크레인 사이버 규정 준수: PLC 제어 크레인에 두 개의 EU 규제가 요구하는 것, 2026년에서 2028년

Q: 우리는 유럽 유통업체를 통해서만 수출합니다. 그러면 그들이 제조사가 됩니까?

아닙니다. 크레인에 귀사의 이름이나 상표가 붙어 있다면 귀사가 사이버 복원력 법상 제조사이며 신고 의무도 귀사에 있습니다. 유통업체가 제품을 시장에 출시한다면 그들은 수입자이며 검증 의무를 지지만, 귀사의 의무가 이전되지는 않습니다. 기계에 귀사 브랜드를 붙이고 서류에 유통업체 이름을 올린다고 해서 책임이 옮겨가지는 않습니다.

SIEC Cranes 수석 설계 엔지니어 Chen Wei 작성. 2026년 10월 28일.

2026년 9월 11일부터 EU 시장을 겨냥해 네트워크로 연결된 컨트롤러를 갖춘 크레인을 제조하는 모든 이에게는, 해당 크레인에서 실제로 악용되고 있는 취약점을 인지한 후 24시간 이내에 신고해야 하는 법적 의무가 생겼습니다. 그 시계는 6주 전에 시작되었습니다. 대부분의 공장이 아직 준비하고 있는 기계 안전 규칙은 2027년 1월 20일이 되어야 시작됩니다. 이 모든 것을 CE 마킹 파일로 바꾸는 수평적 사이버 규칙은 2027년 12월 11일이 되어야 완전히 적용됩니다. 세 개의 날짜, 두 개의 규정, 하나의 기계.

유럽에서 견적을 내는 구매자 대부분은 이 중 딱 하나만 들어봤습니다. 보통은 기계 규정입니다. 인증기관이 그것에 대해 묻기 때문입니다. CRA 신고 의무에 대해 우리에게 물어본 사람은 아직 거의 없는데, 정작 이미 시행 중인 것은 그것입니다.

두 규제는 무엇이며, 왜 크레인이 둘 다에 해당합니까?

규정 (EU) 2023/1230, 즉 기계 규정은 기존 기계 지침 2006/42/EC를 대체하며 2027년 1월 20일부터 시장에 출시되는 기계에 적용됩니다. 이는 안전 법률이지만 이제 사이버보안 요구사항을 담고 있습니다. 부속서 III의 1.1.9항은 "오염에 대한 방지"라는 제목으로, 다른 기기와의 연결이 위험한 상황을 초래해서는 안 되며, 안전에 중요한 하드웨어와 소프트웨어 및 데이터는 우발적 또는 의도적 오염으로부터 보호되어야 하고 식별 가능해야 하며, 정당하거나 부당한 개입이 기록되어야 한다고 규정합니다. 1.2.1항은 제어 시스템의 안전성과 신뢰성을 다룹니다.

규정 (EU) 2024/2847, 즉 사이버 복원력 법은 제품 사이버보안 법률입니다. 2024년 12월 10일 발효되었습니다. 인증기관에 관한 제4장은 2026년 6월 11일부터 적용되었습니다. 신고 의무는 2026년 9월 11일에 시작되었습니다. 주요 의무는 2027년 12월 11일부터 적용됩니다.

PLC로 제어되는 천장 크레인은 첫 번째 규정에서는 기계이고, 두 번째 규정에서는 디지털 요소를 갖춘 제품입니다. 집행위원회의 CRA FAQ는 그 의미를 명확히 밝힙니다. 질문 2.4.1은 두 규제에 모두 해당하는 제품의 제조사는 "이 규정에 명시된 필수 사이버보안 요구사항과 규정 (EU) 2023/1230에 명시된 필수 건강 및 안전 요구사항을 모두 준수해야" 하며, 어떤 시너지도 "제조사가 입증해야 한다"고 말합니다. 질문 2.4.3은 더 나아가, 한 법령에 따른 적합성 평가가 "다른 법령에 따라 따라야 하는 절차를 충족하는 데 자동으로 충분한 것으로 간주될 수 없다"고 합니다.

두 개의 파일, 두 개의 선언, 하나의 크레인. 이것이 문제의 형태입니다.

항목	기계 규정 2023/1230	사이버 복원력 법 2024/2847
다루는 내용	기계의 물리적 안전성, 그리고 안전 기능의 오염에 대한 방지	업데이트를 포함한 디지털 제품 전체 수명의 사이버보안
크레인에 적용되는 시점	2027년 1월 20일	주요 의무는 2027년 12월 11일, 사고 신고는 2026년 9월 11일
평가 주체	대부분의 크레인은 자체 평가, 부속서 I에 열거된 기계는 인증기관	기본은 자체 평가, 부속서 III의 "중요 제품"은 제3자
산출물	기술 파일, EU 적합성 선언, CE 마크, 잔여 위험이 포함된 설명서	기술 문서, EU 적합성 선언, CE 마크, SBOM, 지원 기간, 취약점 처리 절차
지속적 의무	파일을 10년간 보관, 부적합을 드러내는 사고에 대응	지원 기간 전체에 걸쳐 취약점 처리, 악용된 것은 24시간 내 신고

오늘 이미 시행 중인 것과 아직 남은 것은 무엇입니까?

