오픈소스 없는 소프트웨어 개발은 이제 상상하기 어렵습니다. 

국토교통부는 자동차관리법 준수를 위한 '자동차 사이버보안 인증제도 가이드라인'을 공개했습니다. 최근 차량 내 전자제어장치(ECU)와 통신 기능이 확대되면서 자동차는 더 이상 단순한 이동수단이 아니라, 외부 네트워크와 연결되는 복합 소프트웨어 시스템으로 진화하고 있습니다.

이에 따라 완성차 및 부품 기업은 차량 개발 단계부터 사이버 위협을 식별하고, 보안 요구사항을 체계적으로 관리하는 CSMS(Cyber Security Management System) 기반 대응이 중요해지고 있습니다. 특히 커넥티드카, 자율주행, OTA 업데이트 등 소프트웨어 중심 차량 환경이 확대되면서 자동차 사이버보안은 선택이 아닌 필수 인증 과제로 자리 잡고 있습니다.

이번 가이드라인은 자동차 사이버보안 인증제도의 개요, 인증기준, 체크리스트, FAQ 등을 포함하고 있어 관련 기업이 제도 대응 방향을 사전에 점검하는 데 도움이 됩니다.

• 자동차 사이버보안 관리체계(CSMS) 인증 대응 기준 제시
• 차량 개발 · 생산 · 운영 전 과정의 사이버 위협 관리 필요성 확대
• ECU, 통신 기능, OTA 등 커넥티드 환경 보안 중요성 증가
• 인증기준별 체크리스트 및 FAQ 제공
• 완성차 · 부품사 · SW 공급망 전반의 보안 대응 역량 요구
• 자동차관리법 및 글로벌 사이버보안 규제 대응 기반 마련 

EU Cyber Resilience Act(CRA)는 EU 시장에서 판매되는 소프트웨어 및 하드웨어 제품에 대해 보안 설계, 취약점 처리, 지속적인 유지관리 의무를 요구하는 사이버보안 규제입니다. 특히 2026년 9월 11일부터는 제조사, 수입사, 유통사가 적극적으로 악용되는 취약점과 중대한 보안 사고를 ENISA 및 지정된 국가 CSIRT에 보고해야 하는 의무가 적용됩니다.

이에 따라 기업은 제품이 CRA 적용 대상에 해당하는지 확인하고, 취약점 보고 체계와 SBOM 기반 가시성, 지속적인 취약점 모니터링, 내부 정책 및 플레이북, 보안 증빙 자료를 사전에 준비해야 합니다.

이번 체크리스트에서는 2026년 9월 CRA 보고 의무에 대비하기 위해 기업이 반드시 점검해야 할 주요 항목을 정리했습니다.

이번 가이드라인은 자동차 사이버보안 인증제도의 개요, 인증기준, 체크리스트, FAQ 등을 포함하고 있어 관련 기업이 제도 대응 방향을 사전에 점검하는 데 도움이 됩니다.

• CRA 적용 대상 제품 범위 확인
• 적극적으로 악용되는 취약점 및 중대 보안 사고 보고 일정 점검
• 24시간 Early Warning, 72시간 Triage Report, 14일 Final Report 대응 준비
• 제품 버전별 SBOM 생성 및 표준 포맷 관리
• 지속적인 취약점 모니터링 프로세스 구축
• CRA 단일 보고 플랫폼 연계 및 내부 보고 체계 준비
• Secure by Design 증빙을 위한 리스크 평가 및 기록 관리
• 2026년 9월 필수 준비 항목과 2027년 이후 준수 항목 구분