요약

  • 신뢰 표시는 사용자가 지갑 솔루션의 인증 상태를 확인할 수 있는 정보로 이어져야 한다.
  • 첫 세대 지갑은 국가별 인증 제도를 따른다. 회원국이 제도 책임자를 정하고, 인정을 받은 적합성 평가 기관이 솔루션을 심사한다.
  • 공개 인증 보고서와 European Commission의 기계 판독 목록은 지갑, 인증서, 책임 기관과 현재 상태를 연결한다.
  • 2026년 말은 회원국이 최소 한 개의 지갑을 제공해야 하는 법정 기한이다. 이미 발급되거나 인증된 지갑 수를 뜻하지 않는다.

분석

같은 표시는 같은 인증기관을 뜻하지 않는다

유럽 전역에서 같은 표시가 보이면 단일한 인증 결정이 있다고 생각하기 쉽다. 실제 규정은 그렇지 않다. 2026년 7월 시행 규정은 제공자가 신뢰 표시를 보여주고 사용자가 지갑 솔루션의 인증 상태를 확인할 정보를 이용할 수 있도록 요구한다. 등록 이후에는 지갑 단위에 European Commission이 제공하는 확인 URL이 포함돼야 하며, 규정된 기술 형식에 맞는 표시 데이터를 이용할 수 있어야 한다.

표시는 상태가 바뀌면 함께 바뀌어야 한다. 제공자가 특정 지갑 단위의 지갑 단위 증명(attestation)을 취소하면 그 단위에서 신뢰 표시를 더는 보여줄 수 없다. 이 규정은 개별 단위의 상태를 다룬다. 솔루션의 적합성 인증서와는 다른 기록이며, 두 기록은 별개이며, 한쪽 취소가 다른 인증서의 상태를 자동으로 바꾸지 않는다.

첫 심사는 국가별 제도에서 이뤄진다

European Commission의 2026년 평가는 회원국들이 지갑을 개발하고 있으며 첫 세대는 국가 인증 제도에 따라 인증될 것이라고 설명한다. 유럽 차원의 사이버보안 인증 제도는 개발 중이다. ENISA 공개 페이지도 이를 채택 완료된 제도가 아니라 후보안으로 표시한다.

회원국은 국가 제도마다 책임자를 지정한다. 책임자는 인증 규칙을 만들고 유지하며 제도를 관리한다. 책임자와 실제 운영 기관은 다를 수 있다. 적합성 평가 기관, 정부 기관, 산업 협회, 평가 기관 연합 또는 다른 적절한 조직이 책임자가 될 수 있다.

지갑 솔루션을 검사하는 곳은 별도의 적합성 평가 기관이다. 이 기관은 지갑 솔루션과 그 기반이 되는 전자식별 제도를 평가한다. 국가 인정 기관의 인정을 받아야 하고 정해진 역량 기준도 충족해야 한다. 제도 책임자는 규칙을 유지하고, 평가 기관은 솔루션을 심사하며, 인정 기관은 평가자의 자격을 확인한다. 세 결정은 서로 연결돼 있지만 같은 결정은 아니다.

업무를 외주화해도 책임이 사라지지 않는다. 책임자가 민간 업체에 일을 맡기면 계약으로 의무와 책임을 정해야 하며, 위탁한 활동에 대한 책임은 제도 책임자에게 남는다. 여러 조직이 일을 나눠도 문제가 생겼을 때 답할 조직은 기록에 남아야 한다.

인증서에는 공개 보고서가 따라온다

인증 기관은 인증서와 함께 공개 인증 보고서를 발급한다. 보고서는 지갑과 기반 전자식별 제도를 식별하고 설명하며, 공개 보안 정보 또는 그 위치를 제공한다. 감사와 검증 계획, 심사 과정, 인증 결정의 요약도 포함한다.

상세 인증평가 보고서는 별도 문서다. 설계, 위험, 검증에 관한 더 깊은 정보를 담으며 규정에 따라 European Commission과 European Digital Identity Cooperation Group에 제공될 수 있다. 일반인이 볼 수 있는 공개 보고서와 상세 평가 자료는 서로 대체하지 않는다.

회원국은 인증된 지갑 정보를 제출하고 변경이 생기면 갱신한다. European Commission은 이를 기계 판독 가능한 목록으로 공개한다. 목록에는 책임 기관, 감독 및 책임 체계, 정지·취소 절차, 인증서와 평가 보고서 정보가 들어간다. 지갑을 받아들이는 서비스는 표시에서 출발해 어떤 제도와 기관이 인증을 뒷받침하는지 추적할 수 있어야 한다.

국가 제도에는 민원과 이의제기 절차도 있어야 한다. 신청 방법, 처리 과정, 진행 상황과 결정 통지, 국내법상 효과적인 사법 구제 권리를 설명해야 한다. 표시는 국경을 넘지만, 인증 판단에 이의를 제기하는 통로는 해당 제도의 책임 구조에 연결된다.

기한과 실제 발급을 혼동하면 안 된다

Regulation (EU) 2024/1183은 각 회원국이 2026년 말까지 최소 한 개의 지갑을 제공하도록 한다. European Commission이 6월에 공개한 평가는 지갑 개발 진행과 첫 인증이 국가별로 이뤄진다는 점을 설명한다. 이 자료는 이미 발급된 지갑이나 인증서의 총계를 제시하지 않는다. 의무 기한을 완료 건수로 바꾸어 말하면 안 된다.

각 지갑이 등장하면 신뢰 표시가 정확한 솔루션 페이지를 여는지 확인할 수 있다. 페이지에는 국가 제도, 책임자, 평가 기관, 인증서, 공개 보고서와 현재 상태가 연결돼야 한다. 사용자가 불만을 제기할 기관도 확인할 수 있어야 한다. 표시 이미지만으로는 이 질문에 답할 수 없다.

유럽 공통 표시는 사용자가 보는 방식을 맞춘다. 첫 인증 결정은 국가 제도에 남는다. 이 구성은 각 국가의 차이가 공개 기록에 드러나고 상태 변경이 갱신될 때 책임을 유지한다. 지갑 표시는 인증서로 이어지고, 인증서는 평가 기관과 제도 책임자를 가리켜야 한다. 보이는 기호와 실제 책임이 같은 기록 안에서 만날 때 표시가 신뢰를 얻는다.

출처