별로 지원합니다.
자주 헷갈리는 지점
CRA, RED, IEC 62443-4-2, EN 18031-1 — 무엇을, 왜 봐야 하는가
제품에 통신 기능이나 소프트웨어가 포함되면 여러 규제와 표준이 동시에 관련될 수 있습니다. 어떤 규제가 적용되고, 어떤 표준으로 요구사항을 충족했음을 증명할지 정리가 필요합니다.
↓ 질문을 선택하면 GAC의 접근 방향을 확인할 수 있습니다 (Self-check)
GAC는 CRA·RED가 요구하는 사이버보안 필수요구사항을 IEC 62443-4-2, EN 18031-1 등 국제표준 시험 항목으로 연결하고, KOLAS 공인 시험성적서로 증빙 체계를 구축하는 기술 파트너입니다.
규제·표준 한눈에 보기
CRA · RED · IEC 62443-4-2 · EN 18031-1
적용 규제와 참조 표준을 구분해서 이해하면, 어떤 시험과 문서가 필요한지 훨씬 명확해집니다.
↓ 항목을 선택하면 상세 설명을 확인할 수 있습니다
CRA — Cyber Resilience Act (EU) 2024/2847
디지털 요소를 포함한 제품(PDE)의 사이버보안 요구사항을 설계부터 보안 업데이트, 취약점 대응까지 제품 전체 수명주기에 걸쳐 규정하는 EU 규정입니다. 2024년 12월 10일 발효되었으며, 취약점·인시던트 보고 의무는 2026년 9월 11일부터, 전면 적용(CE 마킹 포함)은 2027년 12월 11일부터 시행됩니다.
GAC는 제품이 어떤 규제(CRA·RED)의 적용을 받는지 먼저 식별하고, 해당 규제의 필수요구사항을 IEC 62443-4-2·EN 18031-1 시험 항목으로 매핑한 뒤, 공인시험소에서 시험성적서를 발행해 인증기관 제출까지 연결합니다.
역할 구분
GAC 수행 범위와 외부 협력이 필요한 영역
사이버보안 컴플라이언스는 기술 시험만으로 끝나지 않습니다. GAC가 직접 수행하는 항목과, 인증기관·법률 자문 등 외부 연계가 필요한 항목을 구분해 안내합니다.
GAC가 직접 수행하는 항목
- ✓IEC 62443-4-2 / EN 18031-1 시험 항목 검토 및 갭 분석
- ✓위협 모델링 및 보안 요구사항 정리
- ✓KOLAS 공인 시험 수행 및 시험성적서 발행
- ✓SBOM·보안 업데이트 정책 문서 검토
- ✓인증기관 제출용 evidence package 구성
인증기관·법률 자문 등 연계가 필요한 항목
- →CRA Class I·II 제3자 적합성평가(Notified Body 심사)
- →CE 마킹 및 EU 대리인(Authorized Representative) 지정
- →법적 책임 범위에 대한 법률 자문
- →ENISA·CSIRT 취약점 신고 창구 등록
GAC는 시험·기술 검토를 담당하며, 인증기관 심사와 법률 자문이 필요한 영역은 신뢰할 수 있는 파트너와 연계하여 지원합니다.
규제 타임라인
CRA · RED 주요 시행 일정
RED 위임규정 (EU) 2022/30 발효
EN 18031-1/-2/-3 관보(OJ) 게재
CRA (EU) 2024/2847 발효
RED 사이버보안 요구사항(3.3 d·e·f) 적용 개시
CRA 취약점·인시던트 보고 의무 시행
CRA 전면 적용 (CE 마킹 포함)
시행일 이후 EU 역내에 유통되는 제품은 유예기간 없이 요구사항을 충족해야 하므로, 설계·시험 준비는 최소 12개월 전 착수를 권장합니다.
GAC 지원 서비스
규제 식별부터 인증기관 제출까지, GAC가 지원하는 항목
적용성 검토 (Applicability Review)
제품 특성(무선 기능, IACS 구성품 여부, 데이터 처리 방식)을 기준으로 CRA·RED 적용 대상 여부와 Class를 판단합니다.
위협 모델링 및 보안 요구사항 정리
IEC 62443-4-2 FR1~FR7 및 EN 18031-1 항목을 기준으로 제품 아키텍처의 위협과 보안 기능 요구사항을 도출합니다.
IEC 62443-4-2 시험
임베디드·네트워크·호스트 기기 및 SW 애플리케이션 유형별 CR·RE 요구사항에 대한 시험을 수행합니다.
ETSI EN 18031-1 시험
네트워크 연결 무선기기의 접근제어, 인증, 업데이트 메커니즘, 로깅 등 공통 보안 요구사항을 시험합니다.
SBOM·보안 업데이트 문서화
CRA가 요구하는 SBOM, 취약점 처리 정책, 지원기간, CVD 정책 문서를 검토·보완합니다.
인증기관 제출 지원
시험성적서와 기술문서를 인증기관·시장감시기관이 요구하는 형식의 evidence package로 정리합니다.
진행 절차
GAC 사이버보안 컴플라이언스 진행 절차
산출물
제공되는 주요 산출물
제품 유형과 목표 시장에 따라 필요한 산출물 구성은 달라질 수 있으며, 최초 적용성 검토 단계에서 세부 범위를 함께 확정합니다.
Topics
자주 찾는 사이버보안 시험·인증
제품에 적용되는 요구사항과 시험 범위를 키워드별로 정리했습니다.
IEC 62443-4-2 시험
산업자동화제어시스템(IACS) 구성품(임베디드 장치, 네트워크 장치, 호스트 장치, 소프트웨어 애플리케이션)이 기술 보안 요구사항을 만족하는지 FR1~FR7 항목별로 시험하고 시험성적서로 제공합니다.
IEC 62443 시험기관
GAC는 KOLAS 국제공인시험기관으로서 IEC 62443-4-2 시험을 수행하고 시험성적서를 발행합니다. 시험 항목이 인정 범위에 해당하는지는 접수 시 확인해 안내드립니다.
산업용 사이버보안 시험
산업용 제어기기, 로봇 컨트롤러, 게이트웨이처럼 산업 현장에서 쓰이는 제품의 인증·접근 제어, 시스템 무결성, 데이터 보호, 가용성 요구사항을 시험합니다.
EN 18031-1 시험
인터넷에 연결되는 무선기기가 EN 18031-1(공통 보안 요구사항)을 만족하는지 시험합니다. RED 위임규정 (EU) 2022/30의 네트워크 보호 요구사항(Art 3.3(d))에 대응하는 표준입니다.
EN 18031 시험기관
GAC는 KOLAS 국제공인시험기관으로서 EN 18031-1 시험을 수행하고 시험성적서를 발행합니다. 인정 범위 해당 여부는 접수 시 확인해 안내드립니다.
RED 사이버보안 시험
RED 위임규정 (EU) 2022/30의 사이버보안 요구사항은 2025년 8월부터 적용됩니다. 해당 요구사항을 EN 18031 기준 시험 항목으로 연결해 시험하고 증빙을 정리합니다.
무선기기 사이버보안 시험
Wi-Fi, Bluetooth, 셀룰러 등 무선 통신 기능이 있는 기기의 접근 제어, 보안 업데이트, 통신·저장 데이터 보호 요구사항을 시험합니다.
CRA 사이버보안 컨설팅
EU 사이버 복원력법(CRA, (EU) 2024/2847)의 적용 여부를 검토하고, Annex I 필수 요구사항을 시험 항목과 증빙 자료로 연결합니다. 취약점 보고 의무는 2026년 9월 11일부터 적용됩니다.
FAQ