자동차, 가전, 로봇이 소프트웨어로 움직이는 제품이 되면서 결함의 성격이 달라지고 있습니다. 부품이 부러지는 대신 화면이 꺼지고, 센서가 오판하고, 업데이트가 제품을 멈춥니다. 여기에 올해 9월 유럽연합(EU)의 사이버복원력법(CRA) 보고 의무가 시작되었고, 12월에는 EU 제조물책임 지침이 적용됩니다. 품질 문제가 곧 규제 문제이자 배상 문제가 되는 시기입니다.
올해 미국에서 나온 현대자동차의 두 사례가 흐름을 잘 보여줍니다. 5월에는 전방 카메라 소프트웨어 오류로 전방 충돌방지 보조 시스템이 조기에 작동해 브레이크가 예기치 않게 걸릴 수 있다는 이유로 42만 1,078대가 리콜되었습니다. 이어 2025~2026년형 투싼 9만 6,310대가 주행 중 계기판이 간헐적으로 재부팅되어 속도계와 경고등이 일시적으로 사라질 수 있는 문제로 리콜 대상이 되었습니다.
두 건 모두 부품 교체가 아닌 소프트웨어 업데이트로 조치되며, 투싼의 경우 커넥티드 서비스 가입 차량은 무선 업데이트(OTA)로 수정됩니다. OTA는 리콜 비용을 낮추는 수단이지만, 하나의 코드가 수십만 대에 동시에 배포되는 구조에서는 결함의 범위도 그만큼 넓어집니다. 배포 과정 자체의 오류가 제품을 멈추게 할 위험도 함께 커집니다.
같은 위험은 자동차에만 머물지 않습니다. 온디바이스 AI가 탑재된 로봇청소기와 협동로봇의 센서 오판, 전력 관리 알고리즘 오류로 인한 배터리 과열처럼 소프트웨어 문제가 물리적 사고로 이어지는 복합 결함이 대표적입니다.
첫째, EU 사이버복원력법입니다. 9월 11일부터 제14조 보고 의무가 적용되었습니다.
- 대상은 실제 공격에 악용되고 있는 취약점과 중대한 보안 사고입니다. 취약점이 존재한다는 사실만으로 모두 신고 대상이 되는 것은 아닙니다.
- 인지 후 24시간 안에 조기 경보, 72시간 안에 상세 통지, 이후 최종 보고서를 제출해야 합니다.
- 보고는 EU 사이버보안청(ENISA)의 단일 보고 플랫폼에 영어로 제출합니다.
- 이미 EU 시장에 판매 중인 제품에도 적용됩니다.
- 위반 시 최대 1,500만 유로 또는 전 세계 연 매출의 2.5% 중 큰 금액까지 과징금이 부과될 수 있습니다.
보안 설계 등 주요 요구사항은 2027년 12월 11일부터 전면 적용됩니다.
둘째, EU 제조물책임 지침 개정입니다. 12월 9일부터 적용되며, 소프트웨어가 '제품'에 명시적으로 포함되어 무과실책임의 대상이 됩니다. 비상업적으로 개발된 오픈소스는 제외되고, 개인 데이터의 파손·손상도 배상 대상 손해에 들어갑니다. 재보험 중개사 하우든리는 이 개정이 보험사의 제조물책임 위험 노출을 크게 바꿀 것으로 분석했습니다.
셋째, 자동차 사이버보안 규제입니다. 국내에서도 사이버보안 관리체계(CSMS) 인증이 법제화되어, 신규 차종은 2025년 8월부터, 기존 양산 차종은 2027년 8월부터 법을 준수해야 판매할 수 있습니다. 최근에는 르노코리아·지리·폴스타가 인증을 공동 신청하는 사례도 나왔습니다.
24시간과 결재 문화의 충돌이 가장 현실적인 문제입니다. 전문가들은 보안팀이 문제를 발견하면 제품팀이 영향 범위를 확인하고 경영진이 승인해 보고하는 체계가 연결되어 있어야 한다고 지적합니다. 다단계 결재로 며칠이 걸리는 조직에서는 기술적으로 대응을 마치고도 기한을 넘길 수 있습니다.
공급망도 변수입니다. 공급사가 사고를 늦게 알리면 제조사 역시 24시간 기한을 지키기 어렵습니다. 자사 제품에 어떤 구성요소가 들어 있는지 파악하지 못한 제조사가 많다는 지적도 나옵니다. 오픈소스와 협력사 모듈의 결함에 대한 법적 책임은 결국 완성품 제조사에 귀속됩니다.
마지막으로 신뢰와 계약의 문제입니다. 소프트웨어 리콜이 반복되면 안전성에 대한 브랜드 신뢰가 손상되고, B2B 납품에서는 작동 불능과 납기 지연에 따른 클레임과 지체상금 분쟁으로 이어집니다.
인사이트
첫째, 24시간은 기술이 아니라 권한의 문제입니다. 누가 보고를 결정하는지 사전에 위임해 두지 않으면 기한은 지켜지지 않습니다. 보고 판단과 조치 과정을 시간순으로 기록해 두는 것도 향후 점검에 대비하는 방법입니다.
둘째, 공급계약을 다시 보셔야 합니다. 협력사의 통지 기한, 소프트웨어 자재명세서(SBOM) 제공, 결함 발생 시 비용 분담을 계약에 명시하지 않으면 책임은 완성품 제조사에 집중됩니다.
셋째, 보험의 공백을 점검하실 시점입니다. 소프트웨어 결함은 생산물배상책임, 리콜(회수비용), 사이버보험의 경계에 놓여 있습니다. 신체·재물 손해 없이 제품이 작동하지 않는 손실, 데이터 손상, OTA 방식의 리콜 비용이 각 증권에서 담보되는지, 사이버 관련 면책 조항이 적용되는지 확인하실 필요가 있습니다. 과징금은 통상 보험으로 전가하기 어렵다는 점도 함께 고려하셔야 합니다.
