Forum InCyber 2026, 사이버보안 인재 양성 확대 착수…EU 의회는 AI Act 간소화·누디파이어 AI 금지, e-Privacy CSAM 예외는 만료

유럽연합 집행위원회가 릴에서 열린 Forum InCyber 2026에서 Cybersecurity Skills Academy의 새로운 이행 약속을 공개했습니다. 유럽의회 의원들은 AI Act의 고위험 시스템 요건을 간소화하고 AI 누디파이어 도구를 금지하는 안에 표를 던졌습니다. 자발적인 CSAM 탐지를 허용하던 e-Privacy 예외 조항은 연장 없이 만료됐습니다. EU AI Act 집행이 다가오면서 AI 에이전트 위험 분류도 중대한 거버넌스 과제로 떠올랐습니다. 한편 집행위원회 자체 침해 사고 조사는 불편한 NIS2 준수 의문을 제기합니다.

1. Forum InCyber 2026: 릴에서 Cybersecurity Skills Academy의 새로운 이행 약속 공개

유럽연합 집행위원회는 Cybersecurity Skills Academy 사업을 대폭 확대한다고 발표했습니다. 이 발표는 3월 31일 릴에서 개막해 4월 2일까지 열리는 Forum InCyber 2026에서 나왔습니다. 유럽을 대표하는 사이버보안 행사 중 하나인 이번 포럼은 갈수록 심각해지는 역내 사이버보안 인력 격차를 해소하기 위한 새로운 공약의 출발점이 됐습니다.

수치로 보는 인재 위기

유럽의 사이버보안 전문인력 부족 규모는 약 50만 명에 이릅니다. 이는 ENISA가 2025년 12월 발표한 최신 NIS Investments 보고서에 따른 수치입니다. 이 보고서의 여섯 번째 판은 우려스러운 흐름을 보여줬습니다. 조직들이 투자 중심을 사람에서 기술로옮기는 동안 인재 부족은 오히려 심화되고 있습니다. 숙련된 운영자 없이 고도화된 도구만 늘어나는 위험한 불균형이 생긴 것입니다.

발표된 내용

• EU 전역 역량 인증 체계: 사이버보안 자격이 27개 모든 회원국에서 인정되도록 조율된 인증 체계를 마련합니다.
• Cybersecurity Skills Academy 시범 프로그램: Digital Europe Programme의 지원을 받아 여성과 경력 전환자 등 대표성이 낮은 집단을 대상으로 운영합니다.
• 산업계·학계 협력: 주요 기술 기업들이 NIS2, DORA, CRA 준수 수요에 맞는 교육과정을 공동 개발하기로 새롭게 약속했습니다.
• ENISA의 조정 역할: ENISA가 역량 격차 모니터링과 교육 자원 통합을 위한 중앙 허브 역할을 맡습니다.

규제 배경

발표 시점은 의도적입니다. DORA의 위협 기반 침투 테스트(TLPT) 체계가 이미 가동됐고 CRA의 취약점 보고 의무가 2026년 9월 시행되면 자격을 갖춘 사이버보안 인력 수요는 급증할 전망입니다. 현재 유럽의회가 심사 중인 개정 Cybersecurity Act 제안에도 인력 개발을 전략적 보안 우선순위로 다루는 조항이 포함돼 있습니다.

2. 유럽의회, AI Act 간소화와 AI 누디파이어 시스템 금지에 표결

3월 26일의 중대한 표결에서 유럽의회는 EU AI Act의 시행 체계를 간소화하는 제안을 채택하는 동시에 AI 기반 누디파이어 시스템을 전면 금지했습니다. 이는 인공지능으로 당사자의 동의 없이 성적 이미지를 생성하는 도구를 뜻합니다.

AI Act 간소화

유럽의회 IMCO·LIBE 위원회는 AI Act의 고위험 시스템 요건 가운데 여러 부분을 명확히 하고 간소화하는 개정안을 통과시켰습니다.

• 명확한 적용 시점: AI 시스템 범주별로 구체적인 의무가 언제 발효되는지에 관한 모호성을 없앱니다.
• 비례적인 적합성 평가: 모든 고위험 범주에 획일적인 기준을 적용하지 않고 실제 위험 수준에 따라 평가 요건을 조정합니다.
• 중소기업 면제: 고위험 AI를 배포하는 중소기업에는 전환 기간을 늘리고 문서화 요건을 완화
• 해석 지침의 조화: 단일 시장을 분열시킬 수 있는 국가별 상이한 이행을 막기 위해 정의를 표준화

AI 누디파이어 금지

AI 누디파이어 시스템 금지는 AI Act 제5조에 새로운 금지 관행 새 조항으로 추가됩니다. 유럽의회 의원들은 이러한 도구가 기본권에 “허용할 수 없는 위험” 수준이라고 판단했습니다. 특히 존엄성, 사생활, 젠더 기반 폭력으로부터 보호받을 권리를 침해한다는 이유입니다.

금지 대상은 다음과 같습니다.

• 당사자 동의 없이 친밀한 상황에 있는 것처럼 이미지를 생성하거나 변형하는 AI 시스템
• 그러한 시스템에 대한 접근을 알면서 호스팅하거나 돕는 배포 플랫폼
• 명시한 목적과 관계없이 누디파이 기능을 제공하는 상용 서비스

3. e-Privacy CSAM 예외 만료: 자발적 탐지 종료

파장이 큰 논쟁적 결정으로 유럽의회는 갱신하지 않기로 표결했습니다 온라인 서비스 제공자가 사적 통신에서 아동 성착취물(CSAM) 관련 콘텐츠를 자발적으로 탐지하도록 허용해 온 e-Privacy 규정의 임시 예외를 말합니다.

