유럽집행위원회, AWS 클라우드 침해 조사 — EU 이사회, 중국·이란 사이버 기업 제재 — 개정 사이버보안법, 해외 공급업체 겨냥

유럽집행위원회가 자사 Amazon 클라우드 환경에서 발생한 대규모 침해를 조사하고 있습니다 — 350GB가 유출된 것으로 알려지며 NIS2 및 DORA의 제3자 위험 관리에 대한 긴급한 의문이 제기되고 있습니다. EU 이사회는 국가 배후 사이버 공격과 연루된 기업 3곳을 제재했습니다. 발의된 개정 사이버보안법은 고위험 해외 공급업체를 통신망에서 퇴출하도록 의무화할 전망입니다. CRA 행정 협력 그룹이 첫 회의를 열었으며, AI 위원회는 EU AI Act 거버넌스를 논의하는 일곱 번째 회의를 개최했습니다.

1. 유럽집행위원회 AWS 침해 — 350GB 데이터 탈취로 흔들리는 EU 클라우드 보안 태세

유럽집행위원회는 위협 행위자가 자사 Amazon Web Services(AWS) 계정 중 최소 1개에 무단으로 접근한 뒤 보안 침해가 발생했음을 조사하고 있습니다. 공격자는 350기가바이트가 넘는 데이터를 탈취했다고 주장하며, 여기에는 위원회 직원 소유의 여러 데이터베이스와 이메일 서버 콘텐츠가 포함됩니다.

발생 경위

BleepingComputer 보도에 따르면, 이번 침해는 위원회의 사이버보안 사고 대응팀이 비교적 신속하게 탐지했습니다. 위협 행위자는 직원 정보와 내부 이메일 시스템에 접근했음을 보여주는 스크린샷을 제공했습니다. 특히 공격자는 협박은 시도하지 않을 것이나, 대신 데이터를 공개적으로 유출할 계획이라고 밝혔습니다.

이는 위원회에서 2026년 발생한 두 번째 주요 침해 사례입니다. 지난 2월, 위원회는 자사의 모바일 기기 관리(MDM) 플랫폼이 1월 30일 침해되었다고 공개했으며, 이는 Ivanti EPMM 코드 인젝션 취약점과 관련이 있으며, 이 취약점은 네덜란드 데이터보호청과 핀란드 Valtori 기관에도 영향을 미쳤습니다.

핵심 규제 시사점

• NIS2 제21조(2)(d): "각 기관과 직접 공급업체 또는 서비스 제공업체 간의 관계에 관한 보안 관련 측면을 포함한 공급망 보안"을 요구합니다 — AWS는 직접 서비스 제공업체에 해당합니다
• DORA 제28조: 금융기관 및 핵심 기관이 ICT 제3자 서비스 제공업체와 견고한 계약 약정을 유지하도록 의무화하며, 여기에는 종료 전략과 데이터 이동성이 포함됩니다
• GDPR 제33조: EU 시민의 개인정보가 침해된 경우, 위원회는 72시간 이내에 EDPS에 통지해야 합니다

2. EU 이사회, 국가 배후 사이버 공격에 대해 중국·이란 기업 제재

유럽연합 이사회는 회원국의 핵심 인프라를 겨냥한 사이버 공격을 조직한 혐의로 기업 3곳과 개인 2명에 대해 사이버 제재를 부과했습니다 — 이는 2019년 제도 도입 이래 EU 사이버 제재 체제의 가장 큰 확대입니다.

제재 대상 기업

제재 대상 개인 2명은 Anxun Information Technology(i-Soon)의 공동창립자로, 이 중국 기업은 2024년 2월 발생한 대규모 데이터 유출을 통해 정부와 연계된 해킹 대행업체로서의 실체가 드러났습니다.

규제적 의의

이번 제재는 EU의 발전하는 사이버 억지 프레임워크를 NIS2 하에서 직접적으로 강화합니다. 이 지침의 전문(前文) 9항은 국가 배후 위협에 대한 조율된 대응의 필요성을 명시적으로 언급하며, 제13조는 EU-CyCLONe(사이버 위기 연락 조직 네트워크)에 "대규모 사이버보안 사건의 조율된 관리"를 지원하는 임무를 부여합니다.

3. 개정 사이버보안법 — 고위험 해외 공급업체 퇴출 의무화

유럽집행위원회는 고위험 해외 공급업체의 퇴출을 의무화할 권한을 부여하는 광범위한 새 사이버보안 법안을 제안했습니다 — 유럽 통신망을 대상으로 하며, 2020년 도입된 자발적 5G 보안 툴박스를 넘어서는 조치입니다.

