Summary

  • PTS에 따르면 EU의 클라우드·AI 개발법 초안 제29조 6항은 위험 평가가 서비스 변경을 요구할 때, 평가 완료 뒤 12개월 안에 공공기관의 다른 클라우드 이전을 끝내도록 한다.
  • PTS는 핵심 업무 시스템에 1년이 부족하다고 본다. 기존 계약 종료, 대안 조사, 공공 조달, 새 시스템 구축이 차례로 필요하며 서두른 이전은 서비스 연속성과 정보 보안에 부담을 준다.

위험 평가가 끝난 날, 기존 클라우드 계약까지 끝나는 것은 아니다. 그런데 초안의 12개월 시계는 바로 그날부터 돈다. 스웨덴 우편통신청 PTS는 재무부에 제출한 10월 2일 의견서에서 이 차이를 짚었다. 제29조 6항은 위험 평가가 다른 서비스를 요구한 경우에만 이전 기한을 발생시킨다.

PTS가 적은 작업 목록은 구체적이다. 기존 계약을 종료하고, 새 시스템의 가능성을 따지고, 공공 조달을 거쳐, 실제 환경에 도입한다. 핵심 시스템이라면 이 과정에 대체로 1년보다 훨씬 오래 걸린다. 끝단의 이전 작업만 압축하면 운영 중단이나 정보 보안 문제가 커질 수 있다. PTS는 기간을 늘리거나 시스템의 복잡성, 업무의 중요성, 중대한 장애 위험에 따라 연장을 허용하라고 요구했다.

초안에는 공급자를 바꿀 수 있는 다른 장치도 있다. PTS의 설명대로라면 제30조 2항은 공공기관이 최소한 EU 보증수준 1의 인정을 받은 클라우드와 AI 서비스를 구매하도록 한다. 현재 공급자가 인정을 받지 못하면 새 조달이 필요할 수 있다. 스웨덴의 인정 절차가 늦게 마련되면 자국 서비스가 입찰에서 불리해진다고 PTS는 경고했다. 인정 기준은 구매 대상을 가리고, 제29조의 기한은 위험 평가 뒤 실제 이전을 재촉한다. 서로 다른 문턱이다.

PTS는 공개 설명에서 소수의 역외 클라우드 기업에 대한 유럽의 의존을 줄이려는 목표를 지지한다. 이견은 실행 시간표에 있다. 공식 의견서에는 이전 대상이 될 스웨덴 기관 수나 1년 이전의 실제 비용이 제시되지 않았다.