IT과학 / PRODUCT SECURITY EU CRA 신고는 이미 시작됐다: 24시간·72시간과 제품 보안의 두 시간표 EU CRA 제조사 신고는 2026년 9월 시작됐다. 24시간·72시간 기준, 지원기간과 오픈소스·원격서비스의 경계를 공식 지침으로 짚는다. 신고 시행과 본격적인 제품 의무 적용의 서로 다른 시간표. AI 상징 일러스트. 2026 9월 11일 제조사 신고 2027 12월 11일 주요 제품 요건 뉴진미디어 · 2026년 10월 28일 · EU 기관의 공개자료 독립 분석, 현장취재 아님 유럽연합에 소프트웨어나 연결 기기를 공급하는 기업이라면 ‘사이버복원력법은 2027년부터’라는 한 문장으로 준비 일정을 잡아서는 안 된다. EU 사이버복원력법(CRA)의 주요 제품 요건은 2027년 12월 11일부터 적용되지만, 제조사의 악용 취약점과 심각한 보안사고 신고 의무는 2026년 9월 11일 이미 시작됐다. 출시 전 적합성 준비와 지금 발생한 사고의 신고 판단은 서로 다른 시간표다. 한국 기업에도 중요한 것은 회사의 국적보다 어떤 제품을 누구의 이름으로 EU 시장에 공급하는지다. 한국정보통신기술협회와 한국정보보호산업협회는 10월 27일 성남에서 제품 보안 세미나를 개최하는 일정과 함께 CRA·인공지능·소프트웨어 구성명세서·보안시험을 다룬다고 공지했다. 이 기사는 행사 현장을 취재하거나 발표 내용을 인용한 기사가 아니다. 해당 공지를 계기로 유럽위원회의 시행 안내, 7월 공개한 적용 지침, 10월 15일 갱신된 유럽사이버보안청(ENISA)의 신고 플랫폼 설명을 직접 대조했다. 제도 전체를 법률 자문으로 대신하기보다 실제로 혼동하기 쉬운 적용 시점과 기술적 준비를 구분하는 데 초점을 맞췄다. 24시간 인지 시점부터 조기경보 기한을 계산한다. 72시간 같은 인지 시점부터 신고 기한을 계산한다. 24시간 뒤에 새로 시작하는 시계가 아니다. 먼저 세 날짜를 서로 다른 업무에 붙인다 CRA는 2024년 12월 10일 발효됐다. 발효는 법적 체계가 성...