[Moxa Tech Article] CRA 카운트다운: OT 공급망의 사이버보안, 지금부터 점검해야 하는 이유
"오늘 구매한 OT 설비, 2027년 CRA 시행일에 정말 준비되어 있습니까?"
막대한 비용을 들여 자동화 생산라인을 구축했는데, 정작 디지털 요소가 포함된 부품들이 사이버복원력법(CRA)의 사이버보안
요건을 충족하지 못한다는 사실을 뒤늦게 발견한다면 어떻게 될까요?그 결과는 값비싼 재설계, 출시
지연, 심지어 시스템 전체 재설계로 이어질 수 있습니다.CRA 시행이 가까워지고
있지만, 많은 시스템 통합업체(SI)와 최종 사용자들은 여전히
관망하는 자세를 취하고 있습니다. "조화표준이 아직 확정되지 않았으니, 명확해지면 그때 검토하겠다"는 것이 일반적인 분위기입니다.하지만 현실은 다릅니다. CRA는 2027년 12월부터 시행되며, 표준 확정과 시행 사이의 간격은 약 1년에 불과합니다. 안정성·장기 수명·복잡한
상호 의존성을 중시하는 OT 시스템에게 1년은 결코 충분한 시간이 아닙니다.정적인 체크리스트 방식의 컴플라이언스 점검도 점점 의미를 잃어가고
있습니다. 표준 확정을 수동적으로 기다리기보다, 공급업체와
함께 "사이버보안 적합성"을 선제적으로
평가하는 것이 훨씬 실질적인 전략입니다.먼저 알아두면 좋은 핵심 용어●
CRA(Cyber Resilience Act, 사이버복원력법): 디지털 요소가 포함된 제품의 사이버보안 요건을 규정한 EU 법안으로, 2027년 12월부터
전면 시행됩니다.●
Secure by Design(시큐어 바이
디자인): 제품 완성 후 보안 기능을 추가하는 것이
아니라, 요구사항·설계 단계부터 보안을 내재화하는 개발 방식입니다.●
IEC 62443-4-1: 제조사의 "안전한 개발 프로세스(라이프사이클)"를 평가하는 국제 표준입니다.●
IEC 62443-4-2: 개별 제품이 갖춰야 할 기술적 보안 기능(식별·인증, 접근 제어, 데이터
보호 등)을 규정한 국제 표준입니다.●
조화표준(Harmonized Standard): EU 법령 요건 충족으로 추정받을 수 있는 근거가 되는 유럽 표준으로,
CRA 관련 다수가 아직 초안(prEN) 단계입니다.●
취약점 관리(Vulnerability
Management): 취약점의 접수·분석·패치·공개에 이르는 지속적 대응 체계로, CRA는 최소 5년간의 지원을 요구합니다.공급업체 준비도를 가늠하는 세 가지 기준산업용 커넥티비티·OT 사이버보안
분야를 선도하는 기업으로서, 공급업체의 미래 컴플라이언스 준비 수준을 평가할 때 다음 세 가지 핵심
기준을 제안합니다. 이 기준들은 기존 국제 표준과 EU가
공개한 초안을 근거로 합니다.
기준
핵심 질문
관련 표준
① 안전한 개발 프로세스
보안을 설계 단계부터 내재화(Secure by Design)하고
있는가?
IEC 62443-4-1
② 제품 보안 요구사항
식별·인증, 접근 제어, 데이터 보호 등 핵심 보안 기능을 갖췄는가?
IEC 62443-4-2
③ 취약점 관리
취약점 접수부터 공개까지 5년 이상 대응 체계를 운영하는가?
