독일 3개 연방 기관, PQC(양자내성암호) 전환 국가 지침 발표…2030년 고위험 시스템 의무 전환

배경: EU 로드맵과의 연계

이번 지침은 EU NIS 워크스트림 회원국들이 2025년 6월 채택한 「PQC 전환 조율 이행 로드맵」을 독일 국내 제도로 구체화한 문서다. BSI는 공식 보도자료를 통해 이 지침이 EU 로드맵을 직접 운영 수준으로 내려온 것임을 명시했다. 인공지능(AI) 기술의 급속한 발전이 RSA·ECC 등 기존 공개키 암호 체계에 대한 보안 연구와 공격 방법론을 가속하고 있다는 점이 지침 발표의 주요 근거로 제시됐다.

3단계 전환 일정과 대상

지침은 전환 의무를 세 단계로 구분한다. **1단계(2026년 말 목표)**는 연방·주·지방자치단체 및 주요 기반시설(KRITIS) 전체를 대상으로 하며, 암호화 자산 목록(CBOM)과 암호화 카탈로그 구축, 거버넌스 기구 지정이 핵심 과제다. IT-Planungsrat와 UP KRITIS를 통해 법적 구속력 있는 마감 기한도 이 단계에서 확정된다.

**2단계(2030년 의무 기한)**는 고위험 시스템이 대상이다. 기밀 IT 시스템(VS-IT), 장기 기밀 데이터(저장-후-복호화 공격 위험 데이터), 기반시설 제어 시스템이 포함된다. BSI 기술 지침 TR-02102를 준수하는 PQC 알고리즘으로의 전환 완료, 하이브리드 키 교환 메커니즘 적용, 양자안전 PKI 및 펌웨어·소프트웨어 업데이트 채널 구축이 의무화된다.

**3단계(2035년 목표)**는 중·저위험 시스템으로 범위를 확대해 기업 전반, 공공 행정 서비스, 공급망 연계 시스템까지 사실상 전체 디지털 인프라의 전환 완료를 목표로 한다.

핵심 기술 요건: 하이브리드 암호와 크립토 민첩성

지침이 특히 강조하는 기술적 개념은 **크립토 민첩성(crypto-agility)**이다. 이는 기반 시스템 아키텍처를 변경하지 않고도 암호 기본 요소와 키 길이를 동적으로 교체할 수 있는 설계 능력을 말한다. 전환 초기에는 기존 알고리즘과 NIST 표준화 PQC 알고리즘을 병행 적용하는 하이브리드 방식이 의무화되며, 장기 보존 데이터에 대한 「지금 저장, 나중에 복호화(Store Now, Decrypt Later)」 위협과 레거시 시스템의 긴 교체 주기 문제에 직접 대응한다.

법적 의무화와 적용 범위

BSI법(BSIG) 제30조에 따라 주요 및 필수 기반시설 운영자는 PQC 준비 상태를 공식 리스크 관리 체계에 편입할 의무를 진다. 지침은 연방 기관에 국한되지 않고 지방정부, KRITIS 사업자, 나아가 공급망 파트너사까지 영향 범위가 확장된다는 점에서 산업계 전반에 실질적 변화를 요구한다.

의미와 한계

3개 연방 부처가 공동으로 단일 지침을 발표한 것은 독일의 PQC 전환이 부처 칸막이를 넘은 정책 사안으로 격상됐음을 의미한다. 다만 2026년 말까지 CBOM 구축 등 준비 요건을 실제로 충족할 수 있는 기관과 기업이 얼마나 될지는 아직 불확실하다. 레거시 시스템 비중이 높은 공공 행정 분야에서 2030년 의무 기한을 지키기 위한 예산·인력 확보가 향후 관건이 될 전망이다.