2026.06.10
EU 사이버복원력법(CRA·Cyber Resilience Act)의 첫 단계 조항이 6월 11일부터 발효된 가운데, 상당수 기업이 아직 이 법의 파급 효과를 인지하지 못하고 있는 것으로 나타났다. 오픈소스 보안 재단(OpenSSF) 조사에 따르면 응답자의 3분의 2가 CRA에 대해 잘 알지 못한다고 답했다.
CRA는 EU 시장에 판매되는 하드웨어와 소프트웨어의 보안을 강화하기 위한 규제로, 벤더뿐 아니라 오픈소스 소프트웨어 사용자에게도 영향을 미친다. 특히 법률은 조직 내에서 사용되는 소프트웨어의 보안 정책 수립을 담당하는 '오픈소스 스튜어드(open-source steward)' 역할을 새롭게 규정하고 있다.
일정을 살펴보면, 6월 11일부터는 회원국의 적합성 평가기관 지정 관련 조항이 시행되며, 9월 11일부터는 제조업체의 취약점 보고 의무가 시작된다. 완전 시행은 2027년 12월 11일이며, 위반 시 최대 1,500만 유로 또는 글로벌 연간 매출의 2.5%에 달하는 과징금이 부과될 수 있다.
OpenSSF의 크리스토퍼 로빈슨 CTO는 "일부 기업은 EU 규제가 자신들과는 무관하다고 여기지만, 일본 등 다른 국가에서도 유사한 법률이 검토되고 있어 곧 전 세계적 문제가 될 것"이라며, "700만 개 이상의 깃허브 프로젝트 중 어떤 것이 사용되고 있는지도 파악하지 못하는 조직이 많은 상황에서, SBOM 제공 등 공급망 투명성 확보가 필수적"이라고 강조했다. 특히 AI 코딩 도우미가 생성한 코드까지 포함하면 CRA 대응은 한층 더 복잡해질 것이라는 우려도 제기됐다.
원문보기 : https://www.infoworld.com/article/4183422/eu-rules-on-securing-it-products-could-affect-open-source-software-users-beginning-this-week.html
[원문출처]
※ 본 내용은 InfoWorld(www.infoworld.com)의 저작권 동의에 의해 공유되고 있습니다.
Copyright ⓒInfoWorld 및 재배포 금지
자세한 기사는 링크를 참조하시기 바라며 한국저작권위원회는 공정한 오픈소스SW 사용을 위하여 상담, 컨설팅, 라이선스 교육, 오픈소스SW 라이선스 검사서비스 등을 무료로 제공하고 있습니다.
|
