배경: EU 로드맵을 독일 국내 지침으로 구체화
양자컴퓨터가 현행 공개키 암호 체계를 위협할 수 있다는 우려는 이미 국제 표준화 기구(NIST)의 PQC 표준화 완료 이후 정책 과제로 본격화됐다. 이번 독일 지침은 EU 회원국들이 공동으로 추진해온 범유럽 PQC 전환 조율 이니셔티브의 연장선이다. BMI·BMDS·BSI 세 기관이 공동 서명한 형태로 발표된 이 문서는 연방·주·지방 정부는 물론 기업과 주요 기반시설 운영자 모두를 수범 대상으로 명시하고 있다.
핵심 권고사항: 두 단계 마감 시한
지침은 전환 시점을 두 개의 마감일로 나눈다. 우선 금융, 에너지, 통신 등 침해 시 피해가 클 것으로 분류되는 고위험 시스템은 2030년 말을 최종 기한으로 설정했다. 나머지 시스템을 포함한 전체 전환은 2035년까지 사실상 마무리해야 한다. 각 기관에는 전환 책임자 지정, 구속력 있는 일정 수립, 조달 과정에서의 PQC 적용 의무화, 공급망·제조사와의 사전 협의가 요구된다.
암호 민첩성과 AI 위협 대응
이번 지침에서 눈에 띄는 개념은 '크립토 애질리티(cryptoagility)'다. 새로운 위협 정보나 안보 환경 변화가 생겼을 때, 암호 알고리즘과 키 길이를 신속하게 교체할 수 있도록 시스템 구조와 조달 절차를 사전에 설계하라는 원칙이다. 지침은 인공지능이 암호 해독 기법 연구의 속도를 높이고 있다는 점을 명시하며, 양자컴퓨팅 위협만이 아닌 복합적 위협 환경에 대비할 필요성을 강조한다.
의미와 한계
공공·민간 부문에 법적 구속력 있는 시한을 제시했다는 점에서 이번 지침은 단순 권고를 넘어선다. 다만 지침 이행을 강제할 구체적 법적 수단이나 재정 지원 방안에 대해서는 원문에 언급이 없다. 중소 기업이나 지방 자치단체가 2030년이라는 기한 내에 실질적인 기술·예산 역량을 갖출 수 있을지는 후속 정책 논의가 필요한 지점이다. 또한 BSI가 이미 PQC 알고리즘 권고 목록을 운영하고 있는 만큼, 이번 지침이 해당 기술 목록과 어떻게 연동될지도 관심 사항이다.
전문은 원문에서 읽으세요
이 글은 Claude 가 원문의 사실을 재구성한 편집 요약입니다. 원제: Germany Publishes National Post-Quantum Cryptography Migration Guideline
