← 보안 블로그로 돌아가기

EU 의회, AI Act 간소화 표결 — ENISA, 중소기업 대상 CRA 설문조사 착수 — DMA-GDPR 상호작용 가이드라인 발표

유럽의회 IMCO(내부시장위원회)와 LIBE(시민자유위원회)가 AI "딥페이크 누드화(nudifier)" 시스템 금지를 포함해 EU AI Act를 간소화하는 광범위한 제안에 합의했습니다. ENISA는 중소기업을 대상으로 사이버복원력법(CRA) 준비 상태 설문조사를 시작했습니다. 유럽집행위원회와 EDPB는 DMA-GDPR 상호작용에 관한 협의 결과를 발표했습니다. ECCC는 Horizon Europe 산하에서 5,620만 유로 규모의 사이버보안 연구 자금 지원 공모를 개시했습니다. 컴플라이언스 팀을 위한 중요한 규제 동향 — 2026년 3월 20일.

---

🤖 EU 의회, AI Act 규정 간소화에 합의

무엇이 바뀌었나

이번 간소화 제안은 AI Act 통과 이후 가장 큰 비판 중 하나였던 이행 복잡성 문제를 다룹니다. 주요 변경 사항은 다음과 같습니다:

• 간소화된 컴플라이언스 문서: 저위험 AI 시스템을 도입하는 중소기업의 서류 요건이 완화됩니다
• 명확한 고위험 일정: 고위험 시스템 요건에 대한 구체적인 적용 시점을 제시해 컴플라이언스 로드맵의 모호함을 없앱니다
• AI 누드화 시스템 금지: 비동의 상태의 노골적인 이미지를 생성하는 AI 시스템을 명시적으로 금지하며, 기존의 금지 관행과 함께 분류됩니다
• 중소기업 친화적 조항: 소규모 기업을 위한 규제 샌드박스 접근 및 컴플라이언스 지원 조치

조직에 미치는 영향

이미 AI Act 준수를 준비 중인 조직에게 이번 간소화 조치는 반가운 명확성을 제공합니다. 고위험 AI 시스템 운영자 — 특히 헬스케어, 핵심 인프라, 금융 서비스 분야 — 는 이제 이전의 모호한 "단계적 적용" 문구 대신 구체적인 목표 기한을 갖게 되었습니다.

누드화 금지 조항은 AI Act의 금지 관행 목록에 새로운 항목을 추가하며, 적절한 콘텐츠 조정 안전장치가 부족한 생성형 AI 플랫폼에 대한 집행 가능성이 새롭게 제기됩니다.

---

🔒 ENISA, 중소기업 대상 사이버복원력법 설문조사 착수

CRA 준비 상태 평가

유럽연합 사이버보안청(ENISA)이 다음 날짜에 종합 설문조사를 시작했습니다: 2026년 3월 18일 , 중소기업(SME)을 대상으로 다음에 대한 준비 상태를 평가하기 위한 것입니다: 사이버복원력법(CRA). 이 설문조사는 다음을 파악하는 것을 목표로 합니다:

• 중소기업의 전반적인 CRA 인지 수준
• 중소기업이 CRA 준수에 대해 느끼는 준비 정도와 성숙도
• 중소기업이 가장 유용하다고 느낄 지원 유형
• 현재의 사이버보안 관행과 격차

왜 중요한가

CRA는 다음에 대한 필수 사이버보안 요건을 수립합니다: 디지털 요소가 포함된 제품 , EU 시장에서 판매되는 제품이 대상입니다. 하드웨어 및 소프트웨어 제조업체에게 이는 다음을 의미합니다:

• 설계 단계부터의 보안(Secure by design): 제품은 시장 출시 전에 기본적인 사이버보안 요건을 충족해야 합니다
• 취약점 처리: 제조업체는 제품 수명주기 전반에 걸쳐 보안 업데이트를 제공하고 취약점을 처리해야 합니다
• 사고 보고: 취약점의 실전 악용은 24시간 이내에 신고해야 합니다
• 문서화: 필수 요건 준수를 입증하는 기술 문서

