규제가 규격을 부른다 — RED 위임규정·EN 18031 제한 인용·CRA로 이어지는 지도

개념

모듈 25 레슨 8이 남긴 질문 — 차가 아니라 공유기라면

모듈 25 레슨 8에서 자동차 사이버보안이 규격(ISO/SAE 21434)과 법(UNECE R155)의 두 층 으로 움직인다는 것을 봤다. 규격은 무엇을 어떻게 하라고 말하고, 법은 그것을 하지 않으면 차를 팔 수 없게 만든다.

그런데 사이버 공격의 대부분은 자동차가 아니라 훨씬 흔한 물건을 통해 들어온다. 공유기, 스마트 플러그, 아기 모니터, 스마트워치, 태양광 인버터의 통신 모듈. 이런 기기에도 같은 두 층이 생겼다. EU는 무선 기능이 있는 연결형 기기에 사이버보안을 법적 요구사항으로 걸었고, 그 요구를 충족하는 방법으로 EN 18031 규격을 지정했다. 이 모듈은 그 구조 안에서 시험소와 제조사 QA가 무엇을 하는지 다룬다.

이 모듈에서 계속 나오는 이름 넷을 먼저 적어 둔다. 지금 외울 필요는 없다.

이름이 비슷해 헷갈리기 쉬운데, RED 는 무선 기기, CRA 는 디지털 제품 전반이라는 범위 차이만 잡아 두면 된다. 둘의 관계는 이 레슨 뒤쪽에서 다시 다룬다.

이 레슨은 지도다. 규격 조항을 읽기 전에 왜 이 규격이 필요해졌는지, 따르면 무엇이 보장되고 무엇이 보장되지 않는지 를 먼저 세운다. 이 순서를 건너뛰면 규격을 완벽하게 충족했는데도 제품을 출시할 수 없는 상황을 만난다. 실제로 그런 조항이 있다.

법이 요구하고 규격이 방법을 준다

EU 제품 규제는 대부분 같은 틀을 쓴다. 법은 필수 요구사항(essential requirements) 을 결과 중심으로 짧게 적는다. "네트워크에 해를 끼치지 않아야 한다" 같은 문장이다. 이 문장만으로는 무엇을 시험해야 할지 알 수 없으므로, 유럽 표준화 기구가 그 요구를 구체적인 요구사항과 평가 방법으로 풀어 조화 규격(harmonised standard) 을 만든다.

조화 규격이 EU 관보에 인용되면 효과가 하나 생긴다.

[법]  필수 요구사항 (결과 중심, 짧음)
          │
          │  표준화 요청
          ▼
[규격] 조화 규격 (요구사항 + 평가 방법)
          │
          │  EU 관보 인용
          ▼
[효과] 규격을 따르면 → 필수 요구사항을 충족한 것으로 "추정"
                        (presumption of conformity)

추정 이라는 단어가 핵심이다. 규격 적용은 의무가 아니다. 제조사는 다른 방법으로 필수 요구사항을 충족했음을 입증해도 된다. 다만 그 경우 입증 책임이 전부 제조사에게 있고, 대개 제3자 기관의 평가를 받아야 한다. 조화 규격은 그 입증을 표준화된 방식으로 줄여주는 통로 다.

RED 제3조 제3항 (d)(e)(f) — 세 조항, 세 보호 대상

EU 무선기기지침(Radio Equipment Directive, 2014/53/EU)은 원래 전파 간섭과 전기 안전을 다루는 법이다. 그런데 제3조 제3항에는 필요할 때 위임 입법으로 켤 수 있는 추가 요구사항 목록이 처음부터 들어 있었다. 사이버보안에 해당하는 것이 세 개다.

세 조항은 보호 대상이 다르다. (d)는 네트워크, (e)는 사람의 정보, (f)는 돈이다. 그래서 한 제품이 여러 조항에 동시에 걸릴 수 있다. 결제 기능이 있는 아동용 스마트워치는 세 파트를 모두 적용받는다.

다만 모든 무선기기가 대상은 아니다. 의료기기, 체외진단 의료기기, 형식승인을 받는 자동차처럼 다른 EU 법규가 사이버보안을 따로 다루는 제품군 은 위임 규정에서 제외했다. 제품이 대상인지부터 판정하는 것이 첫 작업이고, 그 판정 근거는 위임규정 원문의 적용 범위 조항이다.

스위치를 켠 날짜들

이 세 조항은 오래 꺼져 있다가 위임규정 (EU) 2022/30으로 켜졌다. 날짜를 순서대로 놓으면 구조가 보인다.

