EU 사이버복원력법의 보고 관련 의무는 2026년 9월 11일부터 적용되기 시작했다. 규정의 주요 의무가 전면 적용되는 2027년 12월과는 구분해야 한다.[1] 시행 한 달 시점에 한국 제조사가 확인할 것은 대응 문서의 존재보다 실제로 정보가 전달되고 결정되는지다. 제품별 적용 범위와 기업의 법적 역할은 전문 검토가 필요하다.[2]
보안 문제가 곧바로 보도자료의 문제가 되는 것은 아니다
취약점이나 사고에 관한 첫 정보는 연구자, 부품 공급사 또는 현지 고객에게 도착할 수 있다. 그 정보를 기술팀이 판단하기 전에 홍보팀이 안전하다고 단정하거나, 반대로 확인되지 않은 위험을 전체 제품군으로 확대하면 혼란이 생긴다. 접수, 검증, 법적 판단과 고객 안내를 연결하되 각각의 책임을 구분해야 한다.
기업이 무엇을 알았는지와 언제 알았는지를 기록한다. 언론의 질문이 도착한 시간을 사건의 시작으로 삼아서는 안 된다. 의무에 따른 신고와 공개 발표도 동일한 행위가 아니므로 어느 정보가 누구에게 어떤 절차로 전달되는지 미리 확인한다.
한국 본사의 승인 체계와 프랑스의 시간을 맞추기
유럽 고객이 연락했을 때 한국에서 이미 업무가 끝났다면 다음 날까지 기다리는 구조인지 점검해야 한다. 비상연락망에 이름이 있다는 것만으로 권한이 확보되지는 않는다. 확인된 사실을 전달하는 권한, 임시 조치를 결정하는 권한과 추가 분석을 요청하는 권한을 나누어 둔다.
기술 책임자가 부재한 경우 대체 담당자가 어떤 자료를 볼 수 있는지도 확인한다. 소규모 유럽 법인이나 판매 파트너에게 과도한 판단을 떠넘기지 않고 본사의 지원 경로를 확보한다. 시차는 피할 수 없지만 불필요한 승인 대기는 줄일 수 있다.
고객의 질문에 답할 수 있는 범위표 만들기
영향을 받는 제품, 버전, 사용 조건과 확인 시점을 정리한다. 아직 확인되지 않은 부분은 빈칸을 숨기기보다 조사 중이라고 표시한다. 기술팀의 가설을 확정된 결론으로 바꾸지 않으면서도 사용자가 무엇을 해야 할지 설명할 수 있어야 한다.
예를 들어 가상의 산업용 센서 제조사라면 모든 설비를 중단하라는 안내가 안전이나 생산에 새로운 문제를 만들 수 있다. 현장의 기술 담당자와 함께 필요한 조치와 적용 조건을 검토해야 한다. 이는 실제 사고 사례나 법적 권고가 아니라 대응 설계를 위한 가정이다.
취약점 수정과 신뢰 회복의 속도는 다를 수 있다
수정 파일을 배포해도 모든 고객이 즉시 설치할 수 있는 것은 아니다. 생산 일정, 설치 승인과 외부 유지보수 업체가 영향을 준다. 기업은 배포 사실뿐 아니라 고객이 수정 내용을 이해하고 실행할 수 있는지 확인해야 한다.
설치하지 않은 고객을 일방적으로 부주의하다고 표현하는 것은 도움이 되지 않는다. 업데이트가 지연되는 이유를 파악하고 대체 안내가 가능한지 기술팀과 검토한다. 지원 종료 제품이 포함됐다면 해당 정책과 예외 검토의 책임도 분명히 해야 한다.
공급망 전체에 같은 사실을 전달하기
한국 공급사가 유럽 브랜드의 이름으로 판매되는 제품을 제조한다면 공개 명칭과 기술 책임이 다를 수 있다. 계약과 적용 법령에 따른 역할을 확인하고 상대 회사가 필요한 정보를 받는 경로를 마련한다. 일방적인 발표로 파트너가 먼저 언론에서 사실을 알게 되는 상황은 피해야 한다.
다만 조율이 모든 전달을 무기한 늦추는 이유가 되어서는 안 된다. 필요한 법적 절차와 계약 협의, 고객 안내를 병렬로 준비하고 각 결정의 근거를 기록한다. 비밀 유지가 가능한 범위와 반드시 알려야 하는 정보는 전문가가 판단해야 한다.