요약본에서 빠지기 쉬운 부분이 바로 이것입니다. CRA는 하나의 기한이 아닙니다. 계단식이고, 공장에 가장 아픈 조항은 이미 발효된 것입니다.

날짜	적용되는 것	크레인 제조사에게 의미하는 것
2024년 12월 10일	CRA 발효	운영상 달라지는 것은 없지만 설계 시계가 시작됨
2025년 8월 1일	무선 설비 지침의 사이버 요구사항(위임 규정 2022/30)	EU로 출하되는 모든 무선 리모컨에 이미 적용됨
2026년 6월 11일	CRA 제4장, 인증기관	제3자 평가 예약이 가능해짐
2026년 9월 11일	CRA 신고 의무와 ENISA 단일 신고 플랫폼	이미 시행 중. 신제품뿐 아니라 이미 EU 시장에 있는 제품에도 적용
2027년 1월 20일	기계 규정 2023/1230	부속서 III 1.1.9 및 1.2.1이 CE 파일의 일부가 됨
2027년 12월 11일	CRA 주요 의무	CRA에 따른 완전한 CE 마킹, SBOM, 설명서에 명시된 지원 기간
2027년 12월 11일	오픈소스 소프트웨어 관리자에 대한 신고	상업적으로도 판매하는 프로젝트를 유지하는 경우에만 해당

2026년 9월 11일 집행위원회의 발표는 사람들을 걸리는 세부 사항을 분명히 했습니다. 신고 의무는 EU 내에서 제공되는 모든 디지털 요소 포함 제품에 적용되며, "이미 시장에 나와 있는 제품도 포함"됩니다. 7년 동안 네덜란드 공장에 있던 4G 진단 게이트웨이 장착 2019년산 크레인도 그 문장 안에 있습니다. 의무는 판매 연도가 아니라 제조사에 붙습니다.

정확히 무엇을 얼마나 빨리 신고해야 합니까?

두 개의 범주, 네 개의 시계. 제품의 악용된 취약점과 제품 보안에 영향을 주는 중대 사고는 서로 다른 트리거이며, 서로 다른 기한에 끝납니다.

단계	기한	포함되는 내용
조기 경보	인지 시점부터 24시간	악용 가능성이 의심되는 취약점 또는 중대 사고가 존재한다는 사실과 기본 정보
완전한 신고	72시간	제품에 관한 일반 정보, 악용 또는 사고의 성격, 초기 완화 조치
최종 보고서, 악용된 취약점	시정 조치가 마련된 후 14일	근본 원인, 적용된 수정, 영향받은 버전, 사용자 조치
최종 보고서, 중대 사고	72시간 신고 후 1개월	동일한 형태에 재발 방지를 위해 취한 조치를 추가

신고 경로는 하나의 포털입니다. ENISA가 CRA 단일 신고 플랫폼을 구축하고 운영하며, 2026년 9월 11일부터 가동 중입니다. 제조사는 한 번만 신고합니다. 플랫폼은 신고를 제조사의 주요 사업장이 있는 회원국 CSIRT로 전달하고, 예외적인 상황이 없는 한 동시에 ENISA에 정보를 제공합니다. 접수한 CSIRT는 다시 제품이 판매되는 다른 국가 CSIRT와 이를 공유합니다.

지연을 위한 좁은 문이 있습니다. 2025년 12월 11일 집행위원회는 CSIRT가 정당한 사이버보안 사유로 다른 CSIRT에 대한 배포를 보류할 수 있는 조건을 정한 위임 법령을 채택했습니다. 해당된다고 가정하지 마십시오. 고객의 국가 당국이 귀사가 신고한 당일에 알게 된다고 전제하고 계획하십시오.

EU에 설립된 사업장이 없는 저장성의 공장이라면 실무적인 질문은 누가 신고하느냐입니다. 규정은 의무를 제조사에 부과하며, 유통업체나 수입자가 이를 흡수할 수 없습니다. 유럽 판매 파트너를 일찍 대화에 끌어들여야 하는 지점이 바로 여기입니다. 플랫폼은 영업 사무소가 아니라 실제 사고 대응 프로세스를 갖춘 명명된 조직을 필요로 하기 때문입니다.

크레인의 어느 부분이 디지털 요소를 갖춘 제품입니까?

대부분의 견적서가 인정하는 것보다 자재 명세서의 더 많은 부분입니다. 기준은 "칩이 있는가"가 아니라, 해당 품목이 다른 기기나 네트워크에 직접 또는 간접적으로 연결되는 소프트웨어 또는 하드웨어 제품인가입니다.

