본고에서는 스마트 공장 및 제조 분야의 안전성과 보안성을 기반으로, 

산업제어시스템 보안과 관련한 최근 국제 표준화 동향을 살펴보고, 

이를 토대로 한 사이버 보안 인증 흐름과 현장 적용 사례 및 실증 결과 

그리고 시사점을 중점적으로 살펴본다.

 

2) 국내외 제조 분야 사이버 보안 동향

국내외 제조 분야 사이버 보안 동향은 다음과 같다.

① 유럽연합(EU) 사이버 보안

•유럽에서 2016년부터 사이버 보안 요소가 한층 강화된 NIS(Network and Information Security Directive), RED(Radio Equipment Directives), CRA(Cyber Resilience Act) 등 각종 법규가 재개정되고 있는데, 그중에서도 사이버 보안 요구사항 내용의 양적 확장, 강력한 적용과 영향력이 폭발적인 CRA를 중점적으로 소개

•NIS2

 - 2016년에 발효된 NIS는 2023년 1월 16일에 NIS2로 개정되면서 2024년 10월 18일까지 EU 회원국들이 이를 국내법으로 전환하여야 했으며, 다음과 같이 사이버 보안이 한층 강화되었음

 - 기존 NIS를 확장하여 공공 행정 기관, 디지털 서비스 제공업체 및 중요 인프라 운영자를 포함 범위 확대

 - 중요 인프라 및 디지털 서비스 제공 업체의 사이버 보안과 복원력을 개선하기 위한 것

 - 보안 취약점을 조기에 식별하고, 이에 대한 예방 조치를 취하는 것을 목표로 함

 - 더 엄격한 규정 : NIS2는 더 강력한 보안 요구사항과 사고 보고 의무를 도입하였고, 공급망 보안을 강조하며, 취약점은 종종 상호 연결된 시스템에서 비롯된다는 점을 강조

 - EU 전체 협력 : NIS2는 유럽 연합 전체에서 협력과 정보 교환을 장려하고, 불이행 시 더 강력하게 처벌

 - OT 관련성 : NIS2에서는 기업이 특히 OT 시스템과 관련된 적절한 수준의 보안을 보장하도록 요구

•RED 2014/53

 - 유럽에서 무선 제품을 판매하기 위해서는 EU directive 2014/53/EU RED를 적용한 시험성적서가 있어야 함

 - 기존 RED(EN 18031)의 사이버 보안 시험 규격을 강화하고, 사이버 보안 필수 요구사항 추가함

 - 인터넷을 통해 직접 또는 간접적으로 통신하는 모든 무선 장비와 개인 데이터 또는 교통 데이터 및 위치 데이터를 처리하는 모든 무선 장비

 - 제품 설계 및 사이버 보안 조치에 EN 18031을 완전히 적용하고, 2025년 1월 28일자 EU 집행위원회 이행 결정으로 2025년 8월 1일부터 2025/138에 명시된 모든 제한 사항을 준수해야 함

 - 제조업체가 EN 18031을 완전히 적용하지 않거나 제한 사항을 준수하지 않는 경우, 제품이 EU 시장에 출시되기 전에 지정된 기관(NB, Notified Body)을 통해 적합성 평가를 받아야 함

 - 보안 자산 : 정보의 기밀성, 무결성 및 가용성을 유지하는 데 중요한 모든 데이터, 시스템 또는 리소스를 포함 

 - 네트워크 자산 : 서버, 라우터, 스위치, 방화벽 및 기타 네트워크 디바이스 구성과 같이 네트워크 인프라를 구성하는 모든 자산 포함

 - 개인정보 자산 : 이름, 주소, 주민등록번호, 건강 기록, 금융 정보 등 개인의 신원 및 개인정보와 관련된 모든 정보를 의미

 - 금융 자산 : 현금, 투자금, 은행 계좌, 금융 상품 등 금전적 가치가 있는 모든 금전적 자원 또는 자산 포함

② 유럽 지역 사이버 보안 규정 EU CRA

•CRA 법규에서, 디지털 요소가 있는 제품의 생산·유통 등에 관여하는 모든 경제 운영자의 책임과 의무를 명확히 규정하고, 디지털 요소가  있는 제품의 선택·사용 시 사용자가 사이버 보안을 고려할 수 있는 조건을 형성하고, 2027년 12월 11일부터 본격 시행될 예정

