[논현논단-전하진 칼럼] 관세보다 무서운 ‘EU의 새 빗장’

사이버복원력법, 공급망 안전 요구
보안 방치해선 더이상 제품 못팔아
정부 실태파악과 中企 지원 시급해

거실의 값싼 스트리밍 박스, 집을 지키는 보안카메라, 사무실 구석의 사물인터넷(IoT) 기기. 지금 이 순간 그중 일부는 얼굴도 모르는 누군가에게 조작되고 있다. 일부는 구매 전에 이미 백도어가 심어졌고, 다른 일부는 초기 설정이나 비공식 앱 설치 과정에서 감염됐다. 2025년 드러난 봇넷 ‘BADBOX 2.0’은 저가 안드로이드 기기 1000만 대 이상을 감염시켰다. 사용자는 자신도 모르는 사이 범죄자의 네트워크에 편입된 것이다.

문제는 이런 주변기기가 급소로 통하는 뒷문이라는 데 있다. 해커는 정문을 두드리지 않는다. 셋톱박스와 월패드, 보안카메라처럼 무수히 깔린 IoT 장비의 방치된 틈으로 스며든다. 이 위험은 이미 현실이 됐다. 여기에 인공지능이 기름을 붓는다. 방어자는 사람의 속도로 움직이는데, 공격자는 기계의 속도로 증식한다.

지난 7월 미국 미네소타에서는 30곳이 넘는 상하수도 시스템이 사이버공격을 받았다. 공격자는 인터넷에 노출된 프로그래머블 로직 컨트롤러(PLC)에 접근해 비밀번호와 네트워크 설정을 바꿨고, 일부 운영자는 설비에 대한 원격 감시·제어권을 잃었다. 수압이 떨어지고 일부에선 범람이 일어났다. 복구한 곳은 수동 운영으로 되돌아가 버텼다.

주목할 것은 미국 연방수사국(FBI)의 권고다. 그중 하나가 “보안 업데이트가 끊긴 장비는 교체 또는 격리하라”였다. 사고가 터지고 나서야 내린 주문이다. 하지만 사고가 터진 뒤의 과징금은 이미 늦다. 그래서 유럽은 사고 이전으로 시점을 당겼다. ‘사이버복원력법(CRA)’이다.

유럽연합(EU)의 CRA는 이미 발효됐고, 2027년 12월부터 대부분의 의무가 본격 적용된다. 그에 앞서 다음 달 11일부터 ‘실제 악용 중인 취약점’과 ‘중대한 보안사고’에 대한 신고 의무가 먼저 시작된다. 24시간 내 조기경보, 72시간 내 후속보고다. 특히 신고 의무는 2027년 전면 적용 이전에 이미 EU 시장에 출시된 제품에도 적용된다. 요건을 못 채운 제품은 유럽연합 통합 규격인증인 CE 마크를 붙일 수 없어 EU에 팔 수 없고, 위반 시 최대 1500만 유로 또는 전 세계 연간 매출의 2.5% 중 높은 금액까지 과징금이 부과될 수 있다. 관세가 ‘더 비싸게라도 파는’ 장벽이라면, CE 부적격은 ‘아예 못 파는’ 장벽이다.

남의 이야기가 아니다. 지난해 우리 EU 수출은 701억 달러로 역대 최대였다. 완성차와 선박처럼 별도 사이버보안 법령을 받는 제품은 CRA 대상에서 빠지지만, 문제는 그 아래 공급망이다. 독립적으로 공급되는 부품·모듈·펌웨어·소프트웨어는 직접 적용 대상이 될 수 있고, 완성품에 통합돼도 적합성 입증과 공급망 관리 부담이 협력사까지 이어진다. 연결형 가전과 IoT, 산업장비, 그리고 여기 탑재되는 소프트웨어가 정면으로 규제선 위에 놓인다. 유럽 중소기업조차 준비가 버거운데, 언어와 시차 부담까지 진 우리 기업은 더 불리하다.

이 같은 보안사고는 구조적인 문제도 한몫한다. 제조사에게 보안은 비용일 뿐, 잘 팔리는 기능이 아니다. 그래서 위험 비용은 소비자와 사회로 전가됐다. 이익은 사유화되고 비용은 공유지에 떠넘겨지는 구조를 시장은 스스로 멈추지 못한다. 성장과 경쟁만을 좇는 시장 논리가 만든 전형적인 시장 실패다. 환경오염과 탄소배출도 그랬다. 그러나 이런 사고는 이제 기업 실적을 통째로 흔드는 비용이 됐다. 실제로 국내 한 대형 유통사는 개인정보 유출로 6000억원대 과징금이 부과되어 영업손실로 돌아섰다.

그러니 정부는 업종별·규모별 CRA 영향 실태를 즉시 조사하고, 중소기업이 감당하기 어려운 기술문서 작성, 소프트웨어 자재명세서(SBOM) 관리, 신고체계 구축 및 인증 비용을 실질적으로 지원해야 한다. 기업도 이를 보안팀에만 맡길 일이 아니다. 사이버보안은 제품 안전과 고객 신뢰, 공급망 전체의 안전을 관리해야 하는 경영진의 책무다. EU일반개인정보보호규정(GDPR)이 그랬듯이, 이 기준은 곧 세계 시장의 새 품질 기준이 될 것이다.

초연결이 커질수록 가장 약한 노드 하나가 전체를 멈춰 세울 위험도 커진다. CRA가 요구하는 최소한의 보안을 갖추되, 디지털이 멈춰도 작동할 수동의 여지를 남기고, 하나의 급소가 전부를 삼키지 못하도록 시스템을 분산해야 한다. 우리는 편리함을 얻는 대가로 위기 대응 능력을 조금씩 내줘 왔다. 다름 아닌 생존 주권의 포기였다. 탄소를 값으로 매기지 못한 제품이 지속가능하지 않듯, 보안을 방치한 디지털 제품도 지속가능하지 않다. 생존 기반은 효율보다 회복력 위에 서야 한다.