표준 EOT 크레인의 구성품	디지털 요소를 갖춘 제품인가?	왜 파일에 들어가는가
이더넷 또는 필드버스가 있는 PLC / 크레인 컨트롤러	예	안전 로직을 실행하고 플랜트 네트워크에 연결됨
구성 소프트웨어가 있는 가변 주파수 드라이브(VFD)	예	펌웨어, 제동과 속도 한도를 바꾸는 파라미터
HMI 패널 또는 터치 스크린	예	운영체제를 구동하며, 흔히 웹 서버를 포함
원격 진단 게이트웨이, 4G 라우터, VPN 박스	예, 그리고 보통 "중요 제품"에 해당	VPN 게이트웨이와 라우터는 부속서 III 클래스 I에 명시됨
무선 리모컨 송신기와 수신기	예, 그리고 무선 설비이기도 함	동시에 두 규제 적용: RED 사이버 요구사항과 CRA
흔들림 방지 또는 위치 결정 컨트롤러	예	움직임을 직접 지령하는 펌웨어
로드셀, 과부하 제한기 표시부, 과부하 방지 장치	데이터를 처리하고 전송할 때는 예	위조된 하중 신호는 기계 자체의 보호 기능을 무력화함
브리지 거더, 엔드 캐리지, 드럼, 훅 블록, 와이어 로프	아니요	소프트웨어도 연결도 없음. 철강은 철강일 뿐.

이 목록이 중요한 이유는 CRA가 나사 하나하나를 인증하라고 요구하지 않기 때문입니다. 어떤 품목이 디지털인지, 누가 만들었는지, 어느 버전인지, 그리고 그중 어느 것의 취약점이 지원 기간 중에 어떻게 수정되는지를 아는 것을 요구합니다. 이는 엔지니어링 문제이기 전에 재고 관리 문제입니다.

체인 호이스트와 펜던트 제어가 있는 표준 단거더 크레인은 보통 이 품목 중 서너 개를 갖습니다. 원격 진단 게이트웨이를 추가하면 개수가 두 배가 됩니다. 별도로 판매되는 호이스트 및 액세서리 패키지는 자체 선언을 동반합니다. 인버터와 제어 보드와 함께 출하될 때 호이스트는 그 자체로 디지털 요소를 갖춘 제품이기 때문입니다.

천장 크레인은 부속서 III의 "중요 제품"입니까?

아닙니다. 집행위원회는 시행 규정 (EU) 2025/2392에서 디지털 요소를 갖춘 중요 제품의 기술적 설명을 정했으며, 크레인은 여기에 없습니다. 이는 좋은 소식입니다. 클래스 I과 클래스 II 제품은 더 무거운 적합성 평가 경로를 지기 때문입니다.

그러나 구성품은 이야기가 다릅니다. 클래스 I 목록에는 매주 크레인 BOM에 등장하는 것들이 포함됩니다.

부속서 III의 클래스 I 범주	크레인에서 나타나는 위치
가상 사설망 기능을 갖춘 제품	엔지니어가 저장성에서 접속할 수 있도록 설치하는 원격 서비스 터널
라우터, 인터넷 연결용 모뎀, 스위치	크레인에 SIM 카드를 제공하는 제어반 내부의 4G 라우터
물리적 및 가상 네트워크 인터페이스	이더넷, Wi-Fi, 필드버스 인터페이스 카드와 어댑터
운영체제	HMI 패널 내부의 실시간 OS 또는 Windows 빌드
신원 관리 및 특권 접근 관리	서비스 팀이 사용하는 원격 접속 계정 시스템
보안 정보 및 이벤트 관리 시스템	크레인과 함께 플랜트 수준 모니터링을 재판매하는 경우에만 해당

CRA 제7조 제1항은 연쇄 적용으로부터 귀사를 보호합니다. 클래스 I 또는 클래스 II 범주의 핵심 기능을 갖춘 제품을 통합한다고 해서 호스트 제품이 그 절차로 끌려 들어가지는 않습니다. 다만 공급업체가 제 일을 했는지는 여전히 확인해야 하며, 그 구성품에 적합성 선언과 CE 마크가 없다면 책임은 귀사에 있습니다. 그것은 전화 통화가 아니라 발주서에 넣으십시오.

크레인은 얼마나 오래 지원되어야 합니까?

5년이 최저선이며, 산업 장비의 경우 전문은 더 나아가라고 말합니다. CRA 전문 60은 제품 수명이 더 짧지 않은 한 지원 기간이 5년 이상이어야 한다고 규정하고, "산업 제어 시스템과 같이 산업 환경에서 사용되도록 의도된 제품은 훨씬 더 긴 기간 동안 사용되는 경우가 많다"고 덧붙입니다.

이를 크레인의 실제 사용 수명 20~30년과 나란히 읽으면 격차가 분명합니다. 2027년산 PLC가 2052년에 패치를 받으리라 기대하는 사람은 없습니다. 규정이 기대하는 것은 패치가 언제 중단되는지를 서면으로 밝히라는 것입니다.

부속서 II는 지원 기간의 종료일을 제품과 함께 사용자에게 제공하도록 요구합니다. 설명서의 그 한 줄을 유지보수 관리자가 개조 계획에 사용하고, 시장 감시관이 가장 먼저 읽습니다.