•CRA는 NIS2를 보완하여 네트워크 연결성이 높은 제품이 보안 표준 및 기준을 충족하도록 보장하고, 2027년 시행 시점부터 RED를 통합하여 운용할 예정

•국경을 초월한 규제 적용 → CRA 제3조 ‘원격 데이터 처리’ 규정에 따라 EU 외부 기업도 EU 이용자 대상 서비스 시 규제 적용

•EU 지역에서 판매, 유통되는 디지털 요소가 있는 하드웨어 및 소프트웨어 또는 소프트웨어를 포함하는 모든 제품의 수명주기 전반에 걸쳐 필수 보안 요구사항을 도입하고, 제품을 제조, 수입 및 유통하는 모든 경우에도 적용

 - 디지털 요소가 있는 제품(PDE, Products with Digital Elements)의 보안 강화

 - 제품 개발 초기부터 보안 통합하는 것

 - 기업과 조직의 사이버 보안 체계를 강화하는 데 중점

•다른 장치나 네트워크에 직접 또는 간접적으로 연결된 하드웨어 및 소프트웨어 제품(예: 노트북, 모바일 기기, 센서 및 카메라, 라우터, 펌웨어, 어플리케이션, 비디오 게임, 비디오 카드, 컴퓨터 처리 장치, 냉장고, TV, 장난감 및 기타 IoT 제품)의 설계, 개발, 생산, 제조 및 시장 출시 시 사이버 보안 문제를 규제

•EU 공동연구센터(JRC, Joint Research Centre)와 사이버보안청 (ENISA, European Union Agency for Cybersecurity)은 CRA 요구사항이 기존 국제 표준(IEC 62443 포함)과 어떻게 연결되는지 설명하는 문서 발표

•JRC & ENISA는 IEC 62443에서 정의된 보안 제어, 보안 개발 절차, 생애주기 접근 방식과 다수의 측면에서 기본 원칙을 공유하고, Secure by Design, 취약점 관리, 기술 문서화 등 IEC 62443의 보안 실무와 상당히 유사하게 맵핑(표 2 참조)

(적용 제외) 다른 법규의 적용을 받는 의료기기, 항공, 해양, 자동차 구성품이나 국가 안보 관련 제품 등은 제외

 - 인체용 의료기기 및 부속품(Regulation EU 2017/745) 

 - 인체용 체외 진단 의료기기 및 부속품(Regulation EU 2017/746〕 

 - 민간 항공기(Regulation EU 2018/1139) 

 - 해양 장비(Regulation EU 2014/90)

 - 자동차 및 트레일러, 해당 차량용 시스템, 구성요소 및 별도의 기술 단위에 대한 형식 승인 요구사항(Regulation EU 2019/2144)에 따라 인증받은 제품 등

 - SaaS와 같은 클라우드 서비스는 동 법안에서 정의하는 디지털 요소를 가진 제품과 관계된 원격 데이터 처리 솔루션에 해당하지 않는 한 동 지침의 규율 대상이 아니며, NIS2 지침의 적용을 받음

③ 미주 지역 사이버 보안

•미국, 캐나다, 멕시코 등을 대상으로 하는 미주 지역에서는 미국 연방정부의 주도 하에 국토안보부(DHS), 상무부 소속 국립표준연구소(NIST)가 중심으로 OT/ICS 사이버 보안 표준 및 기준을 마련하여 적용토록 하고 있음

 - 미국 대통령 행정명령(EO) 13636에 따라 

16개 기반 시설 분야에 의무적으로 적용되도록 NIST 사이버보안 프레임워크(NIST CSF, Cybersecurity Framework)가 개발·보급

