오는 2025년 8월 1일을 기점으로 유럽 시장에 진출하는 전자기기 제조사는 중대한 변화를 맞이하게 된다. 유럽연합(EU)이 기존의 무선기기 인증 체계인 ‘RED(Radio Equipment Directive)’에 사이버보안 관련 항목을 추가하고, 이를 법적 구속력이 있는 필수 요건으로 시행하기로 결정했기 때문이다.
기존 RED는 무선 통신 기능이 탑재된 모든 기기를 대상으로 전자파 적합성, 인체 안전성, 주파수 준수 등을 평가해 왔지만, 2025년 8월부터는 여기에 사이버보안이 필수 조건으로 추가된다. 특히 무선기기가 네트워크와 서비스에 피해를 가하지 않도록 설계(3.3(d))해야 하고, 개인 데이터와 프라이버시 보호(3.3(e))가 확보되어야 한다. 또한, 결제 도용이나 가상화폐 탈취 등과 같은 심각한 사기 행위도 방지(3.3(f))할 수 있어야 한다. 이 세 가지 조항은 이미 2022년 EU 위임법(Regulation EU 2022/30)을 통해 발표되었으며, 오는 8월 본격적으로 적용된다.
이번 규제 변화는 블루투스, 와이파이, LTE 모듈과 같은 무선 통신 기능을 탑재한 모든 제품이 적용 대상이다. 가정에서 사용하는 스마트 냉장고, 로봇청소기, 무선 프린터, 도어락부터 제조 및 설비 현장의 산업용 센서와 무선 제어 장치, 웨어러블 디바이스, 스마트워치, 홈캠, 무선 POS 단말기에 이르기까지 그 범위는 매우 광범위하다. 즉, 하드웨어의 품질과 성능이 아무리 뛰어나도 사이버보안 기능 입증 없이는 시장 진입조차 불가능한 시대가 도래한 것이다.
이번 RED 개정은 단순한 인증 항목 추가로 가볍게 여겨서는 안 된다. 위협 모델링, 암호 아키텍처, 펌웨어 업데이트 정책, 개인정보 처리 흐름도 등 상당히 까다롭고 세부적인 사항까지 문서화해 제출해야 하고, 인증 이후에도 유럽의 CRA(사이버 복원력법) 등 후속 규제와 연계돼 지속적인 보안 유지와 패치 이력 관리 의무가 요구되는 점 등을 요구하기 때문이다. 게다가 RED 사이버보안 인증을 수행할 수 있는 지정 시험기관(노티파이드 바디)의 수가 제한적이기 때문에, 인증 리드타임이 크게 늘어날 수 있는 부분도 상정해야 한다. 유럽은 장기적으로 '보안 컴플라이언스 관리 체계'를 갖춘 기업이 유럽을 상대로 수출을 지속할 수 있다는 것을 명시한 셈이다.
따라서 앞으로의 유럽 시장 대응 전략은 단발성 시험 대비가 아닌, 제품 개발 전 과정에 걸쳐 보안을 철저히 내재화하는 구조적인 접근이 필요하다. 제품의 설계 단계부터 보안을 고려하는 Security-by-Design 원칙을 적용해야 하며, 펌웨어와 통신의 보안 취약점을 자동으로 점검할 수 있어야 한다. 또한 RED 규제 요건과 내부 보안 요구사항을 자동으로 매핑하고 기술문서 및 증적 자료를 자동 생성하는 프로세스 구축이 필요하다.
아울러 제품 출시 이후에도 위협 정보를 실시간으로 수집·분석하고 대응할 수 있는 구조적 체계를 마련하지 않으면, 향후 제품을 출시할 때마다 막대한 비용과 시간을 반복적으로 투입해야 하는 상황에 직면하게 될 것이다.
지엔(ZIEN)은 이와 같은 환경 변화에 선제적으로 대응하고자 RED 인증 대응을 위한 자동 점검·문서화·규제 매핑 플랫폼을 개발하고 있다. 특히 중소·중견기업들이 단 한 번의 구축으로 추가 비용과 시간을 최소화하며 반복적으로 활용할 수 있는 보안 인증 체계를 만드는 것이 핵심 목표다.
이제 사이버보안은 시장 진입의 마지막 관문이 아니라 시장 진출을 위한 필수 조건이 되었다. 앞으로 유럽 시장에서의 수출 경쟁력은 제품의 기능이나 하드웨어 성능이 아니라, 얼마나 효율적이고 체계적인 보안 시스템을 구축했느냐에 따라 결정될 것이다. 2025년 8월은 단지 RED 사이버보안 의무화의 시작일 뿐이다.
이제 유럽 시장에서 보안이 입증되지 않은 제품이 설 자리는 없다.
출처: 테크월드