CRA 시대 대비하는 핀란드 스타트업 CRACI

수요를 키우는 EU 사이버 복원력법

EU의 Cyber Resilience Act는 유럽 시장에서 판매되는 디지털 요소가 포함된 제품에 최소 사이버보안 기준을 적용하는 새로운 규제다.

이 법의 핵심 목표는 다음과 같다.

• 제품 설계 단계부터 사이버보안을 고려하도록 요구
• 기술 공급망 전체에서 취약점을 줄이기
• 제품 수명주기 동안 보안 업데이트와 유지 관리 의무화

CRA는 매우 넓은 범위에 적용된다. 예를 들어 다음과 같은 제품이 포함된다.

• 소프트웨어 애플리케이션
• 운영체제
• 네트워크 연결 장치
• 임베디드 시스템
• 네트워크 연결이 가능한 디지털 제품 전반

즉 EU 시장에 디지털 제품을 판매하는 거의 모든 기업이 영향을 받는다.

2026년과 2027년의 중요한 마감 시점

CRA는 2024년 12월 10일 공식 발효됐지만 현재는 전환 기간에 해당한다.

기업들이 특히 주목해야 할 일정은 다음 두 가지다.

• 2026년 9월 11일: 실제로 악용된 취약점과 주요 보안 사고를 EU 사이버보안 기관에 보고해야 하는 의무가 시작된다.
• 2027년 12월 11일: 규정이 전면 적용되며, CRA 요구사항을 충족하지 못한 디지털 제품은 EU 시장에 출시할 수 없다.

제품 개발 주기가 긴 기업들은 이미 지금부터 개발 파이프라인과 보안 프로세스를 바꾸기 시작하고 있다.

CRACI 플랫폼이 하는 역할

CRACI의 핵심 아이디어는 단순하다. 규정 준수를 감사 단계가 아니라 개발 과정 속에서 처리하자는 것이다.

플랫폼은 CI/CD 환경 안에서 다음 기능을 제공한다.

• 소프트웨어 의존성에서 취약점 자동 탐지
• 수정 작업 추적 및 기록
• 개발자에게 해결 작업 자동 할당
• 감사 가능한 보안 기록 유지

이러한 기능은 CRA가 요구하는 지속적인 보안 모니터링과 수명주기 관리 요구사항을 충족하는 데 도움을 준다.

왜 지금 이런 스타트업이 중요한가

CRA는 단순한 보안 가이드라인이 아니라 제품 보안을 법적 의무로 만드는 규제라는 점에서 의미가 크다.

특히 이 법은 소프트웨어 공급망 보안을 전면적으로 다루는 대규모 규제 중 하나로 평가된다. 디지털 제품 제조사, SaaS 기업, IoT 기기 제조사 등 다양한 산업이 영향을 받는다.

이 때문에 취약점 관리, 문서화, 보안 업데이트, 보고 절차 등을 자동화하는 개발 파이프라인 기반 보안 플랫폼에 대한 수요도 빠르게 늘어날 가능성이 크다.

CRACI는 이러한 변화 속에서 CRA 시대를 준비하는 기업들을 위한 공급망 보안·컴플라이언스 도구 시장을 선점하려는 초기 스타트업 중 하나다.