ISO/IEC 30111, 29147
① 안전한 개발 프로세스가 공급업체의 근간에 자리 잡고 있는가?CRA 부속서 I Part I.에 상응하는 부분으로, 앞선 제조사들은 완성된 제품에
보안 기능을 추가하는 방식이 아니라, 설계 단계부터 보안을 내재화하는
'시큐어 바이 디자인'을 실천하고 있습니다.장비를 평가할 때 핵심 질문은 공급업체가 IEC 62443-4-1 인증을 보유하고 있는지 여부입니다. 이는
요구사항 정의부터 라이프사이클 관리 전반에 걸쳐 OT 보안을 핵심 고려사항으로 삼고 있다는 지표입니다.공급업체가 EN IEC
62443-4-1:2018/prAA:2026과 prEN 40000-1-2의 공개 초안을
인지·검토하고 있는지도 확인해야 합니다. 안전한 개발 라이프사이클의
성숙도 역시 중요한 지표입니다. 예를 들어 성숙도 레벨 3은
제조사가 보안 관리를 핵심 사업 운영 체계에 내재화했다는 의미입니다.② 제품 자체가 제품 보안 요구사항을 충족하는가?IEC 62443-4-2는
시스템 인수 또는 공급업체 선정 시 핵심 보안 기능—식별 및 인증, 접근
제어, 시스템 무결성, 데이터 보호, 보안 이벤트 로깅, 펌웨어 보호—을
평가할 수 있는 실질적인 방법을 제공합니다.새롭게 부상하는 두 표준,
prEN 40000-1-4와 EN IEC 62443-4-2:2019/prAA:2026도
면밀히 모니터링할 것을 권장합니다. CRA는 또한 EN 50770 시리즈처럼
특정 제품군(예: 방화벽,
라우터 등)에만 적용되는 전용 표준(이른바 "수직 표준", 모든 제품에 공통 적용되는 "수평 표준"과 대비되는 개념)의 개발도 이끌고 있습니다.③ 취약점 관리는 장기적인 시험대다시스템 가동 이후 패치 없이 제로데이 취약점이 발견되는 상황은
최악의 시나리오입니다. CRA 부속서 I Part II의
취약점 관리란, 접수·분석·대응·공개 전 과정을 지속 처리하는 역량과 최소 5년간의 지원을 의미합니다.파트너 선정 시에는
ISO/IEC 30111에 따른 내부 처리 절차와 ISO/IEC 29147에 따른 취약점
공개 시스템을 갖췄는지 확인해야 합니다. 신뢰할 수 있는 공급업체는
prEN 40000-1-3 같은 공개 초안도 지속적으로 모니터링합니다.관련 표준 개요
표준
정식 명칭
현황
참고 링크
IEC
62443-4-1:2018
Security for industrial automation and
control systems—Part 4-1: Secure product development lifecycle requirements
발행 완료
IEC Webstore
EN
IEC 62443-4-1:2018/prAA:2026
Security for industrial automation and
control systems—Part 4-1: Secure product development life-cycle requirements
(CRA harmonization amendment)
공개 초안
iTeh
Standards
IEC
62443-4-2:2019
Security for industrial automation and
control systems—Part 4-2: Technical security requirements for IACS components
발행 완료
IEC Webstore
EN
IEC 62443-4-2:2019/prAA:2026
Security for industrial automation and
control systems—Part 4-2: Technical security requirements for IACS components
(CRA harmonization amendment)
공개 초안
iTeh
Standards
ISO/IEC
30111:2019
Information technology—Security
techniques—Vulnerability handling processes
발행 완료
ISO
ISO/IEC
29147:2018
Information technology—Security
techniques—Vulnerability disclosure
발행 완료
ISO
prEN
40000-1-2
Cybersecurity requirements for products
with digital elements—Part 1-2: Principles, product risk management, and
life-cycle activities
공개 초안(의견수렴 종료, 승인
단계)
iTeh
Standards
prEN
40000-1-3
Cybersecurity requirements for products
with digital elements—Part 1-3: Vulnerability handling
공개 초안(의견수렴 종료, 승인
단계)
CEN-CENELEC
prEN
40000-1-4
Cybersecurity requirements for products
with digital elements—Part 1-4: Generic security requirements (provisional
title)
공개 초안(의견수렴 진행 중)
CEN-CENELEC
prEN
50770-1
Security for OT—Part 1: Security profile
for firewalls and intrusion detection and prevention systems
초안 작성 중(의견수렴 전)
CEN-CENELEC
prEN
50770-2
Security for OT—Part 2: Security profile
