EU 사이버 복원력법 (CRA)은 EU 시장에 출시되는 디지털 요소가 포함된 제품 (PDEs)을 비롯해 디지털 제품 공급망 전반으로 사이버보안 책임을 근본적으로 확대합니다. CRA에 따른 의무는 주로 제조업체와 기타 경제 운영자에게 부과되지만, 오픈소스 소프트웨어(OSS)는 중요한 소프트웨어 의존 구성요소가 단일한 책임 주체 없이 분산된 커뮤니티 전반에서 개발·유지관리·배포될 수 있다는 특유의 과제를 제기합니다.
자유·오픈소스 소프트웨어 (FOSS)는 일반적으로 상업적 활동의 일환이 아닌 방식으로 배포되는 경우 적용이 면제되지만, 소프트웨어가 직접적인 대가를 받고 제공되거나 행동 기반 광고, 사용자 데이터 활용 또는 유료 독점 확장 기능을 통해 수익화되는 경우에는 이러한 면제가 적용되지 않으며 제조업체 의무가 부과됩니다.
반대로 비용 충당을 위한 순수한 이타적 기부나 비영리단체의 개발 교육은 일반적으로 제조업체 지위를 발생시키지 않습니다. 한편 독점 소프트웨어인 프리웨어는 무료로 제공되더라도 CRA의 적용 범위에 포함됩니다(예: 장치 드라이버). CRA 제24조에 따라 스튜어드는 안전한 개발과 취약점 처리를 촉진하기 위해 검증 가능한 사이버보안 정책을 수립하고 문서화해야 합니다. 이는 행정 과징금이 부과되지 않는 ‘완화된 규제’ 체계이지만, 스튜어드는 여전히 제24조 제3항에 따라 실제로 악용되고 있는 취약점과 중대한 인프라 사고를 당국에 통지해야 하는 의무적 보고 요건을 준수해야 합니다.
제13조는 법적 책임을 한층 강화합니다. 제조업체는 모든 의존 구성요소에 대해 정확한 소프트웨어 자재명세서(SBOM)를 유지하고, 제품에 대해 명시한 지원 기간 동안 보안 업데이트를 보장하며, 시장 출시 시점에 알려진 악용 가능한 취약점이 존재하지 않음을 부속서 VII에 따른 문서로 입증해야 합니다.
CRA는 이미 제조업체가 취약점 수정 사항을 업스트림 유지관리자와 공유하도록 의무화하고 있습니다. 이 법은 수정 사항을 원본 프로젝트에 반영하는 업스트림 기여를 단순히 장려하는 데 그치지 않고, 사실상 다른 선택지를 없앱니다. 기업 내 오픈소스 프로그램 오피스 (OSPO)는 조직 차원의 촉매제 역할을 합니다. CRA의 규제 압력 아래에서 OSPO는 라이선스 준수 기능을 수행하는 조직에서 내부 제품 거버넌스를 업스트림 커뮤니티와 직접 연결하는 전략적 허브로 발전합니다. 여기에서 제안하는 접근 방식은 CRA의 최소 준수 요건을 넘어섭니다.
업스트림 저장소가 제조업체의 적극적인 기여와 자동화된 검증 인프라를 바탕으로 본래부터 CRA를 준수하도록 구축되어 있다면, 제조업체는 사전 감사가 완료되고 문서가 완비된 구성요소를 곧바로 제품 생산에 도입할 수 있습니다. 적합성 평가 업무량은 획기적으로 줄어듭니다.
CRA는 유럽 조화표준을 통해 ‘설계 단계부터의 보안(secure by design)’을 법적으로 정의하며, 해당 표준 개발에 참여하는 제조업체는 시장 전체의 규정 준수 경로를 형성합니다. 아직 검토 중이지만, ETSI, CEN 및 CENELEC는 모든 제품에 공통으로 적용되는 수평적 기본 요건과 부속서 III 및 부속서 IV의 고위험 범주에 적용되는 수직적 표준을 마련하도록 위임받았습니다.
리눅스 재단은 제조업체가 규정 준수 역량을 독자적으로 구축하는 대신 활용할 수 있는 협업 인프라를 제공합니다. 이러한 생태계 전반에서 AI 도입이 확대됨에 따라, 리눅스 재단은 글로벌 AI 가치사슬을 위한 오픈소스 적합성 규격을 개발하는 공급업체 중립적 이니셔티브인 Appia 재단을 통해 표준화 활동을 검증 가능한 AI 신뢰성 영역으로 확장했습니다. 창립 회원사로는 Microsoft, Google, OpenAI 및 Nemko가 참여하며, 국제표준과 실무적인 규제 적합성 평가를 한데 연결합니다. 이러한 위치에서 Nemko는 깊이 있는 규제 전문성을 평가 가능한 오픈소스 적합성 프레임워크로 구체화하여 신뢰할 수 있는 AI의 미래를 확보하는 데 기여할 수 있습니다.
CRA는 보안에 기여하지 않은 채 오픈소스 생태계에서 가치만 얻어 가는 관행이 돌이킬 수 없이 끝났음을 의미합니다. 긴밀히 연계된 거버넌스, 설계 단계부터의 코드 통제, 업스트림 투자를 수용하는 조직은 단순히 규제 속에서 살아남는 데 그치지 않고, 이를 경쟁업체가 쉽게 모방할 수 없는 확장 가능하고 수학적으로 안전한 공급망으로 전환합니다.
위 내용은 기사의 요약이며, 전문은 이 링크에서 확인하실 수 있습니다.
(This article is based on information provided by Alicja Halbryt; edited by T.Sollie)