무엇이 달라지는가

2021년부터 임시 규정은 법적 근거 역할을 했고, Meta, Google, Microsoft 같은 플랫폼은 해시 매칭 기술로 사적 메시지에서 알려진 CSAM 이미지를 검사할 수 있었습니다. 갱신되지 않으면 이러한 자발적 검사는 법적으로 문제가 될 수 있습니다 전자통신의 비밀을 보호하는 e-Privacy Directive와 충돌하기 때문입니다.

규제 교착 상태

이번 예외 만료는 제안된 CSAM Regulation, 이른바 ‘Chat Control’과 사생활 보호 기본권 사이에 남아 있는 해결되지 않은 긴장 해결되지 않은 긴장을 선명하게 드러냅니다. 이른바 “Chat Control”로 불리는 CSAM Regulation과 기본적 사생활권 사이의 충돌입니다. EU 이사회와 유럽의회는 클라이언트 측 스캔 의무의 범위를 두고 여전히 대립하며, 여러 회원국 헌법재판소도 대규모 감시 우려를 제기했습니다.

4. AI 에이전트 위험 거버넌스: 새롭게 떠오르는 규제 과제

기업이 비즈니스 시스템 전반에서 추론하고 계획하며 행동을 실행할 수 있는 자율형 AI 에이전트 기술을 빠르게 도입하면서 EU AI Act 체계에 중대한 거버넌스 공백이 생기고 있습니다. 업계 전문가들은 현재의 위험 분류 방식으로는 에이전트형 AI 패러다임.

AI 에이전트 위험의 세 가지 범주

보안 연구자들은 두 가지 변수에 기초한 위험 프레임워크를 제안했습니다. 하나는 에이전트가 접근할 수 있는 시스템과 데이터의 범위를 뜻하는 접근 권한 이고, 다른 하나는 에이전트가 얼마나 독립적으로 작동하는지를 뜻하는 자율성 수준을 뜻합니다.

EU AI Act 정합성의 과제

AI Act의 위험 기반 분류(최소, 제한, 고위험, 허용 불가)는 주로 정적 AI 시스템 중심이며 예측 가능한 출력을 전제해 설계됐습니다. 그러나 에이전트형 AI 시스템은 스스로 접근 범위를 동적으로 넓히고도구 호출을 연쇄하며 여러 기업 시스템에서 자율적으로 결정하므로 이러한 범주에 깔끔하게 들어맞지 않습니다.

• 신원 권한 상속: 직원 자격증명으로 작동하는 로컬 에이전트는 중앙 IAM 거버넌스를 우회하는 보이지 않는 권한 사슬을 만듭니다. 이는 NIS2 제21조와 직결되는 문제입니다.
• 공급망 위험: 공개 생태계에서 제3자 플러그인을 내려받는 에이전트는 검증되지 않은 코드를 상속된 권한으로 실행합니다. CRA 제품 보안 요건과 맞닿는 위험입니다.
• DORA 관련성: ICT 시스템과 상호작용하는 자율 에이전트를 배포한 금융기관은 이를 ICT 제3자 위험 관리 체계에 포함해 평가해야 합니다. DORA 제5장이 요구하는 사항입니다.

5. 유럽연합 집행위원회 침해 조사: NIS2 준수 여부 도마 위

유럽연합 집행위원회가 진행 중인 침해 사고 조사 사건을 보면 집행위원회가 앞장서 추진하는 규정을 스스로 얼마나 준수하는지 날카로운 질문이 생깁니다. 공격자가 Europa 호스팅 웹사이트를 침해한 뒤 3월 24일 공개됐습니다.

최근 상황

The Register 보도에 따르면 집행위원회는 Europa 웹사이트를 호스팅하는 클라우드 시스템에서 데이터가 유출됐음 사실을 확인했지만 범위, 영향, 공격 경로에 관해서는 거의 설명하지 않았습니다. 현재 데이터가 영향받았을 수 있는 “EU 기관”에 통지하고 있습니다.

이번 사건은 집행위원회가 2026년에 겪은 두 번째 보안 사고입니다. 2월에는 직원 휴대전화가 침해돼 이름과 전화번호가 노출됐을 가능성이 있다고 밝혔습니다. 별도로 BleepingComputer는 위협 행위자가 집행위원회의 AWS 클라우드 환경에 접근해 350GB가 넘는 데이터를 유출했다고 주장했다는 내용을 보도했습니다.

DORA와 클라우드 집중 위험에 주는 시사점

이 침해는 DORA의 ICT 제3자 집중 위험 조항 (제29조)이 겨냥한 문제도 드러냅니다. 핵심 시스템을 단일 클라우드 제공자에 지나치게 의존하는 위험입니다. 집행위원회의 AWS 환경이 실제 진입점이었다면 DORA가 요구하는 이탈 전략 그리고 멀티클라우드 복원력 계획 필요성을 강조한 규제 논리를 입증합니다. 금융기관은 이제 이 요건을 이행해야 합니다.

큰 그림: 2026년 4월 규제 현황

2026년 2분기가 시작되면서 EU 디지털 규제 체계는 가장 중요한 국면에 들어섰습니다. 주요 제도의 현황은 다음과 같습니다.

이들 체계의 결합은 규제 준수의 복잡성 동시에 전략적 기회를 함께 만듭니다. NIS2, DORA, AI Act를 아우르는 통합 거버넌스 구조를 구축하면 투자가 서로 상승효과를 냅니다. 한 규정을 위해 만든 위험 평가 체계가 다른 여러 규정의 요건도 충족하는 경우가 많습니다.