아우토크립트, EU 사이버복원력법 핵심조항 시행 앞두고 글로벌 규제 시장 공략

글로벌 기업들이 규제 대응 체계를 강화하고 있는 가운데 국내 피지컬 AI 보안 전문기업 아우토크립트가 관련 기술과 컨설팅 서비스를 앞세워 글로벌 규제 시장 공략에 속도를 내고 있다.

유럽연합(EU)의 사이버복원력법(Cyber Resilience Act, CRA)의 핵심 조항 시행을 앞두고 글로벌 사이버보안 규제가 자동차를 비롯한 디지털 제품 전반으로 확대되면서 산업계의 대응이 본격화되고 있다. CRA의 규제 범위가 소프트웨어 개발과 공급망 전반으로 확장되면서 제품 자체는 물론 이를 구성하는 소프트웨어 공급망의 보안성까지 체계적으로 관리하고 입증해야 하는 시대가 열리면서 기업들도 규제 대응 체계 마련에 속도를 내고 있다.

당장 올해 9월 11일부터 CRA 핵심 조항인 취약점 및 보안 사고 보고 의무가 순차적으로 시행된다. CRA는 디지털 요소를 포함한 제품의 설계부터 개발, 유지관리까지 전 생애주기에 걸쳐 사이버보안을 의무화한 규제이며 자동차 분야에만 적용되는 것이 아니라 산업용 로봇과 농기계, 의료기기, 스마트 가전 등 디지털 제품 전반으로 확대한 것이 특징이다.

기존 자동차 규제인 EU의 UN R155가 완성차 제조사의 사이버보안 관리체계 구축을 요구했다면 CRA는 제품을 구성하는 모든 소프트웨어 구성요소와 공급망까지 관리 대상으로 넓혔다. 이에 따라 제조기업들은 제품 개발 단계부터 보안을 내재화(Secure by Design) 접근 방식과 함께 공급망 전반의 취약점을 지속적으로 관리할 수 있는 체계를 갖추는 데 속도를 내고 있다.

이 과정에서 소프트웨어 부품 명세서(Software Bill of Materials, SBOM)의 중요성도 크게 높아지고 있다. SBOM은 제품에 포함된 소프트웨어 구성요소와 버전, 공급업체 등의 정보를 체계적으로 관리하는 문서로 공급망 보안과 취약점 관리의 핵심 수단으로 평가받는다. CRA가 기술문서와 공급망 관리 의무를 강화하면서 SBOM은 규제 준수를 위한 사실상 필수적인 관리 체계로 자리잡고 있다.

이 같은 변화에 따라 글로벌 자동차 및 소프트웨어 기업들도 공급망 보안 체계를 전면 재정비하고 있다. 단순히 규제 준수에 그치지 않고 제품 개발 단계부터 보안 내재화를 개발 프로세스 전반에 적용하는 한편 SBOM을 자동으로 생성 및 관리할 수 있는 체계를 구축하는 데 속도를 내고 있다.

완성차 업체들은 Tier 1ᆞTier 2 협력사를 대상으로 SBOM 제출과 보안 인증, 취약점 대응 프로세스 구축을 요구하는 사례를 늘리고 있다. 공급망 전체의 사이버보안 수준이 제품의 규제 적합성을 좌우하게 되면서 협력사의 사이버보안 역량까지 기업의 핵심 경쟁력으로 평가받기 시작한 것이다.

대표적으로 메르세데스-벤츠는 소프트웨어 공급망 관리와 SBOM 기반의 소프트웨어 자산 관리 체계를 강화하고 있으며 폭스바겐그룹은 소프트웨어 전문 자회사 카리아드(CARIAD)를 중심으로 DevSecOps(개발ᆞ보안ᆞ운영 통합) 기반의 개발 환경을 구축해 제품 설계 단계부터 보안을 내재화하고 있다. 세계 최대 자동차 부품기업인 보쉬 역시 제품보안사고대응팀(PSIRT) 운영과 공급망 보안 관리 체계를 고도화하는 등 유럽의 새로운 사이버보안 규제에 대응하고 있다.

아우토크립트는 지난해 산업기계 및 첨단 부품 전문 기업인 LS엠트론과 대규모 CRA 컨설팅 및 보안 인프라 구축 계약을 체결하는 등 눈에 띄는 성과를 거두고 있다. 이는 자동차 중심이던 사이버보안 기술을 다양한 산업 분야로 확장한 것이다.

아우토크립트는 유럽 시장 진출을 추진하는 농기계, 산업용 로봇, 지능형 가전 등 다양한 제조기업을 대상으로 규제 해석부터 기술 적용, 인증 준비까지 전 과정을 지원하는 맞춤형 컨설팅을 제공하고 있다. 그동안 자동차 분야에서 축적한 위협 분석 및 위험평가(TARA) 수행 경험과 사이버보안 관리체계(CSMS) 구축 노하우를 바탕으로 제품 개발 단계에서부터 보안 요구사항을 반영할 수 있도록 지원해 기업들의 규제 대응 부담을 줄이는 데 주력하고 있다. 기술 경쟁력도 강점으로 꼽힌다. 아우토크립트는 CRA의 핵심 요구사항인 소프트웨어 공급망 보안 분야에서 SBOM 생성 및 취약점 분석 기술을 확보하고 있다.

업계에서는 앞으로 CRA가 본격 시행되면 단순히 규제를 충족하는 수준을 넘어 공급망 전반의 사이버보안 역량이 글로벌 시장 진출과 기업 경쟁력을 좌우하는 핵심 요소로 자리할 것으로 전망하고 있다. 이에 따라 규제 해석부터 보안 설계, 공급망 관리, 취약점 대응까지 통합적으로 지원할 수 있는 전문기업의 역할도 더욱 확대될 것으로 예상된다.