크레인 등급과 부하	일반적인 사용 수명	방어 가능한 선언 지원 기간
경량 작업장 크레인, A3-A4, 1-10 t	15-20년	디지털 구성품에 대해 5년, 그렇게 명시
생산용 크레인, A5-A6, 10-50 t	20-25년	8-10년, 문서화된 컨트롤러 업그레이드 경로 포함
중량 또는 공정 크레인, A7-A8, 50-100 t	25-30년	10년, 계약상 마이그레이션 기간 추가
무선 리모컨만 있고 네트워크가 없는 크레인	15-20년	무선 설비에 의해 정해지는 지원 기간, 보통 5-7년

이 기간 범위는 중국과 유럽의 서비스 기록에서 나온 우리 자체 계획 가정이며, 공표된 통계가 아닙니다. 5년 최저선은 법입니다. 그 이상은 상업적 결정이며, 6년째에 논쟁하는 것보다 컨트롤러 로드맵과 함께 10년을 약속하는 편이 훨씬 저렴하므로 주문 전에 구매자와 함께 정해야 합니다.

기술 파일에는 무엇이 들어가며, SBOM은 무엇입니까?

기술 문서 요구사항은 공장의 기존 CE 파일을 실제 작동하는 문서로 바꾸는 부분입니다. 구 기계 지침에 맞춰 작성된 크레인 파일은 보통 도면, 계산서, 위험 평가, 시험 성적서, 선언서를 담습니다. 버전이 있는 구성품 목록은 거의 결코 담지 않습니다.

항목	크레인에서의 모습	현재 흔한 결손
일반 설명 및 의도된 사용	정격, 스팬, 부하 등급, 환경, 인터페이스	대개 존재하지만 네트워크 인터페이스는 거의 언급되지 않음
사이버 위험을 포함한 위험 평가	신호가 위조되거나 재전송될 경우 움직임에 무슨 일이 생기는가	누락. 안전 위험 평가가 기계적 위험에서 멈춤
소프트웨어 자재 명세서(SBOM)	컨트롤러, HMI, 게이트웨이의 모든 제3자 라이브러리와 펌웨어 버전	존재하지 않음. 전문 77은 이를 기대하며 공개를 요구하지는 않음
취약점 처리 절차	누가 보고를 받고, 누가 분류하며, 수정이 어떻게 스페인의 크레인에 도달하는가	누락, 그리고 구매자 IT 부서가 시험할 조항이 바로 이것
안전한 업데이트 메커니즘	서명된 펌웨어, 롤백, 인터넷 연결 없이도 작동하는 경로	보통 USB 메모리와 이메일, 문서화되지 않음
조정된 취약점 공개 정책 및 연락처	영업용 메일함이 아닌 공개 보안 연락처	누락, 그리고 목록에서 가장 저렴하게 고칠 수 있는 항목

SBOM에 관해 분명히 말할 두 가지가 있습니다. 첫째, 규정은 이를 공개하도록 강제하지 않습니다. 전문 77은 제조사가 "SBOM을 공개할 의무를 지지 않는다"고 합니다. 둘째, 한 번 작성해 두면 쓸모가 없습니다. 가치는 지난주에 공개된 라이브러리가 귀사 컨트롤러 펌웨어 안에 있는지를 하루 안에 답할 수 있다는 데 있습니다. 그것은 PDF가 아니라 데이터베이스입니다.

법적으로 누가 책임집니까? 공장, 수출업체, 아니면 EU 수입자입니까?

셋 모두이며 방식이 각각 다르고, 수입자는 대부분의 중국 공급업체가 생각하는 것보다 더 많은 책임을 집니다. CRA에서 수입자는 비EU 제조사의 이름이 붙은 제품을 시장에 출시하는 EU 법인입니다. 수입자는 제조사가 필수 사이버보안 요구사항을 충족했는지, 취약점 처리 절차를 갖추었는지, 적합성 평가가 수행되었는지, 기술 문서가 존재하는지, CE 마크가 부착되었는지를 검증해야 합니다. 이를 하지 않는 수입자는 수동적인 통로가 아니라 책임 당사자입니다.

제조사는 서면 위임으로 연합 내에 지정 대리인을 임명해 특정 업무를 수행하게 할 수 있습니다. 이는 선택 사항이며 제조사 자체 의무를 대체하지는 않지만, 유럽이 깨어 있을 때 엔지니어가 잠들어 있는 회사에게 24시간 신고 의무를 감당 가능하게 만드는 장치입니다.

역할	CRA상 핵심 의무	보통 무너지는 지점
제조사	설계, 적합성 평가, CE, 문서화, 지원 기간, 취약점 처리, 24시간 신고	주말을 넘기는 절차가 없음
지정 대리인	서면 위임에 열거된 업무, 보통 당국 연락과 문서 보관	위임장은 서명되었지만 뒷받침할 기술 역량이 없음
수입자	시장 출시 전 적합성, CE, 문서, 제조사의 취약점 절차 검증	크레인을 여느 기계처럼 취급하고 CE 증서만 요구
유통업체	제품 제공 전 CE와 선언 확인, 부적합 시 조치	PDF를 보관만 하고 버전은 확인하지 않음

제재 조항은 수입자들이 왜 묻기 시작했는지를 설명합니다. 제64조는 필수 사이버보안 요구사항과 제조사 의무 위반에 대해 최대 EUR 15,000,000 또는 전 세계 연간 매출의 2.5% 중 높은 금액의 행정 과징금을 규정합니다. 문서 및 절차 실패는 EUR 10,000,000 또는 2%입니다. 인증기관이나 시장 감시 당국에 부정확하거나 불완전하거나 오해의 소지가 있는 정보를 제공하는 경우는 EUR 5,000,000 또는 1%입니다.