프랑스어 안내는 단순 번역 이상의 검토가 필요하다
기술적 표현을 정확히 옮기는 것과 사용자가 행동할 수 있도록 설명하는 것은 서로 다른 작업이다. 제품을 확인하는 방법, 문의할 곳과 다음 업데이트 시점을 명확하게 적는다. 원인 조사 중이라는 문구만 반복하면 고객은 당장의 결정을 내릴 수 없다.
본사와 현지 자료에는 같은 기준 시각과 버전을 표시한다. 한 언어에서 수정된 사실이 다른 언어에 남아 있으면 검색 결과와 고객 지원 답변이 달라질 수 있다. 중요한 변경은 웹페이지뿐 아니라 판매망과 지원 조직에도 전달한다.
모의훈련에서는 전달되지 않은 질문을 찾기
가상의 취약점 제보를 넣고 누가 어느 시점에 어떤 결정을 내렸는지 확인한다. 훈련의 목적은 멋진 발표문을 완성하는 것이 아니다. 자료가 어디에서 막혔는지, 누구에게 권한이 없었는지, 고객에게 필요한 설명이 무엇이었는지 발견하는 것이다.
훈련 결과는 문서 수정, 연락망 보완과 경영진 판단으로 나누어 후속 작업을 정한다. 문제를 홍보 부서의 숙련도만으로 해석하지 않아야 한다. 실제 대응 능력은 기술, 법무와 사업 조직이 함께 갖춰야 한다.
보안 사실과 대외 설명을 같은 운영 체계에 놓기
Belief System은 한국 본사와 프랑스 조직 사이의 위기 소통, 경영진 질의응답과 이해관계자 대응 설계를 지원한다. 기술 분석이나 법적 신고 판단은 해당 전문가의 역할로 두고, 확인된 사실이 필요한 사람에게 정확히 전달되도록 돕는다.
첫 논의에서는 제품별 지원 정책, 기존 사고 대응 절차, 유럽 판매 구조와 승인 체계를 검토할 수 있다. 이를 바탕으로 공통 사실표, 안내문 틀과 모의훈련 시나리오를 준비한다. 보고 의무의 시행은 일회성 발표가 아니라 책임이 작동하는지 확인할 계기다.
안내문 초안에서 먼저 채울 여섯 항목
현재 확인한 사실, 영향을 검토하는 범위, 고객이 취할 수 있는 조치, 아직 모르는 부분, 연락할 곳과 다음 갱신 시점을 정리할 수 있다. 이것은 모든 사고에 적용되는 법적 신고 양식이 아니라 고객 소통을 준비하기 위한 내부 틀이다. 실제 공개 범위와 시점은 사건에 맞게 판단한다.
각 항목 옆에 근거를 확인한 담당자와 시간을 남긴다. 새 정보가 나오면 무엇이 달라졌는지 표시하고 이미 자료를 받은 조직에 전달한다. 이전 설명을 조용히 지우기보다 중요한 수정의 이유를 알리는 편이 혼선을 줄이는 데 도움이 될 수 있다.
훈련에서는 고객이 한국 본사가 아니라 프랑스 판매 파트너에 먼저 연락하는 상황도 넣어 본다. 파트너가 문의를 정확하게 전달할 수 있는지, 모르는 사실을 추정해서 답하지 않는지 확인한다. 작은 판매 조직이 연락망 밖에 있으면 중앙의 절차가 잘 설계되어도 필요한 정보는 늦어질 수 있다.
보안팀과 커뮤니케이션팀의 공동 점검은 발표문의 문장을 다듬는 데서 끝나지 않는다. 고객이 안내를 실제로 적용할 수 있는지와 지원 요청이 어디에서 막히는지 살펴야 한다. 해결되지 않은 운영 문제를 성공적인 대응이라는 표현으로 덮지 않는 것이 장기적인 신뢰에 중요하다.
첫 협의를 위한 준비
현지 시장에서 지금 내려야 하는 결정, 관련 제품과 사업 범위, 기존 설명 자료와 아직 답하지 못한 질문을 함께 정리하면 논의를 시작하기 좋다. 공개할 수 있는 사실과 내부 검토 정보는 구분한다. 필요한 지원이 전략 정리인지, 경영진 준비인지, 고객·기관 대응인지에 따라 업무 범위도 달라진다. 실제 기술·법률 판단이 필요한 항목은 해당 전문가와 연결하고, 외부 설명이 그 판단보다 앞서가지 않도록 조율한다.