자동차 업계에서 R155와 CSMS를 경험한 엔지니어라면 최근 들어 익숙한 단어들이 다른 산업에서도 들리기 시작했다는 걸 느낄 겁니다.
유럽의 CRA(Cyber Resilience Act), 그리고 미국의 CMMC(Cybersecurity Maturity Model Certification). 이름도 출발점도 다르지만, 이 규제들이 공통으로 묻는 질문은 하나입니다.
지속적으로 운영할 능력이 있는가?"
보안을 계속 유지·관리·대응할 수 있는 조직인가? (O)
CRA로 유럽 전체 디지털 제품으로 확산되고,
CMMC로 미국 방산·제조 공급망까지 들어오고 있습니다.
세 규제는 이름은 달라도 같은 방향을 가리킵니다.
흐름의 시작 — CSMS와 R155
자동차 업계는 일찍부터 "연결된 제품"이 됐습니다. OTA, 원격 진단, 클라우드 연결이 들어오면서 공격 표면이 생겼고, 실제 공격이 현실이 됐습니다.
그 결과 UNECE R155가 등장했습니다. 핵심은 기술 요구사항이 아니었습니다. CSMS(Cybersecurity Management System) — 보안을 운영하는 체계 자체를 요구했습니다.
보안 운영 체계
전반 확산
공급망 인증
능력 = 자격
조건화
CSMS가 요구하는 것은 Secure Boot 같은 기능이 아닙니다. 취약점 관리, Incident 대응, 공급망 추적, OTA 보안, 양산 이후 지속 모니터링 — 보안을 운영하는 프로세스와 조직 체계입니다.
그래서 CRA와 CMMC가 자동차 엔지니어에게 낯설지 않게 느껴지는 이유가 있습니다.
유럽의 대답 — CRA
EU는 CRA를 통해 CSMS의 개념을 자동차 밖으로 꺼냈습니다. 적용 대상은 연결 기능이 있는 디지털 제품 전반입니다. IoT, 네트워크 장비, 소비자 전자제품, 산업제어 시스템 모두 해당됩니다.
CRA가 요구하는 것들 — Secure by Design, Vulnerability Management, SBOM, Incident 보고, Lifecycle 보안 유지 — 은 CSMS를 경험한 사람에게 전부 익숙한 내용입니다. 자동차에서 먼저 경험한 것들이 다른 산업의 의무가 된 겁니다.
미국의 대답 — CMMC, 그리고 공급망 인증
CMMC는 CRA와 출발점이 다릅니다. 미국 국방부(DoD)가 방산 공급망 보안 수준을 검증하기 위해 만든 인증 체계입니다. 하지만 지금은 방산을 넘어 제조·항공·MRO(Maintenance, Repair, Overhaul) 공급망 전반으로 확산되고 있습니다.
CMMC의 핵심 개념은 하나입니다. "공급망에 참여하려면, 최소 수준 이상의 보안 운영 체계를 증명하라."
CMMC 레벨 구조
- 기본 사이버보안 위생
- 접근 통제
- 미디어 보호
- 물리적 보호
- 시스템 및 통신 보호
- 식별 및 인증
- NIST SP 800-171 110개 항목
- Incident 대응 체계
- 위험 평가
- 보안 평가
- 공급망 관리
- 취약점 관리
- NIST SP 800-172 기반
- 고도화된 위협 대응
- 지속적 모니터링
- 고급 Incident 대응
- 내부자 위협 관리
- 사이버 복원력
Level이 올라갈수록 요구 수준이 높아지고, 검증 방식도 자체 평가에서 제3자 인증, 정부 심사로 강해집니다. 그리고 Level 2 이상의 계약에 참여하려면 인증이 없으면 자격 자체가 없습니다.