위반 유형	최대 행정 과징금
필수 사이버보안 요구사항, 제조사 의무	EUR 15,000,000 또는 전 세계 연간 매출의 2.5% 중 높은 금액
수입자, 유통업체 및 기타 절차상 의무	EUR 10,000,000 또는 전 세계 연간 매출의 2% 중 높은 금액
당국에 부정확, 불완전 또는 오해의 소지가 있는 정보 제공	EUR 5,000,000 또는 전 세계 연간 매출의 1% 중 높은 금액

중견 크레인 제조사에게 비율 기준은 거의 적용되지 않습니다. EUR 1,500만 기준은 직원 수를 따지지 않으며, 모델을 EU 시장에서 철수하라는 명령은 어떤 과징금보다도 더 큰 비용입니다.

위협은 실제입니까, 아니면 서류 작업입니까?

산업 제어 시스템은 이론적 표적이 아닙니다. 공개 경로만 봐도 이야기가 나옵니다. 발표되는 산업 제어 권고문 수는 계속 늘고 있고, 심각도도 함께 오르고 있습니다.

지표	값	출처
2025년에 발표된 ICS 권고문	508건, 2,155개 CVE 포함(500건을 넘은 첫 해)	Forescout Research, 2026년 2월, CISA 데이터 기준
해당 권고문의 평균 CVSS	8.07, 2010년 6.44에서 25% 상승; 82%가 높음 또는 심각	Forescout Research, 2026년 2월
2010년 이후 누적 권고문	3,637건 권고문, 12,174개 취약점, 2,783개 제품, 689개 공급업체	Forescout Research, 2026년 2월
알려진 악용 취약점을 가진 OT 기기	270개 조직의 94만 대 이상 기기 중 12%	Claroty Team82, State of CPS Security 2025
그런 기기가 인터넷에 노출된 조직	40%, 취약점이 랜섬웨어와 연결된 하위 집합에서는 31%	Claroty Team82, State of CPS Security 2025
제조업의 랜섬웨어 증가, 2024년에서 2025년	61%, 모든 핵심 부문 중 최대 증가	Claroty, 2025년 10월 31일

네 번째와 다섯 번째 행을 함께 읽어 보십시오. 조사 대상 공장 열 곳 중 약 네 곳에 이미 알려진 악용 취약점을 가진 자산 위에 안전하지 않은 원격 접속이 놓여 있었습니다. 이는 엔지니어를 보내지 않고 고객을 돕기 위해 크레인에 진단 게이트웨이를 붙여 만든 바로 그 구성입니다. 게이트웨이가 문제가 아닙니다. 공유 비밀번호와 업데이트 경로가 없는 게이트웨이가 문제입니다.

무선 리모컨은 이제 무엇을 입증해야 합니까?

무선 리모컨이 이 규제를 가장 먼저 맞았습니다. 집행위원회 위임 규정 (EU) 2022/30은 무선 설비 지침 제3조 제3항 (d), (e), (f)의 사이버보안 필수 요구사항을 2025년 8월 1일부터 열거된 무선 설비 범주에 의무화했습니다. 크레인 송신기와 수신기 쌍은 무선 설비이므로, 그날 이후 EU로 출하된 모든 휴대형 유닛이 여기에 해당합니다.

조화 표준은 인터넷 연결 무선 설비용 EN 18031-1:2024와 개인 데이터를 처리하는 설비용 EN 18031-2:2024입니다. 이들은 제한 사항과 함께 관보에 인용되었고, 그중 하나는 유난히 구체적입니다. 시행 결정 (EU) 2025/138의 인용에는 EN 18031-1이 6.2.5.1 및 6.2.5.2 조항을 적용할 때 "사용자가 비밀번호를 설정하고 사용하지 않아도 되는 경우" 적합성 추정을 부여하지 않는다는 고지가 붙어 있습니다.

그 한 문장이 많은 하드웨어를 탈락시킵니다. 고정 페어링 코드로 출하되고 비밀번호 설정 요구가 없는 송신기는 조화 표준에 기댈 수 없습니다. 그것이 제품을 자동으로 불법으로 만드는 것은 아니지만, 적합성을 입증하는 가장 쉬운 경로를 없애며, 구매자의 컴플라이언스 부서는 이를 찾아낼 것입니다.