2022-01   위임규정 (EU) 2022/30 관보 게재 — 3(3)(d)(e)(f) 적용 대상 지정
          원래 적용일은 2024-08-01
2023      적용일을 1년 미루는 개정 — 규격이 준비되지 않았기 때문
2024      CEN·CENELEC JTC 13 이 EN 18031-1/2/3 발행
2025-01   시행결정 (EU) 2025/138 — EN 18031 세 파트를 관보에 인용
          단, 제한사항(restriction)을 붙여서
2025-08-01  위임규정 적용 시작 — 이날 이후 출시 제품은 충족 의무
2026-09-11  사이버복원력법(CRA) 신고 의무 시작
2027-12-11  CRA 전면 적용

두 번째 줄이 교훈적이다. 법이 먼저 날짜를 정하고 규격이 뒤따라오는데, 규격이 늦으면 법의 날짜가 밀린다. 그리고 규격이 나왔어도 관보 인용 과정에서 EU 집행위원회가 일부 조항을 받아들이지 않을 수 있다. 네 번째 줄이 그 경우다.

"제한을 붙인 인용"이 뜻하는 것

시행결정 2025/138은 EN 18031 세 파트를 조화 규격으로 인용하면서, 특정 조항에 대해서는 그 조항을 따라도 적합성 추정이 주어지지 않는다 고 명시했다. 핵심만 추리면 이렇다.

실무적인 의미는 명확하다. 규격의 요구사항을 모두 PASS로 통과한 성적서가 있어도, 제품 설계가 제한 조항에 해당하면 그 성적서만으로 자기적합선언을 할 수 없다.

제품이 3(3)(d)(e)(f) 대상인가?
  └─ 아니오 → 해당 조항 적용 없음
  └─ 예
       │
       EN 18031 해당 파트를 전부 적용했는가?
       │   └─ 아니오 → 조화 규격 추정 없음 → 제3자 기관(NB) 평가 경로
       │
       설계가 제한 조항에 걸리는가?
       │   예) 패스워드 없이 쓸 수 있는 설정이 있다
       │       완구인데 보호자 통제가 없다
       │       결제 기기인데 업데이트 보호가 한 겹뿐이다
       │   └─ 예 → 해당 요구에 대해 추정 없음 → NB 평가 경로
       │
       └─ 아니오 → 자기적합선언 경로 가능 (내부 생산 관리)

RED에서 자기적합선언은 부속서 II(내부 생산 관리), 제3자 경로는 부속서 III(EU 형식 시험 + 형식 적합)이나 부속서 IV(전면 품질보증)다. 경로가 바뀌면 일정과 비용이 달라지므로, 제한 조항 해당 여부는 개발 초기에 판정해야 하는 설계 결정 이 된다. 금융자산을 다루는 3(3)(f) 기기에 대해서는 6.3.2.4 제한 때문에 사실상 NB 평가가 필요하다고 안내하는 인증기관도 있다. 이런 해석은 기관마다 표현이 다르므로, 최종 판단은 관보 원문과 담당 NB 협의로 확정한다.

시험소 쪽에서 보면 — 세 종류의 산출물

이 구조에서 시험소가 내놓는 것은 성적서 한 장이 아니다.

① 규격 시험 성적서. 공개된 EN 18031-1 성적서들을 보면 형식이 대체로 정해져 있다. 요구사항마다 세 가지 평가(개념 평가·기능 완전성 평가·기능 충분성 평가) 의 결과를 줄 단위로 적고, 판정은 네 가지 기호로 표시한다.

P    요구사항을 충족함
F    요구사항을 충족하지 않음
N/A  시험 대상에 해당하지 않음   예) 네트워크 장비가 아니므로 해당 메커니즘 불요
N/E  규격상 수행이 필요 없음     예) 기능 완전성 평가가 충분성 평가에 포함됨

N/A와 N/E를 구분하는 것이 이 성적서의 특징이다. N/A는 제품의 성질 로 빠진 것이고, N/E는 규격의 구조 로 빠진 것이다. 모듈 31 레슨 3에서 판정 기준을 명시해야 한다고 한 것이 여기서는 이 네 기호의 정의로 표지에 박힌다. 같은 성적서에는 시험에 쓴 도구와 버전(포트 스캐너·패킷 분석기·취약점 스캐너 등), 펌웨어 버전, 시험 기간이 적히고, 파생 모델을 원 성적서에 기대어 발행하는 경우 모델 간 차이와 추가로 수행한 항목 이 명시된다.

