유럽에서 해킹 은폐가 불법이 됐다 — 제조사는 24시간 내 신고해야

이제 유럽에서 연결 기기를 판매하는 일에는 지난주까지만 해도 존재하지 않았던 의무가 따라붙는다. 해킹이나 중대한 보안 사고를 발견하면 24시간 안에 당국에 신고해야 한다. EU의 Cyber Resilience Act가 이번 주 첫 주요 집행 관문을 넘었고, 이후 절차도 구체적으로 정해져 있다. 보다 상세한 신고는 72시간 안에, 최종 보고서는 수정 조치가 나온 뒤 14일 안에 제출해야 하며, 더 광범위한 사고는 한 달 안에 보고해야 한다.

이 의무는 법이 ‘디지털 요소를 가진 제품(products with digital elements)’이라고 부르는 범위에 적용된다. 스마트폰, 스마트 온도조절기, 연결형 라우터, 피트니스 앱, 클라우드 플랫폼까지 포함할 만큼 넓은 범주다. 중요한 점은 새로 출시되는 제품뿐 아니라 이미 EU 시장에 유통 중인 제품에도 적용된다는 것이다. 2년 전에 출시돼 여전히 사용되는 기기도 연결 기능만 있으면 적용 대상이다. 상업적으로 배포되는 무료 소프트웨어도 같은 규칙을 따른다.

9월 11일 이전만 해도 제조사와 보안 사고의 관계는 대체로 내부 방침이 좌우했다. 기업들은 원할 때 해킹 사실을 공개했고, 대개 수 주간의 내부 검토와 법률 자문, 브랜드 리스크 평가를 거친 뒤였다. 아예 공개하지 않는 경우도 있었다. 이런 재량권은 이제 유럽에서 사라졌다. 신고는 제조사의 주된 사업장이 있는 EU 회원국의 국가 컴퓨터 보안 사고 대응팀(CSIRT)에 접수되며, 전용 Single Reporting Platform을 통해 EU 사이버보안청(ENISA)에도 사본이 전달된다.

준비 태세는 심각한 문제다. 신고 의무가 확정됐을 때 제조사들은 내부 인프라를 구축할 시간이 약 3개월 있었다. 영향받은 제품의 목록, 명확한 에스컬레이션 절차, Single Reporting Platform과의 기술적 연동이 그것이다. 제조사들을 자문하는 법률 전문가들은 이 기한들이 사고가 시작된 뒤 절차를 구축할 시간을 거의 남겨두지 않는다고 경고한다. 금요일 자정에 침해를 발견한 기업은 주말이나 공휴일과 관계없이 토요일 자정 전까지 최초 신고를 제출해야 한다.

소비자가 체감할 이익은 실재하지만 간접적이다. 제조사는 보안 사고와 이용 가능한 완화 조치에 대해 영향받은 사용자에게도 통지해야 한다. 기업이 적시에 사용자에게 통지하지 않으면 국가 사이버보안 당국이 개입해 직접 경보를 발령할 수 있다. 이는 일반 사용자가 자신의 휴대전화에서 보게 될 알림 체계가 아니라 규제 채널을 통해 작동한다. 그러나 해킹이 법무팀에 의해 조용히 흡수될 수 없다는 강제력 있는 의무를 만들어낸다.

9월 11일은 이 의무 가운데 가장 범위가 좁은 부분이다. Cyber Resilience Act의 본체는 연결 제품이 보안을 내장한 채 설계되도록 요구하고, 취약점 처리 절차를 의무화하며, 고위험 제품군에는 적합성 평가를 부과한다. 이 조항들은 2027년 12월 11일이 되어야 적용된다. 그 기한은 설계 변경, 테스트 프로토콜, 인증 절차를 요구하는데, 이는 몇 달 안에 기존 제품군에 덧붙일 수 있는 성격이 아니다. 업계에는 1년 이상의 시간이 남아 있지만, 주요 제조사에서는 이미 기술 작업이 진행 중이다.

이 같은 EU의 접근은 유럽을 핵심 인프라에만 국한하지 않고 소비자 기술 시장 전체에 구속력 있는 취약점 공개 시한을 부과한 첫 번째 주요 규제 블록으로 만든다. 각국 CSIRT가 이 신고들을 처리할 역량을 얼마나 빨리 갖추는지, 그리고 첫 몇 달간 공개 의무 위반에 제재가 실제로 뒤따르는지가 9월 11일이 진짜 전환점인지 형식적 데드라인인지를 결정할 것이다.

태그: 사이버보안, 데이터 침해, Cyber Resilience Act, ENISA, EU 규제, 연결 기기