 - 발전된 CSF 2.0은 아주 잘 만들어져 민간 및 

국제표준기구에서도 사이버 보안 표준 관련 

문서에서 모두 개정 적용하고 있음 

 - 미국 연방정부에 공급하는 OT/ICS 제품에 적용할 사이버 보안 표준으로 2023년 9월 28일 SP 800-82 Rev.3 Guide to OT (Operational Technology) Security 표준 및 IR 등 발간

 - 발전(핵, 수력, 원자력 등), 송유관 및 가스, 

신재생 에너지 등을 대상으로 에너지부(DoE) 연방에너지규제위원회(FERC, Federal Energy Regulatory Commission)에서 NERC CIP(North American Electric Reliability Corporation Critical Infrastructure Protection) 15개 표준을 의무 적용하고, 위반할 시에 강력하게 처벌하고 있음 

 - 식품의약국(FDA, Food and Drug Administration)에서는 의료기기 인증 심사에서 eSTAR(electronic Submission Template And Resource) 프로그램을 의무 적용하면서 사이버 보안 문서 수십 종을 필히 제출하도록 요구하고 있고, 혹은 ANSI/ISA 62443 인증을 받거나 이들 기준을 충족시켰음을 증빙하는 자료를 제출하도록 하고 있음

④ 국내 기반 시설/OT/ICS 사이버 보안 요구사항 적용 현황

•기반 시설 산업제어시스템 사이버 보안

 - 국가정보원과 국가보안기술연구소가 주관하여 기반 시설 제어시스템에 적용할 사이버 보안 기준으로 IEC 62443-4-2 Technical security requirements for IACS components를 지정 

 - 국가정보보안기본지침 「제어시스템 보안 가이드라인」을 개정하여, ‘국가·공공기관은 제어시스템을 신규 구축하거나 제어시스템 및 기기를 도입할 때 「국가제어시스템 가이드라인」을 준수하여야 한다’고 규정하였으며, 해당 주체는 국가·공공 제어시스템 관리 기관으로 정의하고 있음

 - 「국가제어시스템 가이드라인」은 2021년 10월 개정되었으며, ‘KS 시험 결과를 받을 것을 권고한다’라고 규정하고 있음 

 - 공급자, SI 사업자가 시험을 받고 KS X IEC 62443-4-2 시험성적서 제출

 - 대상은 국가·공공기관 중 제어시스템/기기 도입·보유·운용·구축 기관(국가·공공기관의 제어시스템 관할: 국가정보원)

•의료기기 사이버 보안

 - 식품의약품안전처가 주관하여 2019년 11월 28일 「의료기기의 사이버보안 허가·심사 가이드라인(민원인 안내서)」 version1을 처음 제정

 - 이후 수차례 개정 과정에서 국제규격 IEC 62443-4-2와 IEC TR 60601-4-5:2021 Medical electrical equipment - Guidance and interpretation - Safety-related technical security specifications에 따라 사이버 보안 요구사항을 적용하여 개정하였음

 - 「의료기기법」에 따른 의료기기, 「체외진단의료기기법」에 따른 체외진단의료기기, 「디지털의료제품법」에 따른 디지털 의료기기 및 디지털의료기기가 조합된 디지털융합의약품에 적용, 이를 모두 통칭하여 ‘의료기기’로 표기

 - 적용 대상은 유무선 통신(Wi-Fi, 블루투스, USB, RS-232, LAN 등) 경로가 있는 의료기기이다.

    1) 펌웨어(firmware) 또는 프로그램 가능 논리 제어기(PLC, Programmable Logic Controller) 등 소프트웨어를 포함하는 의료기기

    2) 소프트웨어로만 존재하는 의료기기(SaMD, Software as a Medical Device)

•선박 보안

 - 국제선급연합회(IACS, International Association of Classification Societies)는 2022년에 선박 시스템 및 장비의 사이버 복원력에 관한 공통 규칙을 최초로 발행하였다. 

