무선 기기 지침 (RADIO EQUIPMENT DIRECTIVE)의 새로운 EU 보안 법령

2022년 1월 12일, 유럽 연합 집행위원회는 보안과 관련된 추가 법령(2022/30/EU)¹을 포함하도록 무선 기기 지침(RED)를 개정하였습니다. 개정된 지침은 무선 기기의 출시에 관하여 규제 프레임워크를 설정합니다.

위원회는 사이버 보안, 개인 데이터 보호 및 개인 정보 보호 수준을 높이기 위해 특정 범주의 무선 기기에 대해 조한 3(3)(d), (e), (f)를 활성화하는 무선 기기 지침 위임법을 채택했습니다. 

다음과 같은 기기에 대한 사이버보안, 개인 데이터 및 개인 정보 보호를 의무화합니다:

• 3.3d: 직접 또는 다른 장비를 통해 인터넷에 통신할 수 있는 기기
• 3.3e: 개인 데이터, 트래픽 데이터 또는 위치 데이터를 처리할 수 있는 기기
• 3.3f: 사용자가 금전 , 금전적  가치 또는 가상 화폐를 이체할 수 있는 기기

이 조항은 2025년 8월 1일부터 의무적으로 시행되며 , 라디오 연결 기기의 제조업체는 해당 날짜까지 규정 준수를 완료하지 않을 경우 대응 조치를 받을 수 있습니다.

이는 점점 더 많은 제품이 무선 기술을 사용하고 있으며, 이러한 기기 중 다수가 인터넷에 연결되어 있어 보안 위협이 증가하고 공격 및 악용의 대상이 될 수 있는 가능성이 있기 때문입니다. 

무선 기기 지침(RED)이란 무엇인가요?

무선 기기 지침(RED)는 유럽 시장에 무선 기기를 출시하기 위한 새로운 법률 체계 NLF(New Legislative Framework)의 일부인 지침 및 규정 중 하나입니다. 무선 기기 지침 (RED)은 안전 및 보건, 전자기적 호환성, 그리고 전파 스펙트럼의 효율적인 사용을 위한 필수 요구 사항을 설정하여 무선 기기에 대한 단일 시장을 보장합니다. 또한 이 지침은 사이버 보안과 같이 추가 규정을 부가하는 위임 법령에 따라 추가 규제의 근거를 제공합니다. 

무선 기기 지침 (RED) 준수를 달성하기 위하여 다양한 '필수 요구 사항'을 충족하여야 합니다. 안전 및 보건, 전자기적 호환성 및 전파에 대한 기존의 필수 요구 사항은 '기존' 필수 요구 사항으로 잘 알려져 있으며, 이미 제 3.3g 조항에서 규정하는 응급 서비스 접근에 대한 추가적인 필수 요구 사항이 2022년 3월 17일에 의무적으로 적용되었습니다. 이제 공식 문서에서 인용하는 제 3.3d, e, f 조항에 대한 위임 법령은 이제 사이버보안을 위한 필수 요구 사항을 추가하고 있습니다.   

의료 기기, 항공, 자동차 및 전자 도로 통행 요금 시스템과 같은 일부 제품은(일부 조항에 대하여)  범위에 해당하지 않는다는 점에 유의해야 합니다. 

무선기기지침(RED)의 추가 필수 요구 사항

실제 지침은 다음과 같이 매우 간단합니다: 

• RED 제3.3 (d) - 무선기기는 서비스의 부적절한 성능 저하를 일으키도록 네트워크 또는 그 기능에 해를 끼치지 않으며, 네트워크 자원을 남용하지 않습니다; 
• RED 제3.3 (e) - 무선기기는 사용자 및 가입자의 개인 데이터와 개인정보 보호를 보장하기 위한 안전 장치를 내장합니다;
• RED 제3.3 (f) - 무선기기는 사기 방지를 보장하는 특정 기능을 지원합니다;

이는 고도화된 내용으로, 기기 제조업체에 실제로 도움이 될 만한 세부 정보가 충분하지 않습니다. 그러나 유럽 집행 위원회(European Commission)는 유럽 표준 기관(ESO)에 규정 준수를 지원하기 위한 표준을 생성하도록 요청하는 “표준 요청”을 보낼 것입니다. 표준 요청에는 최소 요구사항이 명시되어 있지만 최종 표준에는 적절하도록 추가 평가 기준이 포함될 수 있으며, 유럽 집행위원회의 추가 지침도 예상됩니다. 

'필수 요구 사항'은 무엇일까요?

제3.3(d) – 사이버보안
인터넷에 연결되어 통신할 수 있는 무선 기기와 연결된 인터넷과 연결된 다른 기기를 통해 인터넷 연결이 가능한 무선 기기를 포함합니다. 무선 제품은 네트워크에 해를 끼치지 않도록 훼손되지 않아야 하고, 훼손될 수 없어야 합니다.       

제3.3(e) – 개인 정보
무선 기기에 개인 데이터와 개인 정보를 보호하기 위한 안전 장치가 내장되어야 합니다. 여기에는 개인, 트래픽 및 위치 데이터를 처리할 수 있는 무선 기기가 포함되지만 이에 국한되지 않습니다. 

제3.3(f)
금융거래를 처리하기 위해 무선 제품을 사용하려는 사용자를 부정행위와 사기로부터 보호합니다. 

제조업체들이 무선기기지침(RED)을 따르기 위해서는 얼마나 시간이 주어지나요?

본 규제는 2022년 1월 12일에 유럽 공식 저널(OJEC)에 인용되었습니다. 현재 법률이 시행 중이며, 2025년 8월 1일부터 필수 요구 사항을 준수하는 것이 의무화됩니다. 

제품이 필수 요구사항을 2025년 8월까지 충족시키도록 제조업체는 가능한 한 빠르게 새로운 요구사항을 제품 기술사양에 반영해야 합니다. 

무선 기기 지침(RED) 준수를 위해 TÜV SÜD를 선택해야 하는 이유는 무엇인가요?

TÜV SÜD는 ETSI EN 303 645와 같은 기존 표준과 지침의 필수 요구사항에 필요한 추가 고려사항을 기반으로 한 테스트 및 평가를 제공함으로써 기업이 무선 기기 지침 (RED)을 준수할 수 있도록 돕고 있습니다. TÜV SÜD는 글로벌 사이버보안 전문가를 보유하고 있으며 표준 개발에 대한 전문성을 제공하고 있습니다.

무선 기기 지침 (RED) 3.3(D)(E)(F) 사이버보안 규정에 대해 더 알아보세요.

제조업체들은 2025년 8월 1일까지  인터넷에 연결된 무선 기기에 새로운 규정을 준수해야 합니다. 제조업체들은 즉시 조치를 취해야 합니다!

무선 기기용 사이버 보안에 관한 무선 기기 지침(RED) 3.3(D)(E)(F) 규정에 대해 더 알아보려면 지금 바로 [email protected]를 통해 TÜV SÜD 사이버보안 전문가에게 문의하세요.

¹ https://eur-lex.europa.eu/eli/reg_del/2022/30/oj