② 제한 조항 해당 여부 판단 기록. 성적서가 PASS여도 제조사가 자기적합 선언을 할 수 있는지는 별개다. 시험소가 제한 조항 해당 여부를 검토해 의견을 주면 제조사의 경로 결정이 빨라진다. 이것은 모듈 32 레슨 6에서 본 의견과 해석(17025 7.8.7) 에 해당하므로, 권한 있는 사람이 근거와 함께 판정과 구분해 적어야 한다.

③ NB 제출용 기술 문서 지원. 제3자 경로로 가면 NB가 기술 문서를 검토한다. EN 18031은 문서 요구가 무겁다. 위험 평가, 자산 식별, 인터페이스 목록, 메커니즘 적용·비적용 근거가 전부 필요하고, 시험소의 시험 결과는 그 문서 묶음 안의 증거 한 부분이 된다.

CRA — 무선이 아닌 제품까지 넓어지는 다음 단계

RED 위임규정은 무선 기기에만 걸린다. 유선 전용 NAS나 PC용 소프트웨어는 빠진다. 이 빈틈을 메우는 것이 사이버복원력법(Cyber Resilience Act, 규정 (EU) 2024/2847)이다. 디지털 요소를 가진 제품 전반에 사이버보안 필수 요구사항과 취약점 처리 의무 를 건다.

CRA는 날짜가 두 개다.

첫 번째 날짜는 이미 지났다. ENISA의 단일 신고 플랫폼도 그에 맞춰 가동을 시작했다. 그리고 신고 의무는 RED 위임규정에 없던 것이다. 여기서 QA에게 중요한 점이 있다. 신고 의무는 출시 전 시험으로 충족할 수 없다. 출시 후 운영 프로세스 — 취약점 접수, 영향 판정, 시간 내 보고, 수정 배포 — 가 있어야 한다. 모듈 37에서 다룰 인시던트·문제 관리가 규제 요구로 바뀌는 지점이다.

RED 위임규정과 CRA의 관계는 CRA 전면 적용 시점에 무선기기 사이버보안 요구가 CRA 쪽으로 옮겨가는 방향으로 해설되고 있다. 전환기의 구체적인 적용 규칙은 출시 시점의 법령 원문으로 확인한다. 실무 조언은 대체로 일치한다 — EN 18031 평가에서 만든 위험 평가·자산 목록·시험 증거를 CRA 기술 문서로 재사용할 수 있게 처음부터 한 벌로 관리하라 는 것이다.

국내에서 만나는 같은 구조

국내에도 같은 발상의 제도가 있다. 「정보통신망법」 제48조의6에 근거한 정보통신망연결기기등 정보보호인증(IoT 보안인증) 이다. 법정 인증으로 개편된 뒤 인증 기준을 고시로 정했고, 보안 요구 수준에 따라 라이트·베이직·스탠다드 세 등급으로 나뉜다. 차이는 EU와 달리 임의 인증 이라는 점이다. 받지 않아도 판매할 수 있지만, 공공 조달이나 통신사 납품에서 요구받는다.

수출 기업의 QA는 두 체계를 동시에 만난다. 같은 기기를 두고 EU 제출용 EN 18031 증거와 국내 인증 증거를 따로 만들면 일이 두 배가 되므로, 요구사항 대응표를 한 장으로 유지 하는 것이 이 모듈 전체의 실무 원칙이다.

이 모듈의 지도

레슨 24가 소비자 기기, 레슨 56이 산업 제어다. 두 세계는 규격 계보가 다르지만 "어떤 자산을, 어떤 공격자 수준에 대해, 어떤 메커니즘으로 보호하는가" 라는 같은 질문으로 읽힌다.

실무에서 왜 필요한가

이 지도가 없으면 세 가지 사고가 난다.

첫째, 규격을 통과했는데 출시가 막힌다. 개발팀이 사용자 편의를 위해 "패스워드 없이 사용" 옵션을 넣었고, 시험소 성적서는 전부 PASS였다. 출시 직전에 제한 조항 해당이 드러나 NB 평가 일정이 추가된다. 제한 조항은 요구사항 명세 단계의 체크리스트 에 들어가 있어야 하는 항목이다. 모듈 2에서 요구사항과 테스트를 잇는 법을 배웠는데, 여기서는 규제 조항 → 설계 제약 → 테스트 케이스 로 한 단계가 더 붙는다.

