SBOM 의무화, 어디까지 왔나: 미국·EU·한국 현황과 준비할 5가지 [2026]

2026-10-13 수정 미국·EU·한국 SBOM 제도 현황을 1차 자료 기준으로 바로잡았다. 미국 연방 조달에는 '단계 적용'되는 SBOM 의무가 없었고 2026년 1월 OMB 메모 M-26-05 이후에도 기관 선택 사항이며(법률로 SBOM 제출을 명시한 분야는 의료기기), EU CRA의 SBOM 의무는 2027년 12월 11일부터이고, 한국은 법적 의무 없이 2027년부터 공공 부문 도입을 계획하는 단계다. 출처를 찾지 못한 '공급망 침해 70% 이상'은 Verizon 2026 DBIR의 제3자 관련 침해 비중으로 바꾸고, 근거 없는 '6개월'·'30분'·'며칠'·'입찰 가점'·'빌드 속도 향상' 표현을 지웠다. 도구 설명(CycloneDX CLI·Microsoft sbom-tool)과 실제로 제공하지 않는 서비스·상담 안내를 고친 뒤 참고 자료를 달고 관련 글을 공급망 주제로 바꿨다.

SBOM은 더 이상 미국·EU만의 이슈가 아니다.

EU는 사이버복원력법(CRA)에 따라 2027년 12월 11일부터 디지털 제품 제조사에 SBOM 작성을 의무화하고, 한국 정부는 2026년 6월 발표한 로드맵에서 2027년부터 공공 정보화사업에 SBOM 제출 절차를 도입하겠다고 밝혔다. 다만 한국에는 아직 SBOM을 강제하는 법이 없다. 미국은 연방 조달에서 SBOM 요구를 각 기관의 재량에 맡기고 있고(2026년 1월 OMB 메모 M-26-05), 법률로 SBOM 제출을 명시한 분야는 의료기기다(미국 상무부의 커넥티드카 규칙은 SBOM 등으로 소프트웨어 구성요소 기록을 갖추도록 요구한다).

협력사·공급사 같은 제3자가 얽힌 침해도 늘었다. Verizon '2026 데이터 유출 조사 보고서(DBIR)'에 따르면 제3자가 관련된 침해 비중은 48%로, 전년 보고서(30%)보다 60% 늘었다.

과기정통부는 전문 인력과 SBOM 생성 도구 같은 설비가 필요해 중소기업의 초기 투자 부담이 크다고 봤다. 그만큼 미리 시작하는 편이 낫다.

이번 글은 나라별 제도 현황과 한국 기업이 지금 우선순위로 처리할 5가지를 정리한다.

한눈에 보는 SBOM

Q. SBOM이란 무엇인가요?: A. Software Bill of Materials, 즉 소프트웨어에 포함된 구성요소(라이브러리·모듈·버전)와 그 의존관계를 적은 목록입니다. 과기정통부는 '소프트웨어를 구성하는 전체 컴포넌트들의 구성요소와 의존관계를 기술한 자재명세서'로 정의합니다. 미국 행정명령 14028도 식품 포장의 성분표에 빗댔습니다.
Q. 왜 SBOM 요구가 늘고 있나요?: A. SolarWinds·Log4j·xz-utils 등 공급망 침해가 반복되면서, 영향 범위 파악과 대응 속도를 끌어올리기 위한 기반으로 주목받았기 때문입니다. 과기정통부 가이드라인도 Log4j 사례에서 더 큰 위험은 그 구성요소가 어느 제품·서비스에 쓰였는지 파악하기 어렵다는 점이었다고 짚었습니다.
Q. 한국은 언제 의무화되나요?: A. 2026년 10월 현재 SBOM 제출을 강제하는 법은 없습니다. 과기정통부·국가정보원이 2026년 6월 발표한 'SW 공급망 보안 강화 로드맵'은 2027년부터 공공 정보화사업 보안 요구사항에 SBOM 제출 절차를 도입하고, 보안적합성 검증 때 SBOM 제출을 확인하겠다는 계획입니다. 민간은 2027년부터 자율 신청 방식의 검증 제도를 시범 운영할 계획이고, 금융권에도 제출 의무는 없습니다. 공공기관에 SW를 납품한다면 2027년 일정에 맞춰 준비하는 것이 현실적입니다.

