Summary

  • 유럽회계감사원이 2022~2025년을 조사했을 때 EU 회원국 13곳이 첫 두 초국경 사이버 거점 ATHENA와 ENSOC에 참여하기로 했다. 두 거점은 운영되지 않았고, 새 유럽 사이버보안 경보 시스템도 아직 작동하지 않았다.
  • 제한적인 2단계 조달의 첫 단계는 ENSOC가 2024년 5월, ATHENA가 그해 7월 시작했다. 선정된 업체에 결과가 전달된 것은 2025년 4월이었다. ENSOC의 일부 물량은 8월에 두 번째 단계로 갔지만, 감사 시점에는 어느 물량도 계약이 체결되지 않았다.
  • 장비가 들어온 뒤에도 거점과 각국 사고 대응팀, EU-CyCLONe 사이에는 협력 합의, 공통 사고 분류, 상호운용 표준이 필요하다. 다음에 확인할 것은 각 거점의 날짜가 적힌 운영 승인과 실제 국경 간 경보 전달 시험 기록이다.

가입 서류로는 위협을 발견할 수 없다

유럽 사이버보안 경보 시스템의 목적은 분명하다. 한 나라가 먼저 포착한 침해 징후를 이웃 나라가 쓸 수 있는 경고로 신속하게 바꾸는 것이다. 국가 거점과 초국경 거점을 연결해 탐지, 분석, 대응을 돕겠다는 구상에 첫 두 거점의 13개 회원국이 이름을 올렸다. 참여 의사는 실제였다. 하지만 감사원이 살펴본 운영 능력은 아직 그 명단을 따라오지 못했다.

ATHENA와 ENSOC는 2024년 1월 프로젝트 업무를 시작했다. 설립과 운영을 지원하는 보조금이 있었고, 첨단 탐지 및 정보 공유 도구는 별도의 공동 조달을 거쳐야 했다. 민감한 상세 명세를 첫 지원자 모두에게 공개하지 않기 위한 제한적 2단계 절차에는 보안상 이유가 있다. 그렇더라도 최종 명세가 정해져야 선정 업체가 가격과 납품안을 낼 수 있다. 보호할 문서가 완성되지 않았으니 다음 단계의 문도 열리지 않았다.

ENSOC의 첫 조달 단계는 2024년 5월, ATHENA는 7월에 시작했다. 업체에는 신청 기간 한 달이 주어졌다. 결과 통지는 2025년 4월에야 나갔다. 이후 거점 구성원과 유럽 사이버보안 역량센터 ECCC는 두 번째 단계에 필요한 기술 요구사항을 계속 다듬고 있었다. ENSOC 일부 계약 묶음은 2025년 8월 두 번째 단계로 넘어갔고, ATHENA는 당시 2026년 초 시작할 계획이었다. 감사 시점에 서명된 계약은 한 건도 없었다.

보조금 협약의 연장에는 지연 기간이 남았다. ATHENA는 15개월, ENSOC는 18개월의 조달 지연을 반영했다. 감사원은 두 거점이 운영 면에서 멈춰 있었고 새 경보 시스템도 작동하지 않는다고 판단했다. 이 숫자는 특정 공격을 처리하는 데 걸린 시간이 아니라 구축 일정의 지체다. 이후 상태가 달라졌음을 보여 주려면 장비 인수 날짜와 경보가 실제 상대 거점에 도착한 시험 기록이 필요하다.

센서를 사도 ‘중대 사고’의 뜻이 다르면 막힌다

유럽에는 이미 각국 컴퓨터 보안 사고 대응팀과 CSIRTs 네트워크, 대규모 사이버 위기의 연락망 EU-CyCLONe가 있다. 2025년 Cyber Blueprint는 여러 역할을 정리했다. 그러나 어떤 징후를 대형 사고 가능성으로 보고 CSIRTs가 EU-CyCLONe에 올릴지, 심각도를 어떻게 나눌지에 관한 공식 절차는 남아 있었다. 감사원이 방문한 아일랜드, 그리스, 이탈리아의 당국은 모두 공통 분류 체계 부족을 지적했다.

새 거점은 위협, 취약점, 침해 지표를 공유하는 경로를 하나 더 놓는다. 신뢰하는 소규모 집단 안에서는 정보가 빨라질 수 있다. 반대로 기존 CSIRT와 경계가 모호하면 메시지를 누가 받았는지 확인하는 단계가 하나 더 흐려진다. 감사원은 거점과 국가 대응팀의 정보 공유 업무가 겹치고, 거점 사이 교환 절차도 합의되지 않았다고 봤다. 법이 ‘부당한 지체 없이’ 알리라고 적어도 기계가 읽을 필드와 수신 책임자는 저절로 생기지 않는다.

국가안보 정보에는 공유할 수 없는 범위가 있다. 그 제약이 있으므로 무엇을 빼고 무엇을 보내며, 어떤 등급부터 어느 기관에 전달할지 더 명확히 결정해야 한다. 새벽 사고 현장에서 담당자가 기관마다 다른 ‘심각’의 의미를 전화로 맞추기 시작하면, 경보 체계의 속도는 조직의 가장 느린 대화에 묶인다.

ECCC 공식 입찰 페이지에는 ATHENA 플랫폼 기반 시설과 ENSOC의 스페인 호스팅 시설 조달이 계속 실려 있고, 참가 신청 기한은 2026년 9월로 표시돼 있다. 감사 대상 기간 뒤에도 구매 절차가 진행됐다는 자료다. 전체 경보망의 운영 승인서는 아니다. 공고, 낙찰, 설치, 국경을 넘어 도착한 경보는 각각 다른 증거다.

당직자에게 필요한 한 줄

특별보고서는 2026년 9월 나왔고 2022~2025년을 살폈다. 기존 CSIRTs와 EU-CyCLONe, 미리 계약된 사고 대응 업체들은 그동안 다른 협력과 대응 기능을 맡았다. 이 감사의 대상은 그 위에 새로 얹기로 한 경보층의 미완성이다.

실제 사고를 지휘하는 사람은 참여국 수보다 현재 살아 있는 통로를 알아야 한다. 누가 사건을 분류하고, 어디로 보내며, 어느 단계에서 격상하고, 누가 수신을 확인하는가. 조직도는 기관 이름을 보여 준다. 입회한 시험은 신호가 움직이는지를 보여 준다. 위기 때 중요한 답은 두 번째다.

출처: 유럽회계감사원 특별보고서 19/2026, ECCC 공식 입찰 목록.