반도체 산업은 유럽연합(EU)의 사이버 복원력 법(CRA)이 시행됨에 따라 중대한 규제 변화에 직면하고 있습니다. 이제 보안 요구 사항은 소프트웨어에만 국한되지 않고 현대 디지털 기기의 핵심인 하드웨어 구성 요소와 지식재산권(IP)까지 확장되었습니다.
CRA 법안의 프레임워크 및 적용 범위
2024년 10월 채택된 이 법은 유럽 시장에서 판매되는 디지털 제품에 대한 최소한의 보안 요구 사항을 설정하는 것을 목표로 합니다. 이 규칙은 제품이 유럽 소비자에게 도달하는 한 기업의 지리적 위치와 관계없이 적용됩니다. 적용 범위에는 별도로 판매되는 반도체가 직접적으로 포함되며, IP 공급업체는 보안 평가 결과를 제출하고 구성 요소의 안전한 사용 가정에 대해 설명해야 할 수도 있습니다.
대상 제품 목록에는 다음과 같은 광범위한 기술 제품이 포함됩니다:
- 마이크로프로세서(Microprocessors)
- 마이크로컨트롤러(Microcontrollers)
- 주문형 반도체(ASICs)
- 프로그래밍 가능 논리 소자(FPGAs)
마감 기한 및 규제 의무
이 법의 적용은 기술 개발 일정에 압박을 가하는 특정 단계별로 진행됩니다:
- 2026년 9월: 의무 보고 단계 시작. 제조업체는 활발히 악용되는 취약점이 발견될 경우 조기 경보를 제공해야 하며, 이후 통합 보고 플랫폼을 통해 시정 조치에 대한 상세 보고서를 제출해야 합니다.
- 2027년 12월 11일: 완전한 준수를 위한 마감 기한. 기술 문서화 및 적합성 평가 요구 사항이 발효되며, CE 마크 획득이 제품 출시를 위한 필수 조건이 됩니다.
이 뉴스가 중요한 이유
이번 변화는 공급망 전반에 걸친 사이버 보안 책임의 근본적인 전환을 의미합니다. 최종 기기 제조업체에만 부담을 지우는 대신, 이 법은 구성 요소 및 IP 공급업체에 구체적인 보안 증거를 제시하도록 요구합니다. 이는 칩 설계 기업이 암호화 키나 디버그 상태(Debug states)와 같은 민감한 자산이 외부 소프트웨어가 아닌 설계 자체 내에서 보호되고 있음을 입증해야 함을 의미합니다.
하드웨어 보안 준비 및 검증
이러한 과제에 대응하여 Arteris와 같은 전문 기업들은 설계자가 규정을 준수할 수 있도록 돕는 하드웨어 준비 가이드(Hardware Readiness Guide) 및 Radix와 같은 검증 도구를 개발하기 시작했습니다. 이러한 도구는 보안 요구 사항을 시뮬레이션 및 에뮬레이션 단계에서 테스트 가능한 규칙으로 변환하여, 제품이 최종 제조 단계에 도달하기 전에 설계상의 취약점을 식별할 수 있도록 합니다.