규정 업데이트 배경:

유럽연합 시장에서 사물인터넷(IoT) 기기의 보급이 확대되면서, 스마트워치부터 베이비 모니터까지 수십억 대의 기기가 일상생활의 핵심이 되었습니다. 그러나 2014년 《무선기기 지침》(RED)은 이러한 폭발적인 성장을 예상하지 못했으며, 당시의 규정 프레임워크는 네트워크 보안을 포함하지 않았습니다. 결과적으로 DDoS 공격, 개인 데이터 유출, 금융 사기 등의 사건이 빈번히 발생하며 유럽연합 디지털 단일 시장의 잠재적 위험 요인으로 대두되었습니다.

유럽연합 위원회는 2021년 RED 개정을 시작하여 네트워크 보안을 핵심 준수 요건으로 포함시켰습니다. 이 결정은 두 가지 주요 인식에서 비롯되었습니다:

기본 설계 보안(Secure by Default): IoT 기기는 사후 조치가 아닌 설계 단계부터 보안 메커니즘이 내장되어야 합니다.

단계적 관리: 네트워크 연결, 데이터 처리, 전자 결제 등 기기별 위험에 따라 3.3(d)(e)(f) 조항을 구분하여 다양한 위협에 대응합니다.

EN 18031 시리즈 표준은 RED 지침의 네트워크 보안 요구사항에 대한 기술적 규격과 구현 기준으로, RED 제3.3조의 서로 다른 보안 측면(네트워크 손상 방지, 개인정보 보호, 사기 방지)에 대응하는 세 부분(EN 18031-1/2/3)으로 구성됩니다.

상기 (d/e/f) 세 가지 범주는 모두 "보안 자산"의 일반적 평가 후 (네트워크/개인정보/금융 자산) 세 가지 범주로 분류됩니다.

규정 시행 타임라인:

2025년 1월 30일, 유럽연합 위원회는 EN 18031 시리즈 표준을 《유럽연합 공식 공보》(OJ)의 《무선기기 지침》(RED) 조화 표준 목록에 공식 포함시켰으며, 이는 해당 표준이 유럽연합 내 무선기기 네트워크 보안 준수의 중요한 근거가 되었음을 의미합니다. 2025년 8월 1일부터 RED 지침의 네트워크 보안 조항인 제3.3조 (d), (e), (f)가 강제 시행됩니다!

규정 업데이트 핵심 사항:

[RED 지침 제3.3조 신규 요구사항:]

• 3.3(d): 자체적으로 네트워크에 연결할 수 있는 기기(예: 휴대폰, 스마트 가전)의 경우, 서비스 거부 공격과 같은 네트워크 운영 방해를 방지하고 대역폭 자원의 오용을 금지해야 합니다.

• 3.3(e): 개인/위치 데이터를 처리하는 기기(예: 웨어러블 기기, 어린이용 장난감)의 경우, 엔드투엔드 암호화, 접근 제어를 의무화하며, GDPR 제4조와 《전자통신 개인정보 보호 지침》과의 연계를 요구합니다.

• 3.3(f): 전자 결제를 지원하는 기기(예: 모바일 결제 단말기, 암호화폐 하드웨어 지갑)의 경우, 다중 인증과 같은 거래 검증 메커니즘을 강화하여 사기와 가상 화폐 도용을 방지해야 합니다.

• 면제 범위: (EU) 2017/745(의료 기기), (EU) 2017/746(체외 진단 의료 기기), (EU) 2018/1139(민간 항공 안전), (EU) 2019/2144(차량 유형 승인) 및 지침 (EU) 2019/520(전자 도로 요금 시스템)에 포함된 무선 기기는 제3.3조 (e) 및 (f)의 준수를 면제받습니다.。

[(EU) 2025/138 보안 및 준수 핵심 요구사항:]

• 기본 비밀번호 문제: 비밀번호 설정 기능이 있는 기기의 경우, 사용자가 비밀번호를 설정하지 않거나 사용하는 것을 허용할 경우 관련 표준이 지침의 기본 요구사항을 충족하지 않는 것으로 간주됩니다. 이는 기기가 보안을 위해 사용자에게 비밀번호 설정을 강제해야 함을 의미합니다.

• 장난감 및 아동 보호 기기의 접근 제어: 부모 또는 보호자의 접근 제어를 보장하지 못할 경우, 지침의 기본 요구사항을 충족하지 못합니다. 이는 이러한 기기가 부모 또는 보호자가 제어할 수 있는 메커니즘을 갖추어야 함을 의미합니다.

• 금융 자산의 보안 업데이트: 보안 업데이트 평가 기준은 다양한 구현 범주를 규정하며, 단일 방법만으로는 금융 자산의 보안을 처리하기에 부족합니다. 이는 금융 자산의 안전을 보장하기 위해 여러 보안 조치를 종합적으로 고려해야 함을 의미합니다.

[참고:]

NB(Notified Body)가 필요한 유형:
비밀번호가 없는 IoT 기기 & 앱 로그인 또는 블루투스 연결을 통한 신원 및 비밀번호를 사용하는 블루투스 기기 & 장난감류(어린이용 시계/녹음 인형) & 베이비 모니터 & 결제 관련 또는 암호화폐를 다루는 기기.

BACL 기술 전문가의 조언:

제조업체는 제품이 EN 18031 표준을 준수하는지 확인하고, 2025년 8월 1일 이전에 준수성 평가를 완료해야 합니다. BACL은 RED의 NB 기관으로, EN 18031 시리즈 표준의 요구사항에 익숙하며 풍부한 실전 경험을 보유하고 있습니다. 또한 ETSI EN 303 645 분야에서도 오랜 경험을 가지고 있으므로, 언제든지 문의해 주시기 바랍니다.

유럽연합 공식 웹사이트 링크:

https://eur-lex.europa.eu/eli/dec_impl/2025/138/oj/eng

BACL 네트워크 보안 검증 및 인증 역량:

공통 기준(CC, Common Criteria)

ISO/IEC 15408로, 정보 시스템, 제품 및 서비스의 보안 성능이 국제적으로 인정된 수준에 도달하도록 보장하는 국제적으로 인정된 네트워크 보안 인증 표준입니다. BACL은 CC 평가 권한을 보유한 기관으로 10년 이상의 풍부한 경험을 가지고 있습니다.

사물인터넷 보안 표준(IoT)

• ETSI/EN 303 645
• (RED) 제3.3조 d/e/f 네트워크 보안 자격
• IECEE CB 발급 자격
• PSTI 영국 네트워크 보안 법안 자격
• NIST 미국 네트워크 보안 평가 자격
• ISO 27001/27701/GDPR

BACL 네트워크 보안 서비스 장점

• 개발 단계의 네트워크 정보 보안 컨설팅 및 평가
• 영국 PSTI 법안 컨설팅 및 평가
• CE RED 지침 네트워크 보안 컨설팅 및 평가
• 미국 캘리포니아 SB-327 컨설팅 및 평가
• 미국 FCC 자발적 네트워크 보안 인증 컨설팅 및 평가
• 브라질, 싱가포르 및 기타 국가/지역의 네트워크 보안 컨설팅 및 평가