CE의 새로운 인증 규격 : RED DA(EN18031) Cybersecurity (보안) - 1

아래는 Espressif 개발자 포털에 2025년 4월 8일 게시된 "RED DA (EN 18031) Certification Compliance: What You Need to Know" 블로그 글을 한국어로 번역한 내용입니다. 주요 구조와 핵심 요점들을 한국어로 정리했으며, 이해를 돕기 위해 단락을 나누어 제공드립니다.

 

원문 링크 : 

https://developer.espressif.com/blog/2025/04/esp32-red-da-en18031-compliance-guide/

RED DA (EN 18031) Certification Compliance: What You Need to Know

 

RED DA (EN 18031) 인증 준수: 알아야 할 내용

유럽연합(EU)의 무선장비 지침(Radio Equipment Directive, RED) 2014/53/EU는 시장에 출시되는 모든 무선 장비가 안전(Safety), 건강(Health), 전자파적합성(Electromagnetic compatibility), 효율적인 주파수 사용(Efficient spectrum use)등의 필수 요건을 충족하도록 규정합니다. 이 지침에 신규로 추가된 보안(사이버보안 Cybersecurity) 부가 조치가 바로 **RED Delegated Act (RED DA)**이며, EN 18031이라는 조화 표준(harmonised standard)을 통해 구체화되었습니다. 이 글은 제조업체, 시스템 통합자, 개발자가 이러한 변경 사항을 이해하고 준수할 수 있도록 구조화된 안내를 제공합니다.

 

RED DA란 무엇인가?

RED Delegated Act(RED DA)는 기존 RED 지침에 보안 의무를 추가한 확장 규정으로, EU 시장에 출시되는 무선 연결 제품에 대해 사이버보안 요건을 2025년 8월 1일까지 반드시 충족해야 함을 명시합니다.

 

RED DA의 사이버보안 요구사항

Article 3(3)에 따라 다음 3가지 보안 요건이 포함됩니다:

• (d) 네트워크 연결 보호: 안전한 연결, 강력한 인증, 무단 접근 방지
• (e) 개인정보 및 사용자 프라이버시 보호: 데이터 암호화, 안전한 저장, 사용자 동의 메커니즘
• (f) 금융 사기 방지: 보안 결제 인터페이스 및 거래 검증 메커니즘

EN 18031 조화 표준 (Harmonised Standards)

이러한 요구사항을 기술적으로 구현할 수 있도록 다음 세 가지 EN 18031 표준이 마련되었으며, 이를 준수할 경우 ‘적합성 인정(presumption of conformity)’을 받습니다. EN 18031-1/-2/-3은 각각 네트워크 연결 장비, 개인정보 처리 장비, 금융 거래 장비에 초점이 맞춰져 있습니다.

• EN 18031-1:2024: Covers security requirements for internet-connected radio equipment.
• EN 18031-2:2024: Covers requirements for equipment that processes personal data.
• EN 18031-3:2024: Covers requirements for equipment that enables financial transactions

제품 제조사 입장에서의 의미

 

• 2025년 8월 1일 이후 EU에 출시되거나, 보안 관련 업데이트가 이루어진 제품은 RED DA를 준수해야 합니다.
• 이미 **시장에서 유통되기 시작한 제품(prior placed on market)**은 소급 적용되지 않습니다.
• 모듈(module) 자체가 인증되었다 하더라도, 최종 제품(end product) 전체가 RED DA 요건을 충족해야 합니다.

Module vs End product에서의 인증 문제 ? 

EN 18031 인증은 인터넷에 연결된 무선 장비 전체에 적용되며, 개별 모듈에는 적용되지 않습니다. Espressif와 같은 모듈은 최종 제품의 필수적인 구성 요소로 사용되지만, 이러한 모듈은 독립적으로 인증받을 수 있습니다. 그러나 이러한 인증만으로는 최종 제품의 RED DA 준수 여부를 입증하기에 충분하지 않으며, 결국 End product(완제품)에서의 인증이 필요합니다.

RED DA 준수 책임은 최종 제품의 제조업체에 있습니다. 안전한 사전 인증 모듈을 사용하더라도, 최종 제품은 전체적으로 평가되어야 하며 EN 18031 요구사항을 충족하는지 확인해야 합니다. 결론적으로, 안전한 모듈을 사용하는 것은 RED DA의 준수를 위한 기술적인 지원을 제공하지만 최종 제품 인증의 필요성을 대체하지 않습니다.