산업용 무선 리모컨에 대한 공격 유형	공격자가 하는 일	공급업체에 던질 질문
가로채기 및 재전송	유효한 텔레그램을 기록하고 나중에 재전송해 크레인을 움직임	링크가 암호화되어 있습니까, 텔레그램이 카운터나 타임스탬프로 재전송으로부터 보호됩니까?
명령 주입	텔레그램 구조를 해독해 다른 명령으로 바꿔치기함	주소뿐 아니라 명령 페이로드에 대한 메시지 인증이 있습니까?
악의적 재프로그래밍	조작 요소와 기계 출력 간의 매핑을 다시 작성함	서명된 이미지와 물리적 서비스 단계 없이 펌웨어를 기록할 수 있습니까?
악의적 재페어링	원래 송신기를 에뮬레이트해 수신기가 새 송신기를 받아들이게 함	페어링에 수신기에 대한 물리적 접근과 인가된 키가 필요합니까?

위의 네 가지 공격 유형은 HBC-radiomatic이 산업용 무선 리모컨 보안에 관해 공개한 백서에서 사용하는 분류입니다. 이 백서는 또한 회사가 10년 넘게 완전 암호화된 무선 전송을 제공해 왔으며 가능한 경우 시스템을 외부 침투 테스트에 제출한다고 언급합니다. 그것이 이제 진지한 공급업체가 따르는 기준입니다. 유럽산 리모컨과 더 저렴한 제품을 비교하는 구매자에게도 합리적인 벤치마크입니다. 질문은 데이터시트에 "암호화"라고 적혀 있는지가 아니라, 네 가지 유형 중 어느 것이 닫혔는지 그리고 그것을 어떻게 입증할 것인지입니다.

IEC 62443은 비용이 얼마이며, CE 작업을 대체합니까?

IEC 62443은 "내가 이것을 제대로 했다는 것을 어떻게 보여줄까"에 대한 산업계의 답이며, CE 마킹을 대체하지 않습니다. 이는 개발 프로세스와 제품의 기술적 보안 요구사항에 대한 인증입니다. CE 파일은 여전히 존재해야 합니다.

크레인 제조사에게 중요한 세 부분이 있습니다. 보안 개발 수명주기를 위한 4-1, 구성품의 기술적 보안 요구사항을 위한 4-2, 시스템을 위한 3-3입니다. 공개된 2026년 제도 수수료와 평가 범위는 쓸 만한 규모 감각을 제공합니다.

인증 대상	표준	제도 수수료	평가, 일반적 범위
보안 개발 수명주기	62443-4-1	연 USD 1,500	성숙도 수준 2에서 EUR 15,000-35,000
구성품	62443-4-2	구성품당 연 USD 1,200 또는 제품군당 연 1,500	인증된 4-1 프로세스에 추가로 EUR 25,000-50,000
시스템	62443-3-3	연 USD 1,200	EUR 30,000-50,000
최초 기기 인증, 전체 비용	ISASecure 제도	상기 항목에 포함	제도 자체 FAQ 기준 USD 50,000-75,000

표준 자체가 가장 저렴한 항목이며 가장 자주 건너뛰는 항목입니다. IEC는 각 부분을 따로 판매합니다. 62443-4-1은 CHF 335, 62443-4-2는 CHF 405이므로 제품 공급업체의 최소 세트는 CHF 740입니다. 플랜트가 서비스 제공업체에 무엇을 요구할지 이해하는 데 필요한 전체 세트는 CHF 3,000 미만입니다. 컨설턴트에게 요약을 맡기는 것보다 표준을 사는 편이 저렴합니다.

특히 기계 규정과 관련해 중요한 두 번째 경로가 있습니다. 규정 (EU) 2019/881에 따라 채택된 사이버보안 제도에 따른 인증은 기계 규정 부속서 III의 1.1.9항 및 1.2.1항에 대한 적합성 추정을 부여합니다. 현재 제도는 시행 규정 (EU) 2024/482로 설립된 EUCC이며, 2025년 2월 27일부터 적용되고 "실질적"과 "높음"의 두 보증 수준을 가집니다. EUCC에서는 자체 평가가 허용되지 않습니다. 두 법률에 모두 쓸 인증서 하나를 원하는 크레인 제조사에게 그것이 바로 그 장치이며, 문서 검토가 아니라 본격적인 프로젝트에 걸맞은 가격이 책정됩니다.

규정 준수 비용은 크레인 한 대당 실제로 얼마입니까?

이 업계에서 대당 수치를 공개하는 곳은 없으므로 우리 수치를 제시합니다. 아래 수치는 PLC 제어 크레인 세 모델 범위에 대한 SIEC의 계획 추정치이며, 시험 및 문서화 작업에 대한 우리 자체 견적에서 산출했습니다. 공표된 통계가 아니며 제어 시스템의 범위에 따라 달라집니다.