글로벌 동향 정리

지역	정책·기준	현황(2026년 10월 기준)
미국(연방 조달)	행정명령 14028(2021) → OMB M-22-18(2022) → OMB M-26-05(2026-01)	일괄 의무 없음. '요청 시 최신 SBOM 제출' 계약 조건은 기관이 선택
미국(의료기기)	연방 식품의약품화장품법(FD&C Act) 524B조	2023년 3월 29일부터 '사이버 기기' 시판 전 심사에 SBOM 제출 의무
EU	사이버복원력법(CRA, Regulation (EU) 2024/2847)	SBOM 작성 의무는 2027년 12월 11일부터(실제 악용되는 취약점·제품 보안에 영향을 주는 중대 사고의 보고 의무는 2026년 9월 11일부터)
일본	경제산업성 SBOM 도입 안내서(2023-07 Ver1.0, 2024-08 개정)	의무가 아닌 안내서
한국(공공)	SW 공급망 보안 강화 로드맵(2026-06, 과기정통부·국정원)	법적 의무 없음. 공공 SBOM 제출 2027년부터 도입 계획
한국(금융)	금융보안원 금융권 SW공급망보안 플랫폼(2026-02 가동)	SBOM 관리 기능 제공, 제출 의무 없음

미국 행정명령 14028(2021-05-12)은 국립표준기술연구소(NIST)가 낼 공급망 보안 지침에 '구매자에게 SBOM 제공'을 넣도록 했고, 미국 국가통신정보청(NTIA)이 2021년 7월 SBOM 최소 요소를 발표했다. 다만 이를 이행한 OMB 메모 M-22-18(2022-09-14)은 기관이 소프트웨어 중요도에 따라 SBOM을 '요구할 수 있다'고만 했고, 2026년 1월 23일 M-26-05가 이 메모를 폐지했다. 최소 요소는 CISA의 2025년 개정 초안(2025-08-22)이 이어받았다.

EU CRA는 제조사에 널리 쓰이고 기계가 읽을 수 있는 형식으로, 최소한 최상위 의존성을 포함한 SBOM을 작성하라고 요구한다(부속서 I 2부). SBOM을 공개할 의무는 없고, 시장감시당국이 근거를 밝혀 요청하고 필수 요건 확인에 필요한 경우 제출한다(전문 77, 부속서 VII 8항).

한국 정부 로드맵(2026-06-24)이 밝힌 일정은 다음과 같다.

2026년부터: 공공분야 SBOM 관리체계 개발, 공공분야 SBOM 통합관리시스템 구축
2027년부터: 공공 정보화사업 보안 요구사항에 SBOM 제출·취약점 대응 절차 도입, 사이버보안 지침 개정(SBOM 제출, SW 보안취약점관리 담당관 지정)
2027년부터: 보안적합성 검증 때 SBOM 제출과 '안전한 SW 개발 방법론' 준수 여부 확인
2028년부터: 외교·안보·국방 등 주요 기관에 IT제품 납품 시 안보위해성 체크리스트 제출
민간: 2027년부터 자율 신청 방식의 'SW 공급망 보안관리 검증·우수기업 확인서' 시범 운영, 이후 ISMS·CSAP 같은 기존 인증에 공급망 평가 요소를 넣는 정규 제도화 추진

한국은 법적 의무화가 아니라 공공 부문부터 단계적으로 도입하는 계획 단계다. 공공기관에 SW를 납품하는 기업은 2027년부터 SBOM 제출을 요구받을 수 있다. 민간은 당분간 자율 검증 중심이고, 금융권은 금융보안원 플랫폼(2026년 9월 기준 금융회사 178곳 참여)에서 SBOM을 관리할 수 있다(SBOM 관리 기능은 55개 프로젝트에서 사용 중). EU 시장에 CRA 적용 대상 제품을 출시하는 제조사는 2027년 12월 11일부터 적용되는 SBOM 작성 의무에 대비해야 한다. 그 전에 출시된 제품은 이후 중대한 변경이 있는 경우에 적용되며, 보고 의무에는 별도 경과규정이 있다.

지금 준비할 5가지

1. 의존성 자산 인벤토리 만들기

자사 코드에 들어간 모든 라이브러리·모듈·외부 API의 버전까지 정리한다.