for network management systems
초안 작성 중(의견수렴 전)
CEN-CENELEC
prEN
50770-3
Security for OT—Part 3: Security profile
for physical and virtual network interfaces
초안 작성 중(의견수렴 전)
CEN-CENELEC
prEN
50770-4
Security for OT—Part 4: Security profile
for products with digital elements with the function of virtual private
network
초안 작성 중(의견수렴 전)
CEN-CENELEC
prEN
50770-5
Security for OT—Part 5: Security profile
for routers, modems intended for connection to the internet, and switches
초안 작성 중(의견수렴 전)
CEN-CENELEC
prEN
50770-6
Security for OT—Part 6: Security profile
for security Information and event management (SIEM) systems
초안 작성 중(의견수렴 전)
CEN-CENELEC
참고: 위 개정·신규 표준들은 이 글 작성 시점 기준 초안 또는 공개 의견수렴
단계에 있으며, 공식 명칭·적용 범위는 향후 변경될 수 있습니다.공급업체 평가 전 확인할 질문 체크리스트01. IEC 62443-4-1 기반의 안전한 개발 프로세스를 갖추고 있는가?인증 여부와 함께 CRA 관련 공개 초안에 대한 대응 현황을 확인합니다.02. 제품이 IEC 62443-4-2의 핵심 보안 요구사항을 충족하는가?식별·인증, 접근 제어, 데이터 보호, 로깅, 펌웨어 보호 등을 확인합니다.03. 제품별 CRA 적용 범위와 관련 표준을 파악하고 있는가?제품 카테고리 및 제품군별 적용 표준에 대한 대응 현황을 확인합니다.04. 취약점 처리 및 공개 프로세스를 운영하고 있는가?ISO/IEC 30111 및 ISO/IEC 29147 기반의 관리 체계와 보안 업데이트 정책을 확인합니다.05. 보안이 실제 개발 프로세스와 조직 운영에 내재화되어 있는가?인증서 보유 여부뿐 아니라 Secure Development Lifecycle (안전한 개발 라이프사이클)의 운영 성숙도를 함께 확인합니다.한눈에 보는 핵심 정리01. CRA 시행까지 남은 시간은 유예 기간이 아닙니다.표준 확정 후 시행까지 약
1년뿐이며, OT 설비의 특성상 사전 준비 없이는 대응이 어렵습니다.02. 평가 기준은 세 가지입니다.안전한 개발 프로세스, 제품
보안 요구사항, 취약점 관리 체계를 기준으로 공급업체를 평가해야 합니다.03. 체크리스트만으로는 부족합니다.서류상의 준수가 아니라, 보안이
조직의 개발 문화에 실제로 내재화되어 있는지를 확인해야 합니다.04. 결국 질문은 이것입니다."표준이
확정되었는가"가 아니라 "우리 공급업체는
지금 준비되어 있는가"입니다.FAQQ1. CRA는 우리 회사와 무슨 상관이 있나요?OT 설비에 디지털
요소가 포함되어 있고 EU 시장 또는 EU 대상 프로젝트에
공급한다면, 해당 설비와 공급업체 모두 CRA 요건의 영향을
받습니다.Q2. 아직 표준이 초안 단계인데 지금부터 준비해야 하나요?네. 표준 확정
후 시행까지 약 1년뿐이라, OT 설비 특성상 사전 준비
없이는 시행 시점에 맞추기 어렵습니다.Q3. 공급업체를 평가할 때 가장 먼저 확인해야 할 것은 무엇인가요?① 안전한 개발
프로세스, ② 제품 보안 기능, ③ 취약점 관리 체계, 이 세 가지가 실질적인 출발점입니다.Q4. 체크리스트로 CRA 대응을
확인하면 충분한가요?부족합니다. 보안이
조직의 개발 문화·라이프사이클에 실제로 내재화되어 있는지(성숙도)를 함께 살펴봐야 합니다.Q5. MOXA 같은 공급업체를 선택하면 무엇이 달라지나요?IEC 62443 계열
인증과 공개 초안 대응 현황을 투명하게 공유할 수 있어, 규제 준수를 넘어 시장 신뢰도를 높이는 방향으로
선택할 수 있습니다.지금 도입을 검토 중인
OT 설비와 공급업체는 2027년 CRA 시행
시점에 매끄럽게 대응할 준비가 되어 있습니까?그 준비를 뒷받침할 안전한 개발 프로세스와 취약점 관리
체계는 서류가 아니라 실제로 검증되었습니까?위존과 함께 OT 설비·공급업체의 CRA 대응 수준을 표준 기반의 아키텍처 관점에서 점검해보세요.OT Network
& Cybersecurity Partner, WeZON(주)위존 MOXA 영업팀위존 본사: 서울시
강남구 강남대로 308, 랜드마크타워 7층대표번호
070-5126-8703 팩스 02-2182-8399 대표이메일 moxa@wezon.com#CRA #OTCybersecurity #IEC62443 #SecureByDesign
#VulnerabilityManagement #IndustrialNetworking #SupplyChainSecurity
출처(Source): Moxa, "CRA Countdown: Assess Your OT Supply Chain's
Cybersecurity Early," Moxa Article Library, published Sep 01, 2026.
원문 링크: https://www.moxa.com/en/articles/eu-cra-countdown-assess-ot-supply-chain-cybersecurity-early
2026-09-17