작업 패키지	첫해	반복 비용
안전 파일에 추가하는 위협 모델 및 사이버 위험 평가	엔지니어 5-8일	모델 변경당 1-2일
컨트롤러, HMI, 게이트웨이용 SBOM 작성 및 갱신	4-6일	분기당 1-2일
게이트웨이와 무선 링크의 외부 침투 테스트	EUR 8,000-15,000	2-3년마다 EUR 8,000-15,000
문서, 적합성 선언, 설명서 갱신	3-5일	연 1-2일
취약점 처리 및 24시간 신고 의무	절차 구축 3-4일	연 4-8일 및 당직 대기 인력
선택 사항: EUCC 또는 IEC 62443-4-2 인증	EUR 40,000-90,000	제도 수수료 및 사후 심사
제3자 인증 제외 합계	EUR 25,000-55,000	연 EUR 10,000-25,000

생산량으로 나누면 그림이 완전히 달라집니다. 연 40대라면 첫해 비용은 대당 EUR 625에서 1,375입니다. 연 8대라면 대당 EUR 3,100에서 6,900이며, 이는 20톤 기계 한 대의 운송비와 비슷한 수준입니다. 반복 비용이 소규모 제조사가 이 영역에 남을 수 있는지를 결정합니다. 연 EUR 10,000에서 25,000은 물량에 따라 줄지 않으므로 수주 잔고가 줄수록 대당 고정비가 올라갑니다.

사람들이 과소평가하는 항목은 신고 의무입니다. 24시간 시계는 누군가가 저장성에서 유럽 시간 새벽 3시에 연락 가능해야 한다는 뜻입니다. 실무적으로는 사고 대응 프로세스를 갖춘 유럽 서비스 파트너나 교대 근무조가 필요합니다. 둘 다 비용이 들고, 둘 다 견적서에는 없습니다.

RFQ에는 무엇을 적어야 합니까?

두 규제를 이해하는 구매자는 그렇지 않은 구매자와 다른 발주서를 작성합니다. 다음은 최근 유럽 문의에서 우리가 보는 조항이며, 우리가 구매하는 쪽이라면 넣을 조항입니다.

조항	효과적인 문구
1. 목록	크레인 내 디지털 요소 포함 제품을 제조사, 모델, 펌웨어 버전과 함께 모두 열거
2. 선언	각 제3자 품목의 CE 적합성 선언을 제공하거나, 존재하지 않음을 서면으로 명시
3. 지원 기간	설명서에 지원 종료일을 명시하고 그에 책임지는 사람을 지정
4. 원격 접속	아웃바운드 전용 연결, 인바운드 포트 없음, 사이트별 자격 증명, 공유 서비스 계정 없음
5. 무선 링크	암호화된 전송, 재전송 카운터, 최초 사용 시 비밀번호 설정 의무, 물리적 페어링 단계
6. 업데이트	서명된 펌웨어, 문서화된 오프라인 업데이트 경로, 롤백 절차
7. SBOM	NDA 하에 영업일 5일 이내 요청 시 제공, 각 펌웨어 릴리스마다 갱신
8. 신고	크레인에 영향을 주는 악용된 취약점을 인지한 후 24시간 이내 구매자에게 통지
9. 에스컬레이션	일반 영업 주소가 아닌, 응답 시간이 정해진 지정 보안 연락처
10. 변경 관리	컨트롤러, HMI, 게이트웨이의 교체에는 서면 승인과 파일 갱신이 필요

제10조는 구매자를 가장 흔한 실제 실패로부터 보호하는 조항입니다. 공급 지연으로 공장에서 컨트롤러를 교체하고, 아무도 문서를 갱신하지 않으면, 18개월 후 현장의 크레인은 더 이상 선언된 파일과 일치하지 않습니다. 기계 규정상 그것은 적합성 문제입니다. CRA상 그것은 EUR 1,000만 구간에 해당하는 문서화 실패입니다.

2027년 납품에 대한 현실적인 일정은 무엇입니까?

지금 주문하면 두 규제가 겹치는 구간에 납품되며, 서류보다 순서가 더 중요합니다.

단계	시기	준비되어야 하는 것
주문 및 설계 확정	2026년 4분기 ~ 2027년 1분기	구성품 목록과 공급업체 선언을 주문 이후가 아니라 주문과 함께 확정
기계 규정 적용	2027년 1월 20일	부속서 III 1.1.9 증거: 연결 아키텍처, 개입 기록, 보호된 안전 소프트웨어
기존 설치 기재에 대한 CRA 신고 의무	2026년 9월 11일부터 이미 시행 중	EU에 이미 있는 모든 연결 크레인에 대한 지정 연락처와 서면 분류 절차
CRA 주요 의무	2027년 12월 11일	CRA 적합성 평가, 선언, CE, SBOM, 선언된 지원 기간
첫 CRA 심사 주기	2028년	취약점 절차가 문서로만 있는 것이 아니라 실제로 작동했다는 증거

실무적 결과는 2027년 하반기에 납품되는 크레인이 납품 시점에 기계 규정을 충족해야 하고 몇 달 안에 CRA 체제에 들어간다는 것입니다. 두 규제를 위해 파일을 한 번 설계하는 편이 하나를 다른 하나에 맞춰 개조하는 것보다 저렴합니다. 두 규제가 겹치는 곳은 제어 시스템입니다. 1.1.9는 개입이 안전 기능을 오염시킬 수 있는지를 묻고, CRA는 그 사실을 알 수 있고 고칠 수 있는지를 묻습니다.

솔직한 요약은 무엇입니까?