핵심 조항

• 의무적 위험 평가: 공급업체의 원산지 국가와 국가안보 함의를 기준으로 18개 핵심 분야 전반에 걸친 EU 전역의 평가
• 고위험 공급업체 퇴출: 모바일 통신망에서 보안 위험으로 간주되는 공급업체의 장비를 제한하거나 금지할 권한
• 간소화된 인증: 규제 부담을 줄이기 위한 ENISA 주관의 자발적 인증 체계
• 강화된 ENISA 권한: 조기 위협 경보, 사고 보고를 위한 단일 접점, Europol과의 랜섬웨어 대응 조율
• 사이버보안 인력: EU 전역의 기술 인증 체계 및 사이버보안 스킬 아카데미 시범 프로그램

"사이버보안 위협은 단순한 기술적 과제가 아닙니다. 이는 우리의 민주주의, 경제, 삶의 방식에 대한 전략적 위험입니다." EU 기술 담당 집행위원 Henna Virkkunen이 말했습니다. 사이버보안법은 승인과 동시에 발효되며, 회원국은 1년 안에 개정 사항을 국내법에 반영해야 합니다.

NIS2 및 DORA와의 접점

개정 사이버보안법은 NIS2를 대체하는 것이 아니라 보완합니다. NIS2가 필수 및 중요 기관에 대한 기본 보안 요건을 설정하는 반면, 이 새 법안은 인프라 수준에서 공급망 주권을 구체적으로 겨냥합니다. DORA 적용을 받는 금융기관의 경우, 그 함의는 명확합니다: ICT 제3자 집중 위험이 EU 역외 공급업체와 관련될 경우 더욱 강화된 규제 감독을 받게 됩니다.

4. 사이버 복원력법 — 첫 행정 협력 그룹 회의 개최

바로 사이버 복원력법(CRA) 행정 협력 그룹이 2026년 3월 20일 첫 회의를 열었습니다. 이 회의는 EU 내에서 판매되는 모든 디지털 제품에 대한 의무적 사이버보안 요건을 부과할 규정의 시행을 준비하는 중요한 이정표가 되었습니다.

CRA가 요구하는 사항

CRA는 디지털 요소를 포함한 모든 제품에 적용됩니다 — 소비자 IoT 기기부터 산업용 소프트웨어까지입니다. 제조업체는 다음을 이행해야 합니다:

• 제품 출시 전 사이버보안 위험 평가를 실시해야 합니다
• 제품의 예상 수명 동안(최소 5년) 보안 업데이트를 제공해야 합니다
• 24시간 이내에 ENISA에 실제 악용 중인 취약점을 보고해야 합니다
• 모든 제품에 대해 소프트웨어 자재명세서(SBOM)를 유지해야 합니다

ENISA는 또한 중소기업 대상 설문조사를 시작했습니다 — CRA 인지도, 준비 상태, 지원 필요성을 평가하기 위한 것으로, 중소기업이 불균형적인 컴플라이언스 부담을 안고 있음을 인정한 조치입니다.

5. EU AI 위원회 일곱 번째 회의 — AI Act 거버넌스 형성

바로 EU AI 위원회의 일곱 번째 회의가 2026년 3월 20일 열려 회원국 대표들을 한자리에 모았으며, 이 자리에서는 위원회의 AI 전략 최신 동향과 지속적으로 이행되고 있는 EU AI Act.

AI Act의 현황

EU AI Act의 단계적 시행은 예정대로 진행되고 있습니다:

AI 위원회는 회원국 전반의 AI Act 집행을 조율하는 핵심 거버넌스 기구입니다. 일곱 번째 회의에서 논의된 주요 주제는 다음과 같습니다:

• 조화된 표준 — 고위험 AI 시스템 평가를 위한 기준입니다
• AI 규제 샌드박스 — 회원국 전역의 시행 현황
• 범용 목적 AI 모델의 행동강령에 관해 AI 사무국과 협력
• 국경 간 집행 협력 메커니즘

큰 그림: 형성되는 EU의 규제 요새

이번 주의 여러 사안은 EU의 사이버보안 및 디지털 규제 지형이 얼마나 빠르게 수렴하고 있는지를 보여줍니다. 이제 5개의 주요 프레임워크가 동시에 시행 중이거나 시행에 돌입하고 있습니다:

위원회 자체의 AWS 침해는 — 다소 민망하기는 하지만 — 오히려 입법 시급성을 가속화할 수도 있습니다. 스스로가 피해자가 되는 것만큼 규제 조치에 강한 동기를 부여하는 것은 없습니다.