이슈 페이퍼 | ‘소버린 클라우드’를 데이터센터 주소로만 판단하면 핵심 위험을 놓친다. 데이터가 국내나 유럽에 머물러도 암호키, 관리자 권한, 장애 대응 인력, 업데이트 공급망과 탈출 경로가 외부에 종속돼 있다면 실질 통제력은 제한적이다. 2026년 유럽연합(EU)이 공개한 평가 틀은 이 문제를 위치가 아니라 통제의 층으로 측정하기 시작했다.
데이터 위치는 필요조건이지 충분조건이 아니다
EU 집행위원회는 2026년 6월 소버린 클라우드 프레임워크의 적용 방식을 설명하면서 48개 기준을 전략, 법률·관할, 데이터·AI, 운영, 공급망, 기술, 보안·준수, 환경 지속가능성의 8개 범주로 묶었다. 조달 평가도 단순한 ‘EU 역내 저장’ 확인을 넘어 데이터 통제 수준, 기술 자율성, 완전한 주권 수준을 구분하는 SEAL 등급과 종합점수를 함께 사용한다. 이는 서버의 물리적 위치가 통제권 전체를 대표하지 못한다는 정책적 인정이다.
가령 저장장치가 서울에 있어도 공급자가 고객 대신 암호키를 보유하고, 해외 지원팀이 최고관리자 권한으로 접근하며, 핵심 제어면 업데이트가 단일 외국 법인의 승인 없이는 불가능하다면 고객의 선택권은 좁다. 반대로 일부 부품이 해외산이어도 고객이 키를 독점하고 접근 기록을 검증하며, 현지 운영자가 독립적으로 장애를 복구하고 표준 인터페이스로 이전할 수 있다면 실질 통제력은 더 높을 수 있다. 따라서 ‘어디에 있나’와 ‘누가 최종 결정을 내리나’를 분리해 물어야 한다.
네 개의 통제층: 키·운영·지원·공급망
첫째는 암호키 통제다. 집행위 지침은 공급자가 아니라 고객만 데이터에 대한 암호학적 접근을 실효적으로 통제하는지, 누가 언제 어디서 접근했는지 감사할 수 있는지를 데이터·AI 주권의 기준으로 둔다. 고객관리키라는 상품명만 볼 것이 아니라 루트키 생성 위치, 복구키 보유자, 강제 공개 요청이 왔을 때의 절차, 키 폐기 후 복구 가능성까지 계약과 기술 증거로 확인해야 한다.
둘째는 운영과 지원 인력이다. 장애가 발생했을 때 현지 조직이 제어면을 독립적으로 운영할 수 있는지, 해외 본사의 원격 권한 없이는 복구가 불가능한지에 따라 실제 자율성이 갈린다. 인력 국적을 단순 제한하는 접근보다 접근 권한의 최소화, 승인 분리, 세션 기록, 비상 접근의 사후 검증을 요구하는 편이 안전과 차별 방지를 함께 달성한다.
셋째는 소프트웨어와 하청 공급망이다. 펌웨어, 가상화 계층, 배포 도구, 보안 업데이트가 어느 관할의 기업에 의해 개발·서명·배포되는지, 하위 처리자까지 감사할 수 있는지가 중요하다. 데이터가 이동하지 않아도 악성 업데이트나 일방적인 지원 중단은 서비스를 멈출 수 있기 때문이다. ‘현지 법인과 계약했다’는 사실은 모회사, 핵심 지식재산, 업데이트 서명권의 소재를 자동으로 바꾸지 않는다.
전환 가능성이 주권의 스트레스 테스트다
EU 데이터법은 클라우드 등 데이터처리서비스의 전환 장애를 줄이고, 공개 인터페이스·문서·기술 지원을 통해 기능적 동등성 달성을 촉진하도록 요구한다. 2027년 1월 12일부터는 전환 과정에 별도의 전환 수수료를 부과하지 못하도록 정했다. 다만 비용이 사라진다고 애플리케이션 구조까지 자동으로 이식되는 것은 아니다. 독점 데이터베이스 기능, 관리형 AI 파이프라인, 관측 도구와 신원체계에 깊이 묶인 시스템은 데이터 반출만으로 복구되지 않는다.