크레인 사이버 규정 준수는 중국산 크레인을 막기 위한 유럽의 술책이 아닙니다. 문서와 절차에 관한 법이며, 제대로 된 CE 파일을 이미 만드는 공장은 기한이 시사하는 것보다 규정 준수에 더 가깝습니다. 이 법이 실제로 응징하는 것은 대부분의 수출업체가 현재 의존하는 구성입니다. 제3자 PLC와 게이트웨이, 공유 비밀번호, 문서화되지 않은 업데이트 경로, 그리고 그 문제를 책임질 사람이 없는 상태입니다.

가장 먼저 고쳐야 할 부분은 신고 의무입니다. 이미 발효 중이고 제대로 갖추는 데 거의 비용이 들지 않기 때문입니다. 지정 연락처, 짧은 서면 분류 절차, 그리고 크레인의 이상 동작에 대한 고객 보고가 한 시간 안에 그 연락처에 도달한다는 규칙. 일주일이면 되는 일입니다. 대안은 24시간 시계가 이미 돌아가는 사고 한가운데에서 의무를 발견하고, 수입자가 왜 통보받지 못했는지 묻는 상황입니다.

자주 묻는 질문

인터넷에 연결되지 않은 크레인에도 사이버 복원력 법(CRA)이 적용됩니까?

적용됩니다. 제품의 일부라도 다른 기기와 직접 또는 간접적으로 연결되는 디지털 요소를 갖춘 제품이라면 해당됩니다. PLC와 HMI가 로컬 네트워크에 있고 인터넷으로 나가는 경로가 없는 크레인도 여전히 적용 범위 안에 있습니다. 이 규정은 간접 연결도 포함하며, 기술자의 노트북을 제어반에 꽂는 것도 하나의 연결입니다. 인터넷이 없을 때 달라지는 것은 법적 범위가 아니라 실제 위험입니다.

우리는 유럽 유통업체를 통해서만 수출합니다. 그러면 그들이 제조사가 됩니까?

아닙니다. 크레인에 귀사의 이름이나 상표가 붙어 있다면 귀사가 CRA상 제조사이며 신고 의무도 귀사에 있습니다. 유통업체가 제품을 시장에 출시한다면 그들은 수입자이며 검증 의무를 지지만, 귀사의 의무가 이전되지는 않습니다. 기계에 귀사 브랜드를 붙이고 서류에 유통업체 이름을 올린다고 해서 책임이 옮겨가지는 않습니다.

무선 리모컨은 RED와 CRA 양쪽의 적용을 두 번 받습니까?

무선 리모컨은 무선 설비이면서 동시에 디지털 요소를 갖춘 제품입니다. 무선 설비 지침의 사이버 요구사항은 위임 규정 2022/30을 통해 2025년 8월 1일부터 적용되어 왔으며, 조화 표준은 EN 18031-1과 EN 18031-2입니다. CRA는 제품 전체와 수명주기를 아우르는 별도의 수평적 층을 추가합니다. 인증서 하나가 다른 하나를 마감한다고 가정하지 마십시오. 여러 법령을 결합하는 것에 관한 집행위원회의 지침은 제조사가 시너지를 입증해야 한다는 것입니다.

취약점을 발견했는데 72시간 안에 고칠 수 없다면 어떻게 됩니까?

그래도 신고해야 합니다. 72시간 기한은 수정이 아니라 완전한 신고에 대한 것입니다. 실제로 악용되고 있는 취약점에 대한 최종 보고서는 시정 조치가 마련된 후 늦어도 14일 이내에 제출해야 하며, 이는 별개의 시계이고 수정이 신고보다 오래 걸린다는 점을 인정한 것입니다. 해서는 안 되는 일은 누구에게도 알리기 전에 수정을 기다리는 것입니다.

EU에 판매하려면 IEC 62443 인증이 필요합니까?

아닙니다. IEC 62443은 CRA에 따라 자동적인 적합성 추정을 부여하는 조화 표준으로 인용되어 있지 않습니다. 다만 기계 규정은 규정 (EU) 2019/881에 따라 채택된 제도에 따른 인증이 부속서 III의 1.1.9항 및 1.2.1항에 대한 적합성 추정을 부여한다고 규정합니다. IEC 62443은 프로세스를 구축하는 실무적인 방법이며 구매자가 요구할 수도 있지만, 법적 관문은 아닙니다. 별도 제품으로 판매되는 호이스트의 경우에도 동일한 논리가 자체 컨트롤러와 선언에 적용됩니다.

2018년에 판매한 크레인이 유럽에 있습니다. 정말 2026년 신고 의무에 해당합니까?

그렇습니다. 집행위원회는 2026년 9월 11일, 신고 의무가 EU 내에서 제공되는 모든 디지털 요소 포함 제품에 적용되며 이미 시장에 나와 있는 제품도 포함된다고 밝혔습니다. 의무는 판매 시점이 아니라 제조사에 붙습니다. 실무적으로 2018년 크레인 대부분은 원격 연결이 없고 귀사가 악용된 취약점을 알 방법이 없는데, 이는 질문이 나오지 않으리라 가정하기보다 그 사실을 문서화해야 하는 이유가 됩니다.