 - IACS UR E26 Rev.1 Cyber resilience of ships Nov. 2023

   ·NIST CSF에 따라 식별-보호-탐지-대응-복구의 5개 구성요소의 단계별 사이버 보안 기본 요구사항 및 세부 요구사항을 정의 

   ·선박 요구사항으로써 설계, 건조, 시운전 및 운영 등 전 수명주기 동안 운영 기술(OT) 및 정보 기술(IT) 시스템의 사이버 복원력을 목표

   ·효과적인 사이버 리스크 관리를 위해 NIST CSF를 근간으로 5가지 기능 요소를 정의하며, 각 기능에 따른 상세 요구사항을 명시

   ·각 요구사항은 선박의 설계, 건조 및 운영에 관련된 이해 관계자(선주, 조선소, 시스템 통합자, 제조사, 선급협회 등)의 책임 하에 선상에서 구현 및 검증되어야 함

 - IACS UR E27 Rev.1 Cyber resilience of on-board systems and equipment 2023.Nov.

   ·국제 표준인 IEC 62443-3-3:2013과 IEC 62443-4-1:2018 보안 요구사항 중에서 선박에 적용이 가능한 사이버 보안 기능 요구사항들을 선택하여 선박 내 설치되는 중요 시스템 및 장비의 사이버 복원력에 대한 최소 요구사항을 정의

   ·제조사 및 기자재 시스템 요구사항으로써 시스템 무결성이 제조사에 의해 보호되고 강화되도록 하는 것이 목표 

   ·선박 기자재 시스템 사이버 복원력에 대한 기본 요구사항, 사용자와 컴퓨터 기반 시스템(CBS, Computer Based System) 간의 인터페이스와 관련된 추가 요구사항 및 제조사 요구사항 포함 

 - 개정판인 UR E27 Rev.1은 2024년 7월 1일 이후 건조 계약되는 국제 항해 선박에 탑재되는 주요 시스템 및 장비에 대해 사이버 복원력 요건을 의무적으로 적용

 - UR E26에 정의된 컴퓨터 기반 시스템에 적용되며, 항법 및 무선 통신 시스템은 본 UR 요구사항 대신 IEC 61162-460 적용 가능

 - 선박의 핵심 제어 시스템부터 네트워크, 시스템 통합, 운영 프로세스 전반에 걸쳐 사이버 보안 요구사항을 체계적으로 정의하고 평가

 - 제품 개발 단계부터 시스템 통합 그리고 운영 단계에 이르기까지 모든 과정에서 IEC 62443의 보안 요구사항을 반영하여 사이버 위협으로부터 선박 보호

 - 한국선급은 선박 자동화 시스템의 사이버 복원력 승인 및 검사를 위해 IEC 62443 표준을 근거로 가이드라인 제공

4. 정책적 함의

1) 사이버 보안 규제 적용의 의무화 혹은 강제성

•최근 세계 각국은 자국으로 수출입되는 모든 IT/OT 제품에 대해 사이버 보안 요구사항의 적용을 법적으로 의무화하고 있음

•디지털 기능이 포함된 모든 하드웨어·펌웨어·소프트웨어를 수출입하고자 하는 모든 경제주체는 관련 법규 요구사항을 반드시 충족해야 하며, 위반할 경우 강력한 제재를 받음

 - 디지털 요소가 포함된 광범위한 제품 및 서비스 전반에 적용

 - 사이버 보안 보장을 위해 디지털 요소가 포함된 제품의 시장 출시를 위한 규칙을 제정

 - AI를 포함한 모든 디지털 요소 제품에 대해 SBOM 작성·제출 및 취약점 관리를 핵심 요구사항으로 규정하고 의무를 부과함

 - AI 서비스는 글로벌 클라우드 및 API 형태로 배포되므로 국경을 초월한 규제 적용 대상. 또한 CRA 제3조 ‘원격 데이터 처리’ 규정에 따라 EU 외부 기업이라도 EU 이용자를 대상으로 서비스를 제공하는 경우 규제 적용 대상에 포함

 - AI 개발에서의 SBOM은 코드 종속성뿐만 아니라 모델, 데이터셋, 프레임워크 버전 관리까지 포함

 - SBOM은 AI 보안, 라이선스 준수 및 데이터 투명성 확보를 위한 핵심 도구

2) 무역 규제 장벽(TBT, Trade Barrier for Technology)의 우회

•세계 각국은 상호 간 무역장벽을 최소화하기 위해 세계무역기구(WTO)의 무역기술장벽(TBT) 협정에 저촉되지 않도록 국제 표준 준수를 의무적으로 요구하고 있음