따라서 구매자는 계약 전에 ‘탈출 리허설’을 해야 한다. 표준 형식으로 데이터와 설정을 내보내고, 다른 환경에서 핵심 업무를 재가동하는 데 걸리는 시간과 인력, 기능 손실을 측정해야 한다. 공급자가 제공하는 주권 점수는 출발점일 뿐이며, 실제 복구목표시간과 키 회수, 계정 폐기, 로그 보존까지 시험해야 한다. 멀티클라우드 역시 동일한 폐쇄형 도구를 두 지역에 복제한 것이라면 공급자 종속을 줄이지 못한다.
한국 기업과 공공기관이 바꿔야 할 조달 질문
한국에서도 ‘국내 리전’이나 ‘국내 저장’ 표시만으로 민감 업무의 통제수준을 판단하는 관행은 재검토할 필요가 있다. 모든 시스템에 최고 수준의 주권을 요구하면 비용과 혁신 속도가 악화될 수 있으므로 업무의 민감도에 따라 등급을 나누는 것이 현실적이다. 공개정보 서비스는 가용성과 가격을 우선할 수 있지만, 핵심 행정·의료·금융·국가 기반시설은 키 독점, 관리자 관할, 하청 가시성, 독립 복구와 이전 가능성에 더 높은 가중치를 둬야 한다.
평가표에는 최소한 ① 고객이 루트키와 복구키를 단독 통제하는가 ② 특권 접근은 어느 국가에서 누가 승인하고 기록하는가 ③ 해외 지원이 끊겨도 현지에서 운영 가능한가 ④ 업데이트 서명권과 핵심 지식재산은 어디에 있는가 ⑤ 하위 처리자 변경을 통지·거부할 수 있는가 ⑥ 30일 또는 90일 안에 다른 환경으로 이전해 핵심 기능을 재가동할 수 있는가를 넣어야 한다. 답변은 선언이 아니라 감사보고서, 기술 구성, 계약상 손해배상과 정기 모의훈련 결과로 입증돼야 한다.
전망: ‘국산 대 외산’보다 검증 가능한 통제
소버린 클라우드 논쟁이 공급자의 국적 경쟁으로만 흐르면 두 가지 위험이 생긴다. 외국계라는 이유만으로 실제로 강한 통제장치를 가진 서비스를 배제할 수 있고, 국내 사업자라는 이유만으로 해외 부품·소프트웨어·지원망의 종속을 과소평가할 수도 있다. 더 나은 기준은 동일한 통제 질문을 모든 사업자에게 적용하고, 요구 수준과 비용을 업무 위험에 비례시키는 것이다.
EU 프레임워크의 의미는 하나의 인증마크를 만든 데 있지 않다. 위치, 법률, 운영, 공급망, 기술 개방성과 환경까지 서로 다른 위험을 분리해 점수화했다는 데 있다. 한국의 클라우드 정책도 데이터 국경을 그리는 단계에서 한 걸음 더 나아가 ‘키를 누가 쥐고, 누가 고치며, 누가 업데이트하고, 고객이 실제로 떠날 수 있는가’를 공개적으로 검증해야 한다. 주권은 폐쇄가 아니라 선택권을 유지하는 능력에 가깝다.
출처와 확인 시각
- European Commission, “Sovereign Cloud Framework explained”, 2026-06-01, 확인 2026-08-15 08:12 KST.
- European Commission, “Cloud Sovereignty Framework – Implementation guidance”, 2026-06-01, 확인 2026-08-15 08:12 KST.
- European Commission, “The Commission moves forward on cloud sovereignty with a EUR 180 million tender”, 2025-10-10, 확인 2026-08-15 08:12 KST.
- EUR-Lex, “Regulation (EU) 2023/2854 on harmonised rules on fair access to and use of data (Data Act)”, 2023-12-13, 확인 2026-08-15 08:12 KST.
- ENISA, “EUCS – Cloud Services Scheme”, 2020-12-22, 확인 2026-08-15 08:12 KST.
대표 이미지는 본 기사를 위해 생성한 독자 그래픽이며, 특정 기업·서비스의 로고나 보도사진을 사용하지 않았다.
의견을 남겨주세요