EU 사이버보안·AI 행동계획: 유럽위원회, 새 법률 없이 방어 조율

유럽위원회는 2026년 7월 7일 오늘 사이버보안 및 인공지능 행동계획을 발표했습니다. 이 문서는 처음으로 하나의 전략적 틀 아래 디지털 보안에서 AI의 이중 역할을 다룹니다: 공격 벡터로서의 AI와 방어 도구로서의 AI. 전체 행동계획 본문과 함께 주요 조치를 개괄한 Factsheet도 함께 공개되었습니다.

이중 과제: AI는 무기이자 방어 도구

행동계획의 핵심 전제는 사이버 방어를 강화할 수 있는 동일한 첨단 AI 모델이 동시에 그 방어가 직면하는 위협의 성격도 바꾸고 있다는 것입니다.

구체적으로, 이 계획은 AI가 공격 수단으로 악용될 수 있는 세 가지 방식을 다룹니다:

취약점 자동 탐색 — AI는 자동화 없이는 불가능했던 규모로 소프트웨어 시스템과 네트워크 인프라를 수동 방식보다 훨씬 빠르게 스캔하여 악용 가능한 약점을 식별할 수 있습니다.

공격 확장 — AI 지원을 받으면 공격자는 동일한 자원으로 훨씬 더 많은 피해자를 동시에 표적으로 삼을 수 있으며, 이는 공격자에게 유리하게 사이버 범죄의 경제학을 바꿉니다.

공격자 측 사고 대응 가속화 — 취약점 발견과 그 악용 사이의 시간 창이 좁아져 방어 팀에게 대응할 시간이 줄어듭니다.

반면 AI는 중요한 방어 가능성도 열어줍니다: 네트워크 이상 자동 감지, 악용 전 취약점 예측적 식별, 빠른 사고 대응 조율. 행동계획의 목표는 방어 잠재력을 활용하면서 동시에 공격적 활용을 제한하는 것입니다.

이 계획이 지금 필요한 이유

기술 주권·보안·민주주의를 담당하는 유럽위원회 수석 부위원장 Henna Virkkunen은 상황의 긴박성을 직접적으로 강조했습니다: “AI는 사이버보안의 의미를 바꾸고 있습니다. 우리는 발맞춰 나가야 합니다.”

Virkkunen은 짧은 임기 동안 비유럽 공급업체에 대한 EU의 기술 의존도를 줄이는 데 초점을 맞춘 여러 이니셔티브를 추진했습니다. 이 계획에 대한 그녀의 직접적인 참여는 유럽위원회가 AI 사이버보안을 단순한 규제 사안이 아니라 유럽 디지털 주권의 전략적 우선순위로 다루고 있다는 신호입니다.

맥락도 중요합니다: 2025년과 2026년에 공격자들이 AI 도구를 사용하여 정찰 단계를 가속화하고 맞춤형 익스플로잇을 개발하는 유럽 핵심 인프라에 대한 사이버 공격이 여러 건 기록되었습니다. 따라서 이 계획은 이론적 시나리오에 대한 대응이 아니라 이미 현실화된 구체적인 위협에 대한 대응입니다.

기존 EU 법적 프레임워크를 통한 조율

이 계획이 가져오는 핵심 전략적 선택은 유럽위원회가 새로운 입법 메커니즘을 도입하지 않고 지난 몇 년간 개발한 EU 규정을 기반으로 한다는 것입니다:

AI Act — 핵심 인프라에 적용되는 시스템을 포함한 고위험 AI 시스템을 규제합니다. 이 계획은 사이버 시나리오에 대한 기존 요건의 적용을 명확히 합니다.

NIS2 지침 — 필수 및 중요 서비스 운영자의 더 넓은 범위로 사이버보안 의무를 확대합니다. 이 계획은 AI 특정 위협을 염두에 두고 이행을 조율합니다.

Cyber Solidarity Act — EU 차원에서 사이버 공격에 대한 감지 및 조율된 대응 역량을 강화합니다. 이 계획은 AI 주도 사고에 대한 신속한 대응을 위한 운영 기반으로 이를 활용합니다.

이 접근 방식은 의도적인 결정입니다: 새로운 법률은 수년간의 입법 절차와 국내 전환이 필요한 반면, AI 사이버 위협의 긴박성은 이미 수립된 메커니즘 안에서 더 빠른 행동을 요구합니다.

조율의 세 기둥: 국가, 산업, EU 기관

이 계획은 하나의 전략적 프레임워크 아래 조율이 필요한 세 그룹의 이해관계자를 식별합니다:

회원국 — EU 27개 국가 모두가 자체 사이버보안 역량을 개발하고 있지만 성숙도와 자원 수준은 크게 다릅니다. 이 계획은 국가 기관 간 AI 관련 위협 정보와 검증된 방어 관행의 구조적 공유 메커니즘을 규정합니다.

산업계 — 특히 AI 모델 개발자와 핵심 인프라 운영자인 기술 기업들은 새로운 AI 공격 기술에 대한 가장 빠른 가시성을 갖고 방어 솔루션에 가장 직접적인 이해관계를 가진 핵심 파트너입니다.

EU 기관 — EU 사이버보안 기관(ENISA)은 위협 분석과 대응 조율에서 중심적 역할을 합니다. 이 계획은 AI 특정 사이버 위험에 대한 ENISA의 강화된 운영 역할을 규정합니다.

문서와 다음 단계

유럽위원회는 7월 7일 보도자료와 함께 두 가지 문서를 공개했습니다: 행동계획 전문과 일반 대중을 위한 주요 조치 개요 Factsheet. 두 문서 모두 digital-strategy.ec.europa.eu에서 이용 가능합니다.

복잡한 입법 절차를 거치는 지침과 규정과 달리, 행동계획은 유럽위원회가 직접 이행할 수 있는 정책 수단입니다 — 자금 배분, 조율 메커니즘, EU 기관에 대한 운영 지침을 통해서. 이는 채택부터 적용까지 짧은 시간이 걸리는 수단입니다.

EU는 이 계획으로 많은 세계 정부들이 아직 검토 중인 조치를 취했습니다: AI와 사이버보안을 명시적으로 같은 전략적 틀 아래 배치하고, AI 시대에 위협과 방어는 불가분하게 얽혀 있으며 어느 하나도 다른 하나를 동시에 다루지 않고는 해결할 수 없다는 점을 명확히 인정한 것입니다.