---

⚖️ DMA-GDPR 상호작용: 협의 결과 발표

디지털시장법(DMA)과 GDPR 간의 긴장 관계 해소

2026년 3월 12일, 유럽집행위원회와 유럽개인정보보호위원회(EDPB)가 다음을 발표했습니다: 공개 협의에 대한 응답으로 접수된 개별 의견서 , 디지털시장법(DMA)과 개인정보보호규정(GDPR) 간 상호작용을 다루는 공동 가이드라인 초안에 관한 것입니다.

이번 발표는 중요한 규제 사각지대를 다룹니다: 지정된 "게이트키퍼"(Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft)가 DMA의 데이터 공유 의무와 GDPR의 데이터 보호 요건 사이에서 어떻게 균형을 맞추는가입니다.

핵심 긴장 지점

• 데이터 이동권 대 데이터 최소화: DMA는 게이트키퍼에게 데이터 이동권 지원을 요구하지만 GDPR은 데이터 최소화를 의무화합니다 — 가이드라인은 이 두 의무를 조화시키는 방법을 명확히 합니다
• 동의 체계: DMA 제5조에 따른 게이트키퍼 동의 메커니즘이 GDPR 동의 요건과 어떻게 상호작용하는가
• 서비스 간 데이터 결합: 명시적인 GDPR 준수 동의 없이 핵심 플랫폼 서비스 간 개인정보를 결합하는 것에 대한 제한
• 제3자 접근권: 제3자가 GDPR 준수를 유지하면서 DMA 접근권을 행사하는 방법

---

📊 DMA 게이트키퍼 연례 컴플라이언스 보고서

지정된 게이트키퍼 6곳 모두가 — Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft — 다음 날짜에 갱신된 컴플라이언스 조치 보고서를 제출했습니다: 2026년 3월 9일, 디지털시장법이 요구하는 바에 따른 것입니다. 보고서는 2023년 9월 최초 지정 이후 지난 1년간 이행한 변경 사항과 조치를 설명합니다.

집행위원회는 현재 게이트키퍼들이 다음을 포함한 DMA 의무 이행에서 충분한 진전을 이루었는지 평가하기 위해 이 보고서들을 검토하고 있습니다:

• 제3자 앱스토어 및 사이드로딩 허용
• 메시징 서비스 상호운용성 지원
• 최종 사용자를 위한 데이터 이동권 제공
• 공정한 순위 산정 및 자사 우대 제한 준수
• 사전 설치된 앱의 삭제 허용

---

💰 5,620만 유로 규모 ECCC 사이버보안 자금 지원 공모

Horizon Europe 프로그램

유럽 사이버보안 역량센터(ECCC)가 다음 날짜에 새로운 제안 공모를 개시했습니다: 2026년 3월 17일 , Horizon Europe 프로그램 산하에서 최대 다음 규모의 예상 예산으로 진행됩니다: 5,620만 유로. 이는 EU 역사상 단일 사이버보안 연구 자금 지원 공모 중 최대 규모에 속합니다.

중점 분야

구체적인 주제 세부사항은 EU 자금·조달 포털을 통해 공개될 예정이지만, 이전 ECCC 공모는 다음 분야를 우선시했습니다:

• AI 기반 위협 탐지 및 대응
• 양자내성암호(PQC) 전환 지원
• 공급망 보안 도구
• 사이버보안 역량 개발 및 인력 교육
• 핵심 인프라 보호 연구
• 중소기업 및 공공 부문을 위한 사이버보안

---

🌐 Digital Europe 프로그램, 변화에 적응

다음 날짜, 2026년 3월 19일, 유럽집행위원회는 다음과 같이 발표했습니다: Digital Europe 프로그램이 유럽의 변화하는 디지털 수요에 부응하기 위해 적응하고 있다는 것입니다. 전체 세부사항은 공개될 예정이며, 프로그램은 계속해서 다음을 지원합니다:

• 회원국 전반의 사이버보안 역량 구축
• 공공 및 민간 부문을 위한 AI 도입 지원
• 고급 디지털 역량 교육
• 유럽 디지털 인프라 컨소시엄(EDIC)
• 클라우드-엣지 인프라 개발

또한 EU는 다음을 확약했습니다: 유럽연결시설(CEF)을 통한 2억 유로 , 해저 케이블을 포함한 대용량 네트워크 프로젝트를 위한 것으로 — 사이버복원력을 뒷받침하는 디지털 인프라 기반을 강화합니다.

