EU 사이버복원력법 신고 의무 시행 — 코인 지갑 업체, 악용된 취약점 24시간 안에 신고

2026년 9월 11일부터 EU 사이버복원력법(Cyber Resilience Act, CRA)의 신고 의무가 적용됐어요. EU 시장에 연결형 하드웨어 지갑이나 지갑 소프트웨어를 파는 업체는 실제로 악용된 취약점을 알게 되면 24시간 안에 당국에 조기 경보를 보내야 해요. 보안 설계 같은 나머지 의무는 2027년 12월 11일부터 적용돼요.

사이버복원력법이란

사이버복원력법은 EU가 "디지털 요소가 있는 제품"의 보안을 규제하는 법이에요. 디지털 요소가 있는 제품 — 데이터를 받거나 처리하도록 만든 하드웨어나 소프트웨어를 말해요. 기기나 네트워크에 직접 또는 간접으로 연결되면 여기에 들어가요.

법은 2024년 12월 10일에 발효됐어요. 대부분의 의무는 2027년 12월 11일부터 적용되지만, 14조의 신고 의무만 먼저 2026년 9월 11일부터 시작됐어요. 유럽연합 집행위원회 안내 페이지와 유럽 사이버보안청(ENISA) 발표 모두 이 날짜를 확인해요.

무엇을 신고해야 하나

업체가 신고해야 하는 건 두 가지예요.

• 악용된 취약점 — 공격자가 제품의 결함을 실제로 써서 이용자나 다른 사람에게 보안 피해가 생겼다고 업체가 확인한 경우예요. 발견만 됐고 아직 안 쓰인 취약점은 여기 들어가지 않아요.
• 심각한 보안 사고 — 업체의 개발·생산·유지보수 과정에 사이버 사고가 생겨서 이용자의 위험이 커질 수 있는 경우예요.

신고는 3단계로

시한이 정해져 있어요. 규정 14조에 나온 순서대로 정리하면 이래요.

단계	시한	내용
조기 경보	알게 된 뒤 24시간 안	악용된 취약점 또는 심각한 사고가 있다는 사실
상세 신고	알게 된 뒤 72시간 안	제품 정보, 취약점 성격, 악용 방식, 취한 조치
최종 보고 (취약점)	수정 조치가 나온 뒤 14일 안	취약점 설명과 조치 결과
최종 보고 (사고)	상세 신고 뒤 1개월 안	사고 설명과 조치 결과

원문은 조기 경보 시한을 "지체 없이, 어떤 경우에도 24시간 안에"라고 적어요. 24시간은 넉넉한 시한이 아니라 마지막 한계예요.

어디에 신고하나 — ENISA 단일 신고 플랫폼

신고는 ENISA가 운영하는 단일 신고 플랫폼(Single Reporting Platform, SRP)에 하면 돼요. ENISA는 신고 의무가 시작된 2026년 9월 11일에 이 플랫폼의 초기 운영 기능을 열었다고 발표했어요.

한 번만 신고하면 돼요. 업체가 자리 잡은 회원국의 침해사고대응팀(CSIRT)이 조정 역할로 먼저 받고, 그 제품이 팔리는 다른 회원국 CSIRT에 정보를 나눠요. ENISA도 같은 시점에 신고 내용을 받아요. 예전처럼 나라별로 따로 신고할 필요가 없어요.

오픈소스 소프트웨어 관리 조직(open-source software steward)에는 같은 의무가 2027년 12월 11일부터 적용돼요.

코인 지갑이 해당되는 이유

법 조문에 "암호화폐 지갑"이라는 말은 없어요. 하지만 지갑은 데이터를 처리하고 기기나 네트워크에 연결되는 제품이라 정의에 들어가요. CryptoSlate와 토큰포스트는 이렇게 정리했어요.

• EU 시장에 상업적으로 공급되는 연결형 하드웨어 지갑과 내려받는 지갑 소프트웨어가 대상이에요.
• 개인 기여자가 돈을 받지 않고 자기 책임 밖에서 배포하는 오픈소스 소프트웨어는 제외돼요.
• 다만 오픈소스라도 상업적으로 공급하면 업체 의무를 질 수 있어요.

EU가 특정 지갑 브랜드를 신고 대상으로 지정한 건 아니에요. 어느 제품이 해당되는지는 제품이 어떻게 연결되고 어떻게 팔리는지에 따라 달라요. CryptoSlate는 "적용 여부는 제품, 공급 방식, 적용 가능한 예외에 따라 정해진다"고 썼어요.

이미 팔린 지갑도 포함

신고 의무는 새 제품에만 붙는 게 아니에요. 규정 69조는 2027년 12월 11일 전에 시장에 나온 제품에도 14조 신고 의무를 적용한다고 정해요. 지금 EU 이용자가 쓰고 있는 하드웨어 지갑에서 악용된 취약점이 나오면 그 업체도 신고해야 해요.

안 지키면

규정 64조는 과태료 상한을 정해요. 가장 무거운 위반은 1,500만 유로 또는 전 세계 연 매출의 2.5% 중 큰 쪽까지 부과할 수 있어요. 실제 부과는 각 회원국 당국이 해요.

한국에서 쓰는 분에게 무슨 의미인가

이 법은 EU 시장에 공급되는 제품에 적용돼요. 한국에서 사서 쓰는 지갑에 한국 법이 새로 생긴 건 아니에요. 그래도 두 가지는 달라질 수 있어요.

• 세계 시장에 같은 제품을 파는 지갑 업체는 EU 신고 시한에 맞춰 내부 절차를 바꿔야 해요. 취약점이 악용되면 이용자 안내도 빨라질 가능성이 있어요.
• 규정 14조는 업체가 영향을 받는 이용자에게 취약점과 수정 조치를 알리도록 정해요. 지갑 업체의 보안 공지를 받는 이메일 주소를 최신으로 두면 좋아요.

지갑 펌웨어와 앱 업데이트 알림이 오면 공식 사이트에서 내용을 확인하고 적용해 보세요. 최근에는 지갑 업체 이름으로 오는 피싱 메일이 많으니, 메일 속 링크가 아니라 직접 주소를 쳐서 들어가는 게 안전해요.

정리

• 2026년 9월 11일부터 EU 사이버복원력법 14조 신고 의무가 적용됐어요. 나머지 의무는 2027년 12월 11일부터예요.
• EU에 지갑을 파는 업체는 악용된 취약점을 알게 된 뒤 24시간 안에 조기 경보, 72시간 안에 상세 신고, 수정 뒤 14일 안에 최종 보고를 해야 해요. 신고는 ENISA 단일 신고 플랫폼 한 곳에 해요.
• 2027년 12월 11일 전에 팔린 제품도 신고 의무에 포함되고, 위반 시 과태료는 최대 1,500만 유로 또는 매출 2.5%예요.

내 하드웨어 지갑 업체의 보안 공지 채널이 어디인지 지금 한 번 확인해 두세요.