 

 

RED DA 준수 절차

두 가지 방식이 있습니다:

1. 자체 평가(Self-Assessment)
   • 비용 효율적이고 신속하며 내부에서 통제 가능
   • EN 18031 요건을 충족하는지 평가하고, 기술 문서를 작성한 뒤 자체 서명한 적합 선언(Declaration of Conformity) 작성
   • 추가 조치는 필요하지 않으며, 시장 감시 당국(Market surveillance authorities)이 요청이 있을 경우 검사를 위해 문서를 준비해 두어야 합니다.
2. Notified Body(공인 기관) 평가
   • 특정 상황(예: 비밀번호 선택 기능 누락, 일부 표준과 충돌하는 접근 제어 방식, 금융 거래에서 보안 업데이트 방식 등)에서는 반드시 제3자 평가 필요
   • 문서를 제출하고 시험을 거쳐 인증서 발급

문서 요구 사항 및 제조사 책임

제조업체는 다음 문서를 준비하고 유지해야 합니다:

• 기술 사양서 (Technical Specifications)
• 제품 위험 평가 (Product Risk Assessment)
• 적용된 EN 18031 표준 목록 (Applicable EN 18031 Standards)
• 적합 선언서 (Declaration of Conformity)
  • 자체 평가 시 제조업체가 서명
  • 공인기관 평가 시 공인기관 발행 

최종 제품 제조사의 책임

• 제품 출시 전에 문서 완비 및 CE 마킹 부착
• 출시 후 최소 10년간 문서 보관
• 시장 감시 당국 요청 시 문서 즉시 제출
• 불이행 시 재인증, 제재 또는 리콜 가능

Espressif 모듈의 준수 지원

 

• Espressif SoC는 RED DA 보안 요건을 지원하는 하드웨어 보안 기능을 갖추고 있습니다.

https://docs.espressif.com/projects/esp-idf/en/latest/esp32/security/index.html

Security Guides - ESP32 - — ESP-IDF Programming Guide latest documentation

• Espressif가 제공하는 보안 가이드와 권장 플랫폼 보안 설정을 활용하면 RED DA 사이버보안 요건을 충족할 수 있습니다. 다만 최종 제품 설계에 따라 일부 요건은 달라질 수 있으며, 최종 제품 제조사에게 책임이 있습니다.

RED DA 준수 매핑 테이블

EN 18031 요구사항과 Espressif 플랫폼의 대응 관계는 다음과 같습니다.

 

 

#1 ID Requirement EN 18031-1EN 18031-2 EN 18031-3

#2 'P' 최종 제품 설계에 따라 적용 여부가 달라짐  

요구사항 ID	요건 내용	EN18031-1	EN18031-2	EN18031-3	Espressif지원
ACM	Access Control – Ensures that security assets are accessible only to authorized users.	Y	Y	Y	✅
AUM	Authentication – Device shall authenticate users or external entities before granting access to security assets.	Y	Y	Y	✅
SUM	Secure Update – Device shall perform secure and verified update of firmware and software.	Y	Y	Y	✅
SSM	Secure Storage – Device shall securely store security assets and protect them from unauthorized access.	Y	Y	Y	✅
SCM	Secure Communication – Device shall use secure communication for communicating security and network assets with other entities via network interfaces.	Y	Y	Y	✅
CCK	Confidential Cryptographic – Device shall protect confidentiality of cryptographic material and operations.	Y	Y	Y	✅
GEC	General Equipment Capabilities – Device shall support hardware or software capabilities for security requirements.	Y	Y	Y	✅
CRY	Cryptography – Device shall implement best practice cryptographic algorithms to protect security assets and communication.	Y	Y	Y	✅
DLM	Deletion – Device shall provide the option to delete security assets and user personal data in a secure and irreversible manner.	-	Y	-	✅
LGM	Logging – Device shall record logs of security events for monitoring and audit purposes.	-	Y	Y	P
RLM	Resilience – Device shall maintain secure behavior during faults, attacks, or disruptions.	Y	-	-	P
NMM	Network Monitoring – Device shall monitor network interfaces to detect and respond to security events.	Y	-	-	P
TCM	Traffic Control – Device shall control and filter network traffic to protect security assets.	Y	-	-	P
UNM	User Notification – Device shall notify users about security events or changes in security posture.	-	Y	-	P

 

자주 묻는 질문 (FAQs)

 

• EN 18031은 모듈 또는 최종 제품에 적용되나요?
  → 모듈은 구성 요소이지만, 최종 제품 제조사가 책임을 지며, 모듈만으로는 인증 불충분.
• 보안 경험이 전혀 없어도 가능한가요?
  → 외부 보안 컨설턴트나 실험실과 협력하고 Espressif의 안내를 참고하세요. 
• 항상 제3자 인증이 필요한가요?
  → 그렇지 않습니다. 대부분 자체 평가로 가능하지만 특정 예외는 공인기관 인증 필요.
• 자체 평가 문서가 부족하면 어떻게 되나요?
  → 당국이 추가 증빙을 요구할 수 있고, 불이행 시 제재 가능.
• 누가 문서 제출을 요구할 수 있나요?
  → 시장 감시 당국, 규제 기관, 유통업체 등이 요구할 수 있습니다.
• 듀얼 칩 구조(Host MCU + 모듈)에서는 누가 책임인가요?
  → 최종 제품 제조사가 전체 시스템으로서 RED DA 준수 책임자입니다. 
• ESP-ZeroCode처럼 Espressif가 관리하는 펌웨어가 포함된 전체 제품의 보안은 누가 담당하면요?
  → 해당 모듈에 대해 Espressif가 준수 책임을 지지만, 제조사는 설정 변경 없이 이를 유지해야 합니다.

---

㈜아이디케이 테크놀러지

ESPRESSIF 한국 공식 대리점

www.idktech.co.kr

Blog : devicein.tistory.com