"우리는 React 쓴다"가 아니라 "React 18.2.0, lodash 4.17.21..." 단위로 정리해야 SBOM이다.

2. SBOM 자동 생성 도구 도입

대표 도구:

Syft (Anchore): 컨테이너 이미지·파일시스템·압축 파일에서 SBOM 생성, CycloneDX·SPDX·Syft JSON 출력
CycloneDX 생성기(언어별 cyclonedx-npm, 여러 언어를 지원하는 cdxgen 등): 프로젝트 의존성으로 CycloneDX 형식 SBOM 생성
Microsoft sbom-tool: 언어와 관계없이 여러 종류의 산출물에 대해 SPDX 2.2·3.0 형식 SBOM 생성(CycloneDX 출력은 없음)
GitHub 의존성 그래프 SBOM 내보내기: 별도 설치 없이 저장소 화면이나 REST API로 SPDX 형식 SBOM 내보내기

CycloneDX CLI는 의존성을 분석해 SBOM을 만드는 도구가 아니다(새 BOM을 만드는 기능은 파일 목록을 담는 add files뿐이다). 주로 이미 만든 SBOM의 분석·비교·병합·형식 변환·검증·서명에 쓴다.

CI에 통합해서 빌드마다 자동 생성되어야 운영에 박힌다.

3. 취약점 매칭 자동화

SBOM만 있으면 의미가 없다. CVE 데이터베이스와 매칭해서 취약 의존성을 알람으로 받는다.

대표 조합: Syft + Grype, OWASP Dependency-Track, Snyk, Dependabot.

4. 공급사 SBOM 요구

자사가 외부에 SBOM을 제공할 준비도 중요하지만, 외주·SaaS 공급사로부터도 SBOM을 받아야 진짜 공급망 가시성이 생긴다.

계약서에 SBOM 제출 조항을 표준화한다.

5. 침해 대응 플레이북에 SBOM 통합

새 CVE가 발표되면 "우리가 영향받는가"에 답할 수 있어야 한다.

SBOM이 최신이고 취약점 DB(SCA 도구)와 연동돼 있으면 새 CVE의 영향 여부를 빠르게 확인할 수 있다. 실제 걸리는 시간은 SBOM이 얼마나 최신인지, 자산 목록과 연결돼 있는지에 달려 있다.

SBOM을 미리 갖추면 얻는 5가지 효과

#	효과	비고
1	새 취약점의 영향 범위 빠르게 확인	SBOM이 최신이고 취약점 DB와 연동돼 있을 때
2	공공 납품 대비	정부 로드맵상 2027년부터 공공 정보화사업에 SBOM 제출 절차 도입 예정
3	라이선스 위반 사전 탐지	GPL 등 부적합 의존성 사전 차단
4	안 쓰는 의존성 정리	정리할 패키지를 찾을 때 참고 자료
5	인수합병 실사 자료	구성요소·라이선스 목록으로 활용

오늘 시작할 5단계

☐ syft dir:. 또는 GitHub SBOM Export로 v1 SBOM 생성
☐ Grype 또는 Dependency-Track로 취약점 매칭 1회
☐ 외주·SaaS 공급사 5개에 SBOM 제출 요청 메일 발송
☐ CI에 SBOM 생성 단계 추가 (Pull Request 단위)
☐ 공공기관 납품 계획이 있다면 2027년 공공 SBOM 제출 일정(정부 로드맵)을 사업 계획에 반영

다음에 해야 할 한 가지

위 5단계 중 1·2단계부터 오늘 시작하자. 첫 SBOM을 만들고 취약점을 한 번 대조하면, 우리 제품에 무엇이 들어 있고 그중 무엇이 취약한지가 처음으로 한 장의 목록이 된다. 공급사 요청, CI 자동화, 공공 납품 대비는 그 목록 위에 쌓으면 된다.

공급망 사고가 의심되면 보안 전문 기업 SENTRIX의 침해사고 대응으로 원인 분석과 피해 범위 산정을, 클라우드 보안 구성과 데이터 흐름·암호화 검토는 보안 아키텍처 리뷰로 상담할 수 있다. 진단 문의하기

참고 자료

관련 글

전문가와 상담이 필요하신가요?

보안 실무 10년 전문가가 기업 환경에 맞는 방안을 제시합니다.

진단 문의하기