둘째, 대상 판정을 틀린다. "블루투스만 되니까 인터넷 연결 기기가 아니다"라고 판단했는데, 스마트폰 앱을 거쳐 클라우드와 통신한다면 "다른 기기를 거쳐" 인터넷과 통신하는 경우에 해당할 수 있다. 대상 판정의 근거를 문서로 남기지 않으면 시장 감시 당국의 질문에 답할 수 없다.

셋째, 출시 후를 준비하지 않는다. CRA 신고 의무는 이미 시작됐다. 취약점 제보를 받을 창구, 24시간 안에 영향 여부를 판정할 담당, 보고 양식이 없으면 법 위반은 시험과 무관한 곳에서 생긴다.

시험기관 쪽에서는 이 지식이 영업과 직결된다. 제조사의 첫 질문은 "EN 18031 시험 해 주세요"가 아니라 "우리 제품이 뭘 받아야 하나요" 다. 레슨 1의 판정 흐름을 설명할 수 있는 시험원이 계약을 가져온다.

채용시장에서의 위치

2025년 8월 RED 위임규정 적용을 앞두고 국내 시험기관들이 EN 18031·EN 303 645· IEC 62443 계열로 KOLAS 인정범위를 넓혔다는 발표가 이어졌다. 사이버보안 시험 인력 수요는 시험기관, 수출 제조사의 인증 대응 조직, 보안 컨설팅사 세 곳에서 나온다. 공고에는 "RED 사이버보안 대응", "EN 18031 시험", "CRA 대응"이 나란히 적히는 경우가 많다.

이 영역에서 희소한 것은 규제 문장을 설계 제약으로 번역하는 능력 이다. 침투 테스트를 할 수 있는 사람은 있지만, 관보의 제한 조항을 읽고 "이 설정 화면 하나 때문에 적합성 평가 경로가 바뀝니다"라고 개발 초기에 말할 수 있는 사람은 적다.

실습 과제

과제 1 — 대상 판정 (15분)

아래 다섯 제품이 3(3)(d)(e)(f) 중 어디에 해당하는지, 또는 해당하지 않는지 판정하고 근거를 한 줄씩 적는다.

A. Wi-Fi 스마트 플러그 — 앱으로 원격 켜기/끄기, 사용량 기록
B. 아동용 LTE 스마트워치 — 위치 공유, 보호자 통화, 간편결제 충전
C. 유선 이더넷 전용 NAS — 무선 모듈 없음
D. 블루투스 혈당측정기 — 스마트폰 앱으로 전송, 의료기기 허가 대상
E. 태양광 인버터용 Wi-Fi 데이터 수집 모듈 — 발전량을 클라우드로 전송

해설

• A 는 (d). 사용 기록이 특정인과 연결되는 개인정보라면 (e)도 검토한다
• B 는 (d)(e)(f) 전부. 착용형이자 개인정보(위치)를 처리하고 금전적 가치를 다룬다. 게다가 아동 대상이라 (e)의 보호자 통제 제한 조항까지 검토 대상이다
• C 는 무선 모듈이 없으므로 RED 대상이 아니다. 대신 CRA 의 대상이 될 수 있다
• D 는 의료기기 법규가 따로 다루는 제품군으로 위임규정에서 제외된다. 사이버보안이 면제되는 것이 아니라 다른 법의 요구 를 받는다
• E 는 (d). 가정용 설비와 연결된 계정 정보를 다룬다면 (e)도 검토한다

과제 2 — 제한 조항 판정 (15분)

아래 설정 화면 명세를 읽고, 적합성 평가 경로(자기적합선언 가능 / NB 평가 필요)를 판정한다.

[초기 설정 마법사]
1. 기기 이름 입력
2. Wi-Fi 연결
3. 관리자 패스워드 설정   ← [나중에 설정] 버튼 있음
4. 자동 업데이트 켜기     ← 기본값 켜짐, 끌 수 있음

판정 뒤, 자기적합선언 경로를 유지하려면 설계를 어떻게 바꿔야 하는지 두 가지 대안을 적는다. 각 대안이 사용성에 주는 비용도 함께 적는다.

과제 3 — 규제 일정 역산 (10분)

2027년 12월에 EU 시장 출시를 목표로 하는 무선 스마트 도어락이 있다. 출시 시점에 어떤 법규가 적용될지, 개발 일정 중 어느 시점까지 무엇을 확정해야 하는지 표로 만든다. 전환기 규칙처럼 원문 확인이 필요한 칸은 "확인 필요"로 남긴다.

