EU, 암호화폐 지갑 보안 강화: 취약점 발견 시 24시간 내 신고 의무화
CryptoSlate2026년 9월 13일 20:454
유럽연합(EU)이 사이버 복원력 법(Cyber Resilience Act, CRA)을 통해 암호화폐 지갑 제조사들에게 보안 취약점 발생 시 신속한 신고를 의무화하는 강력한 규제를 시행한다. 이에 따라 관련 제품 제조사들은 심각한 보안 사고 또는 취약점이 악용된 사실을 인지한 지 24시간 이내에 당국에 해당 사실을 통보해야 한다. 이 규정은 2026년 9월 11일부터 발효되었으며, EU 시장에 출시되는 디지털 요소가 포함된 모든 제품에 적용된다.
CRA는 수평적인 제품 규제로, EU 시장에서 판매되는 하드웨어 및 소프트웨어 제품에 광범위하게 적용된다. 특히, 사용 시 네트워크 또는 장치와의 직접적 또는 간접적인 데이터 연결이 예상되는 제품들이 규제 대상에 포함된다. 상업적으로 판매되는 연결형 하드웨어 지갑이나 다운로드 가능한 지갑 앱은 이러한 조건을 충족할 가능성이 높다. 다만, EU의 공식 지침에 특정 지갑 브랜드가 명시되거나 모든 지갑 서비스가 포괄적으로 포함된다고 선언된 것은 아니며, 규제 적용 여부는 개별 제품의 특성, 공급 방식, 그리고 관련 예외 조항 적용 여부에 따라 결정된다.
제조사는 취약점 또는 심각한 보안 사고를 인지한 후 지체 없이, 늦어도 24시간 이내에 초기 경고 보고서를 제출해야 한다. 이 보고서에는 제품이 제공된 회원국 정보가 포함되어야 하며, 심각한 사고의 경우 불법적이거나 악의적인 행위가 의심되는지에 대한 내용도 명시해야 한다. 초기 경고 후, 72시간 이내에 보다 상세한 보고서가 제출되어야 한다. 만약 초기 보고서에 이미 관련 정보가 충분히 제공되었다면, 추가 제출이 면제될 수 있다.
활발하게 악용되는 취약점의 경우, 제품, 취약점의 내용, 그리고 이를 해결하기 위한 시정 또는 완화 조치에 대한 일반적인 정보가 포함된 보고가 요구된다. 심각한 보안 사고의 경우, 사고의 성격, 초기 평가, 그리고 가능한 완화 정보 등이 추가된다. 최종 보고서 제출 기한은 사건의 종류에 따라 다르다. 취약점 보고서는 시정 또는 완화 조치가 가능해진 날로부터 14일 이내에 제출해야 하며, 심각한 사고의 경우 72시간 보고 마감일로부터 한 달 이내에 제출해야 한다.
모든 보고는 EU 사이버 보안 기관인 ENISA가 출시한 단일 보고 플랫폼(Single Reporting Platform)을 통해 이루어진다. 이 플랫폼은 보고서를 지정된 조정 컴퓨터 보안 사고 대응팀(CSIRT)에 전달하고, ENISA를 통해 다른 관련 국가 팀들에게도 정보가 확산되도록 지원한다. 또한, 제조사는 영향을 받은 사용자들에게도 해당 사실을 통지해야 하며, 필요한 경우 사용자가 취할 수 있는 조치를 포함하여 모든 사용자에게 적절한 조치를 취할 것을 안내해야 한다.
이러한 보고 의무는 2027년 12월 11일 이전에 EU 시장에 출시된 관련 제품에도 적용된다. 이는 새로운 규정이 향후 출시될 제품뿐만 아니라 이미 시장에 나와 있는 기존 제품 라인에도 영향을 미친다는 것을 의미한다. 따라서 현재 EU 시장에서 암호화폐 지갑 서비스를 제공하거나 관련 하드웨어 제품을 판매하는 국내외 기업들은 CRA 규정을 면밀히 검토하고, 강화된 보안 요구사항에 대한 대비책을 마련해야 할 필요성이 더욱 커졌다.
CRA 도입 배경에는 디지털 경제의 성장과 함께 증가하는 사이버 위협에 대한 EU 차원의 대응 강화라는 큰 목표가 있다. 특히, IoT 기기를 비롯한 디지털 제품에 대한 보안 수준을 전반적으로 향상시키고, 소비자를 사이버 공격으로부터 보호하는 데 중점을 두고 있다. 암호화폐 지갑은 사용자의 자산을 직접적으로 다루는 만큼, 보안 취약점은 심각한 금전적 피해로 이어질 수 있어 EU는 이 분야에 대한 감독을 강화하려는 움직임을 보이고 있다. 이번 규제는 EU 시장 진출을 희망하거나 이미 진출해 있는 암호화폐 관련 기업들에게는 새로운 도전 과제가 될 수 있지만, 장기적으로는 사용자 신뢰도를 높이고 시장의 투명성을 확보하는 데 기여할 것으로 기대된다. 규제 준수를 위한 기술적, 절차적 준비는 물론, 변화하는 규제 환경에 대한 지속적인 모니터링과 대응 전략 수립이 필수적이다.