 - OT/ICS 등에서 사용되는 모든 시스템·설비·부품에는 IEC 62443 ICS Security 시리즈 사이버 보안 표준을 필수적으로 적용하도록 요구됨

 - 유럽에서는 IEC 62443 기준에 따라 CE 인증을 획득한 후 CE 마크를 부착해야 제품을 판매할 수 있도록 규정하고 있음

 - 미국, 캐나다, 멕시코 등 미주 지역에서는 핵·에너지·제조·스마트 선박·로봇 산업 등을 중심으로 사이버 보안 요구사항을 적용하고 있다. 특히 에너지 분야에서는 NERC CIP의 강제 적용이 이루어지고 있으며, 기반 시설 분야에서는 NIST CSF 2.0 준수가 요구된다. 또한 일부 특정 제품 및 의료기기 인증 심사에서는 ANSI/ISA 62443 인증 또는 해당 기준 충족을 입증하는 자료 제출이 의무화되고 있음

3) OT/ICS 사이버 보안 국제 표준 준용 제도화

•수출 주도형 국가인 한국은 해외 시장 진출을 위해 IEC 62443 기반 ICS 보안을 준용할 수 있는 산업 생태계를 조성하고, 이를 뒷받침할 정부 지원이 절실한 시점

 - IEC 62443 ICS Security 시리즈 사이버 보안 표준을 적용한 제품의 개발·생산 및 인증 취득을 지원하기 위한 정책 마련이 시급한 상황

•특히 OT/ICS 보안 국제 표준인 IEC 62443-4-1(SPDL Requirements)은 보안 인증을 위해, 제품 개발 초기 단계인 기능 요구사항 분석부터 최종 폐기 단계에 이르기까지 전 수명주기 전반에 걸쳐 사이버 보안을 고려한 문서화를 의무화하고 있음

•유럽 시장에 수출하는 기업은 강화된 사이버 보안 규정을 종합적이고 체계적으로 검토하여 제품을 개발·완성해야 하며, 시판 전후 전 과정에서 이러한 기준을 충족하는 안전하고 신뢰성 높은 제품을 제공할 수 있도록 범정부 차원의 적극적인 지원 필요

5. 제 언

1) 사이버 보안을 적용하는 것이 기본

•사이버 보안은 더 이상 보험적 성격의 선택 사항이 아니며, 미실행해도 무방한 영역이 아님

 - 사고 발생 시 기업에 막대한 유형·무형의 피해가 발생

 - (사례) 2025년 4월 SKT 해킹으로 2,696만 건의 정보 유출 및 1,348억 원의 벌금 부과: 사전에 벌금의 10% 수준인 130억 원을 사이버 보안에 투자하였다면, 해당 사고를 예방할 수 있었음

•따라서 사이버 보안은 고객이 기업의 비즈니스를 안전하고 신뢰할 수 있도록 보장하는 핵심 요소로 자리 잡고 있음

•오늘날에는 사이버 보안을 단순히 법적 요구사항을 수동적으로 준수하는 수준을 넘어 사업 운영의 필수적인 전략 요소로 인식할 필요가 있음

<참고문헌>

1. IEC 62443 산업 네트워크 및 시스템 보안 series https://webstore.iec.ch/en/publication/67461 참조

2. NIST FIPS, SP, IR 등 표준 문서 https://csrc.nist.gov/publications

3. NIST SP 800-82 OT 보안 가이드EU CRA Requirements Standards Mapping, ENISA, 2024.4.4.      https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping

4. ICS-CERT https://ics-cert.us-cert.gov/ 

5. IACS UR E26 Rev.1 Cyber resilience of ships, 2023.Nov.

6. IACS UR E27 Rev.1 Cyber resilience of on-board systems and equipment, 2023.Nov.

7. AI 자율제조 기술동향 - KEIT 이슈리뷰 2024-6월호 Critical AI Security Guidelines v1.2 (SANS_Draft), 2025.July.1

 

khhan@coresec.co.kr