과제 4 (선택) — 신고 준비도 점검 (15분)

자기 조직(또는 가상의 IoT 제조사)에서 "실제로 악용되는 취약점을 인지했다"는 사건이 금요일 밤 11시에 발생했다고 가정한다. 24시간·72시간·14일 마감을 지키기 위해 누가, 어떤 정보를, 어디에 보고하는지 절차를 한 장으로 적는다. 막히는 칸이 곧 조직의 공백이다.

자가 체크리스트

• 필수 요구사항과 조화 규격의 관계, "적합성 추정"의 의미를 설명할 수 있다
• 조화 규격 적용이 의무가 아니라는 것과, 적용하지 않을 때의 입증 부담을 안다
• RED 3(3)(d)(e)(f)의 보호 대상과 대응 EN 18031 파트를 짝지을 수 있다
• 한 제품이 여러 조항에 동시에 걸리는 예를 들 수 있다
• 위임규정 적용일(2025-08-01)과 적용이 한 번 연기된 이유를 안다
• 시행결정 2025/138의 제한 조항 중 패스워드·보호자 통제·금융 업데이트 제한을 설명할 수 있다
• 제한 조항 해당 시 적합성 평가 경로가 어떻게 바뀌는지 판정 흐름으로 그릴 수 있다
• EN 18031 성적서의 P·F·N/A·N/E 구분을 설명할 수 있다
• 시험소가 제한 조항 해당 여부를 의견으로 줄 때 17025의 어느 요구를 따라야 하는지 안다
• CRA의 신고 의무 시작일과 전면 적용일, 신고 마감(24시간·72시간·14일/1개월)을 안다
• 신고 의무가 출시 전 시험으로 충족되지 않는 이유를 설명할 수 있다
• 국내 IoT 보안인증의 근거 법 조항과 세 등급, EU 제도와의 성격 차이를 안다

흔한 실수

규격 PASS를 출시 허가로 읽는다. 제한 조항에 해당하는 설계라면 성적서가 전부 PASS여도 자기적합선언을 할 수 없다. 성적서와 경로 판정은 별개의 산출물이다.

"블루투스 기기는 인터넷 연결이 아니다"라고 단정한다. 다른 기기를 거쳐 인터넷과 통신하는 경우도 대상이 될 수 있다. 판정 근거를 통신 경로도로 남긴다.

제외 대상을 면제 대상으로 이해한다. 의료기기가 위임규정에서 빠진 것은 다른 법규가 사이버보안을 요구하기 때문이다. 요구가 사라진 것이 아니다.

N/A와 N/E를 섞어 쓴다. 제품 성질로 빠진 것과 규격 구조로 빠진 것은 근거가 다르다. 섞으면 평가자가 누락과 생략을 구분할 수 없다.

CRA를 2027년 일로 미룬다. 신고 의무는 2026년 9월 11일에 이미 시작됐다. 전면 적용일만 보고 준비를 미루면 첫 사건에서 마감을 놓친다.

규격 해설 자료를 원문처럼 인용한다. 제한 조항의 범위·NB 필요 여부에 대한 해설은 기관마다 표현이 다르다. 계약·출시 판단의 근거는 관보 원문으로 적는다.

참고 자료

• Commission Implementing Decision (EU) 2025/138 — EN 18031 인용과 제한사항 (EUR-Lex PDF)
• Understanding Implementing Decision (EU) 2025/138 — 파트별 제한 조항 정리 (Ezurio)
• Guidance for RED-DA Restrictions in EN 18031 Harmonized Standards (DEKRA PDF)
• RED Cybersecurity: Scope, EN 18031, Deadlines (SCHUTZWERK)
• RED vs CRA — 무엇이 언제 적용되는가 (Regulatory Decoded)
• EN 18031: Understanding Standard — 메커니즘과 세 가지 평가 (Applus+ Laboratories PDF)
• Cyber Resilience Act — Reporting obligations (European Commission)
• The CRA Single Reporting Platform is launched (ENISA)
• 정보통신망법 제48조의6 정보통신망연결기기등에 관한 인증 (CaseNote)
• IoT 보안인증 소개 (정보보호산업진흥포털)
• 아이씨알, KOLAS 사이버보안 분야 시험 인정범위 확대 (데일리시큐)
• 이 커리큘럼 안: 모듈 25 레슨 8 「자동차 사이버보안」, 모듈 31 레슨 3 「판정 기준」, 모듈 32 레슨 6 「의견과 해석」·레슨 7 「인정범위 목록 읽기」