EU CRA, 24시간 내 조기 경보…암호화폐 지갑 적용은 제품별

유럽연합(EU)에서 판매되는 일부 상업용 암호화폐 지갑 제조사는 악용된 취약점이나 심각한 보안 사고를 인지한 뒤 24시간 안에 당국에 조기 경보를 제출해야 한다. 다만 모든 지갑 서비스가 자동으로 신고 대상이 되는 것은 아니다.

EU 집행위원회는 사이버복원력법(CRA)에 따라 2026년 9월 11일부터 디지털 요소가 포함된 제품 제조사에 실제로 악용된 취약점과 제품 보안에 영향을 주는 심각한 사고의 보고 의무가 적용된다고 밝혔다. 제조사는 유럽연합 사이버보안청(ENISA)이 운영하는 단일 신고 플랫폼을 통해 주관 컴퓨터보안사고대응팀(CSIRT)과 ENISA에 신고해야 한다.

보고 절차는 세 단계로 나뉜다. 제조사가 제품의 취약점이 실제로 악용됐거나 심각한 보안 사고가 발생했다는 사실을 인지하면 24시간 안에 조기 경보를 제출해야 한다.

72시간 안에는 제품과 취약점, 악용 방식, 이미 시행했거나 사용자가 취할 수 있는 완화 조치를 담은 본 신고를 내야 한다. 신고 시한을 짧게 둔 것은 취약점 악용이나 사고 발생 초기에 당국이 대응을 조정할 수 있도록 하기 위한 절차다.

악용된 취약점의 최종 보고서는 시정 또는 완화 조치가 제공된 뒤 14일 안에 제출해야 한다. 심각한 보안 사고는 72시간 본 신고 이후 한 달 안에 최종 보고서를 내는 방식으로 절차가 다르다.

암호화폐 지갑은 CRA 적용 가능성이 거론되는 제품군이다. 하드웨어나 소프트웨어가 직접 또는 간접적으로 기기·네트워크와 연결되고 EU 시장에 상업적으로 공급된다면 ‘디지털 요소가 포함된 제품’에 해당할 여지가 있다.

그러나 EU 당국은 특정 암호화폐 지갑 브랜드를 지목하지 않았다. 제품의 연결 방식과 판매 형태를 기준으로 개별 판단이 필요하며, 이번 규정이 지갑의 보안성을 인증하거나 특정 제품의 취약성을 확인한 조치는 아니다.

신고는 ENISA 단일 신고 플랫폼을 통해 한 번만 제출한다. 접수된 내용은 제조사의 주된 사업장이 있는 국가의 CSIRT가 우선 처리하고, 필요한 경우 제품이 유통된 다른 회원국의 CSIRT와 시장감독기관에 전달된다.

예외적인 사이버보안 사유가 있으면 정보 공유가 늦춰질 수 있다. 제조사가 여러 국가 기관에 같은 내용을 반복 제출하지 않도록 신고 창구를 단일화한 것이 절차의 특징이다.

보고 의무는 2027년 12월 11일 이전에 시장에 출시된 제품에도 적용된다. 반면 제품의 보안 설계와 생애주기 관리 등 핵심 의무는 2027년 12월 11일부터 본격 적용된다.

오픈소스 지갑 소프트웨어도 일괄 면제되지 않는다. 상업적 활동의 일부로 시장에 공급되는 무료·오픈소스 제품에는 제조사 의무가 적용될 수 있다.

개인 개발자가 자신이 책임지지 않는 오픈소스 프로젝트에 코드를 기여했다는 이유만으로 제조사로 간주되는 것은 아니다. 오픈소스 소프트웨어를 지속적으로 지원하고 상업적 제품의 생존을 주도하는 법인은 별도 ‘오픈소스 소프트웨어 관리자’ 의무를 적용받을 수 있다.

이번 규정은 암호화폐 지갑 사업자의 보안 사고 대응 체계에도 영향을 줄 수 있다. 국내 사업자가 EU 시장에 지갑 제품을 공급한다면 취약점 인지부터 조기 경보, 본 신고, 최종 보고로 이어지는 내부 절차를 제품별로 점검해야 한다.

암호화폐 지갑 감독과 관련해 본지는 앞서 아일랜드의 암호화폐 지갑 감독 강화 방침을 전한 바 있다. 이번 CRA는 자금세탁방지 감독과는 별개로 제품 보안 취약점과 사고 신고 절차를 다룬다.

시장·업계의 공식적인 지갑 제조사 공동 입장이나 특정 기업의 적용 판단은 제시되지 않았다. 따라서 현재 확인된 규정만으로 특정 지갑 브랜드의 신고 의무를 단정하기는 어렵다.

EU 집행위원회와 ENISA는 2026년 9월 11일부터 단일 신고 플랫폼을 통한 의무 신고를 지원하고 있다. 지갑 제품의 규제 대상 여부와 국내 사업자에 대한 직접적인 효과는 제품 구조와 EU 내 판매 형태를 기준으로 추가 판단될 예정이다.