---

📅 NIS2 및 DORA 시행 현황 — 2026년 3월

NIS2 업데이트

NIS2 시행이 EU 전역에서 계속 가속화되고 있습니다. 2026년 3월 기준:

• 최초 제재가 부과되었습니다 , 2026년 1분기 중 미준수 필수 기관을 대상으로 한 것입니다
• 회원국들은 국내 이행법 확정을 계속 진행 중이며 — 일부는 여전히 2024년 10월 기한에 뒤처져 있습니다
• ENISA의 갱신된 사이버보안 훈련 방법론(2026년 2월 16일 발표)은 NIS2가 요구하는 사고 대응 훈련을 위한 실용적인 도구를 조직에 제공합니다
• 과징금은 최대 다음 수준을 유지합니다: 1,000만 유로 또는 전 세계 매출액의 2% (필수 기관 대상)

DORA 카운트다운

금융기관은 다음 기한까지 2025년 1월 17일 — 이미 지난 기한입니다 — 디지털운영복원력법(DORA)을 준수해야 했습니다. 주요 시행 동향은 다음과 같습니다:

• 유럽감독기구(ESA)가 감독 심사를 진행하고 있습니다
• ICT 제3자 제공업체 등록부를 유지하고 보고할 수 있어야 합니다
• 시스템적으로 중요한 기관을 대상으로 위협 기반 침투 테스트(TLPT) 요건이 시행되고 있습니다
• 핵심 ICT 제3자 제공업체(CTPP) 감독 프레임워크가 가동 중입니다

---

📋 컴플라이언스 실행 항목 — 2026년 3월

1. AI Act:
   • 3자 협의(trilogue)로 넘어가는 의회 간소화 제안을 모니터링하십시오
   • 누드화 기능을 포함한 금지 관행 여부를 AI 시스템에서 점검하십시오
   • 모든 AI 도입 사례를 위험 수준별(허용 불가/고위험/제한적/최소)로 분류하십시오
   • 중소기업: 자국의 규제 샌드박스 접근 방안을 알아보십시오
2. 사이버복원력법:
   • 중소기업: ENISA의 CRA 준비 상태 설문조사에 참여하십시오
   • 하드웨어/소프트웨어 제조업체: 2026년 9월 보고 의무를 준비하십시오
   • 지금부터 취약점 처리 프로세스를 구현하십시오
   • 제품 수명주기 보안 업데이트 이행 사항을 재검토하십시오
3. NIS2(적극 시행 중):
   • 적용 대상 여부를 확인하고 컴플라이언스 조치를 완료하십시오
   • ENISA의 갱신된 방법론을 활용해 사이버보안 훈련을 실시하십시오
   • 24시간/72시간 사고 보고 역량을 점검하십시오
   • 공급망 보안 평가를 문서화하십시오
4. DORA(기한 이후):
   • ICT 제3자 제공업체 등록부를 유지하십시오
   • 위협 기반 침투 테스트 프로그램을 실행하십시오
   • ICT 서비스 제공업체 계약을 재검토하고 갱신하십시오
   • 감독기구 심사에 대비하십시오
5. GDPR/DMA:
   • DMA-GDPR 상호작용 가이드라인을 플랫폼 의존적 운영에 맞춰 재검토하십시오
   • DMA 준수를 위한 데이터 이동권 메커니즘을 점검하십시오
   • DMA와 GDPR 모두에 부합하도록 동의 체계를 갱신하십시오