미국 DoD 계약에 참여하는 공급사는 계약 조건으로 CMMC 인증을 요구받습니다. 인증 없이는 입찰 자체가 불가능해집니다. 자동차 업계로 치면 R155 없이 유럽 시장에 차를 팔 수 없는 것과 같습니다.
CMMC와 CSMS — 놀라울 정도로 닮았다
자동차 CSMS와 CMMC를 나란히 놓으면 구조가 거의 같습니다.
- 사이버보안 관리 체계 운영
- 취약점 관리 프로세스
- Incident 대응 및 보고
- 공급망 보안 관리
- OTA·양산 이후 지속 관리
- 정기 Audit 대응
- 조직 프로세스 중심
- 조직 보안 운영 체계 인증
- 취약점 관리 (NIST 기반)
- Incident 대응 및 보고
- 공급망 보안 관리
- 지속적 운영 증명
- 제3자 또는 정부 심사
- 조직 프로세스 중심
CSMS를 구축하고 OEM Audit을 경험해본 조직이라면, CMMC가 요구하는 구조가 이미 절반은 갖춰진 상태일 수 있습니다.
CMMC가 공급망에 미치는 영향
CMMC의 파급력은 직접 계약사에서 끝나지 않습니다. 공급망 전체로 내려옵니다.
요구
+ 하위 요구
수용
취약점 추적
관리
자동차 공급망과 방산 공급망이 겹치는 기업은 두 규제를 동시에 대응해야 하는 상황이 됩니다.
세 규제가 공통으로 요구하는 것 — 운영 능력
CSMS, CRA, CMMC. 출발점은 달라도 결국 같은 것을 봅니다.
| 운영 능력 | 예전 방식 → 지금 요구 | 세 규제 공통 여부 |
|---|---|---|
| 취약점 대응 | 발견하면 그때 처리 PSIRT 운영 + 정해진 시간 내 패치 | ✅ 공통 |
| Incident 대응 | 사고 나면 수습 사전 계획 + 당국 보고 의무 | ✅ 공통 |
| 공급망 관리 | 납품사 믿고 사용 SBOM + 취약점 추적 + Audit | ✅ 공통 |
| Lifecycle 관리 | 출하 후 보안 종료 EOL까지 보안 유지 의무 | ✅ 공통 |
| Audit 대응 | 기능 체크리스트 제출 운영 프로세스 + Evidence 증명 | ✅ 공통 |
| 조직 체계 | 개발팀이 보안 담당 전사적 보안 관리 체계 | ✅ 공통 |
현업에서는 이렇게 느낀다
현업 경험 4가지
마무리
CSMS는 자동차에서 시작됐지만,
CRA와 CMMC는 그 개념이 산업 전체로 확산되고 있다는 증거입니다.
보안 운영 능력은 이제 시장 참여의 조건이 되고 있습니다.
세 규제의 공통점은 하나입니다. 보안 기능의 유무가 아니라, 보안을 지속적으로 운영할 수 있는 조직인가를 본다는 것.
자동차 업계는 그 흐름을 R155·CSMS로 가장 먼저 경험했습니다. 그리고 지금 같은 요구가 CRA로 유럽 전체 디지털 제품에, CMMC로 미국 방산·제조 공급망에 들어오고 있습니다.
'차량 사이버보안 > 산업 인사이트' 카테고리의 다른 글
| AP TEE가 MCU 보안을 대신하는 구조— 이상적인 보안보다 현실적인 아키텍처 (0) | 2026.05.28 |
|---|---|
| 중국 OEM은 왜 차량 사이버보안을 빠르게 가져갈까까?— SDV 시대, 중국 자동차가 무서운 이유 (0) | 2026.05.27 |
| Legacy ECU는 사이버보안을 어떻게 적용할까? (0) | 2026.05.15 |
| Secure Gateway만 있으면 차량 보안은 끝난 걸까? (0) | 2026.05.13 |
| 자동차는 언제부터 ‘보안’을 고민하게 됐을까? (0) | 2026.05.12 |