ROS Discourse
CRA 보고 의무가 내일부터 시작된다: 현장 로봇의 취약점 악용과 일반 장애를 24시간 안에 어떻게 구분하나?
EU 사이버 복원력 법(Cyber Resilience Act, CRA)의 제조사 보고 의무가 2026년 9월 11일부터 발효되어, 적극적으로 악용된 취약점 또는 심각한 사고를 인지한 시점으로부터 24시간 이내 조기 경보, 72시간 이내 전체 통보를 ENISA 단일 보고 플랫폼을 통해 제출해야 한다. 오픈소스 관리자는 Article 24(3)에 따라 2027년 12월 11일부터 적용 대상에 포함된다. 이 글은 법령 안내보다는 그 아래에 있는 공학적 질문을 제기한다: 현장 배치된 로봇이 오작동할 때, 그것이 보안 침해로 유도된 장애인지 시스템 자체의 기준(baseline) 장애율이 나타난 것인지를 24시간 이내에 어떻게 판단하는가. 저자는 동일 작업·동일 시드(seed)로 수행한 기준 실행(control run)을 유지해야만 판별이 가능하며, 그것 없이는 단일 비정상 실행을 공격으로도 노이즈로도 해석할 수 없다고 밝힌다.
큐레이터연구 결과나 방법론이 아닌 ROS Discourse 커뮤니티의 토론 제안 글로, 답은 제시되지 않는다. CRA 보고 의무가 실제로 적용되는 독자라면 ENISA 플랫폼 등록 여부를 별도로 확인할 필요가 있다.