EU 디지털 입법 파이프라인: 2026년 기한 다음에 오는 것들

컴플라이언스를 다루는 글은 대부분 이미 적용 중인 규칙을 설명합니다. 다음 감사에는 도움이 되지만 계획에는 도움이 되지 않습니다. 돈이 드는 결정은 아키텍처 결정이고, 아키텍처는 기한 18개월 전에 정해지기 때문입니다.

이 글은 나머지 절반입니다. 지금 유럽의 입법 절차를 통과하고 있는 것이 무엇인지, 대략 언제 마무리되는지, 그중 무엇이 지금 만드는 것에 실제로 영향을 주어야 하는지를 정리했습니다.

먼저 경고 하나. 제안은 바뀌고, 일부는 사라지고, 날짜는 밀립니다. 여기 적힌 어느 것도 아직 채택되지 않은 문안에 맞춰 개발할 근거가 되지 못합니다. 다만 곧 들어올 것이 뻔한 규칙 때문에 나중에 비싸질 구조를 지금 만들지 않을 근거는 됩니다.

단계를 읽는 법

유럽 입법은 예측 가능한 단계를 밟습니다. 어떤 법안이 어느 단계에 있는지를 보면 그 내용을 얼마나 믿어도 되는지 알 수 있습니다.

작업계획 예고 단계. EU 집행위원회가 무언가를 제안하겠다고 밝힌 상태입니다. 문안은 없습니다. 방향을 읽는 데는 쓸모가 있고, 그 이상은 아닙니다.

제안 공표 단계. 문안이 나왔습니다. 앞으로 크게 바뀌는 일이 잦지만, 대체적인 형태와 정의는 이때부터 보입니다.

이사회 일반접근과 유럽의회 위임안. 두 공동입법자가 모두 입장을 정한 상태입니다. 협상의 폭이 드러납니다. 양쪽이 함께 동의한 내용은 살아남을 가능성이 매우 높습니다.

삼자협의. 유럽의회와 이사회, 집행위원회가 비공개로 벌이는 협상입니다. 결과는 대개 두 위임안 사이 어딘가에 놓입니다.

정치 합의, 이어서 정식 채택, 발효, 적용. 채택과 적용 사이가 실제로 작업하는 기간이고, 보통 18개월에서 3년입니다.

실무 규칙은 간단합니다. 두 공동입법자가 위임안을 모두 공개했다면 그중 합의된 부분은 계획의 전제로 삼아도 됩니다. 그전까지는 전부 방향 정보로만 다루십시오.

지금 협상 중

디지털 옴니버스

이번 주기에서 가장 큰 간소화 패키지로, 2025년 11월에 제안되었습니다. GDPR과 AI법, 데이터법, e프라이버시, 사이버보안 보고에 손을 댑니다. AI법 부분은 따로 분리되어 이미 법이 되었습니다. 2026년 7월 27일부터 시행 중인 규정(EU) 2026/1744입니다.

제품 팀에 가장 중요한 부분은 집행위원회가 제안한 제88a조와 제88b조입니다. 쿠키 동의 규칙을 e프라이버시 지침에서 GDPR 본문으로 옮기고, 동의가 필요 없는 예외를 넓히며, 거부 이후 6개월의 침묵 기간을 두고, 브라우저 수준의 기계 판독 가능한 동의 신호에 법적 구속력을 부여합니다.

GDPR과 e프라이버시에 관한 나머지 절반은 아직 삼자협의에 들어가지도 못했습니다. 2026년 10월 10일 현재 이사회는 협상 권한을 확보하지 못했고(10월 7일로 예정됐던 EU 대사급 표결이 연기되었으며, 보도에 따르면 10월 11일로 미뤄졌습니다), 유럽의회 위원회들은 2026년 6월 보고서 초안에 제출된 1,750건이 넘는 수정안을 아직 검토하고 있습니다. 이사회의 타협안은 쿠키 규칙을 e프라이버시 지침에 그대로 두고, 제88a조와 제88b조를 삭제하며, 거부 이후 대기 기간을 4개월로 줄입니다. 그래도 실무에서 동의가 작동하는 방식을 가까운 시일 안에 바꿀 변수로는 여전히 가장 크고, 저희 해석은 디지털 옴니버스 이후의 쿠키 동의에 정리해 두었습니다.

누가 신경 써야 하나. 동의 관리 플랫폼과 애널리틱스, 광고, 개인화를 운영하는 곳 전부.

디지털 유로 패키지

이사회 입장은 2025년 12월에 나왔고, 유럽의회 위원회 위임안은 43대 14로 승인되었으며, 삼자협의는 2026년 7월에 시작되었습니다. 세 기관 모두 2026년 중 마무리를 목표로 합니다. 유럽중앙은행 파일럿은 2027년 하반기부터 돌아가고, 최초 발행 목표는 2029년입니다.

자세한 내용은 디지털 유로 구현 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 은행, 결제서비스 제공업체, 이커머스 플랫폼, POS 벤더.

금융데이터 접근, 통칭 FiDA

오픈 파이낸스 법안입니다. 오픈뱅킹식 데이터 접근을 결제 계좌 밖으로 넓혀 투자와 연금, 보험, 주택담보대출까지 포괄하고, 금융정보서비스 제공자라는 새 규제 범주를 만듭니다.

FiDA는 이 목록에서 가장 험난한 길을 걸었습니다. 삼자협의는 2025년 중반 이후 눈에 띄는 진전이 거의 없었고, 2026년 4월 집행위원회는 협상을 다시 움직이기 위해 범위를 좁히자는 비공식 문서(non-paper)를 이사회에 보냈습니다. 적용은 단계적으로 이뤄질 것이며, 현실적으로 이번 10년이 끝나기 전에 시작되기는 어렵습니다.

누가 신경 써야 하나. 핀테크와 인슈어테크, 자산관리 플랫폼, 그리고 요구불 계좌 너머의 금융 데이터에 허가 기반으로 접근하면 제품이 좋아지는 곳 전부.

합의는 되었지만 아직 적용 전

PSD3와 결제서비스규정

이사회와 유럽의회는 2025년 11월 27일 결제 프레임워크에 잠정 정치 합의를 이뤘습니다. PSD2의 전면 개편입니다. 사기 예방 의무 강화, 사칭 사기를 비롯한 특정 사기 유형의 책임 배분 확대, 강력한 고객 인증의 변경, 오픈뱅킹 인터페이스 성능 요건, 결제기관과 전자화폐기관 제도의 통합이 담겼습니다.

합의된 문안은 아직 EU 관보에 실리지 않았습니다. 2026년 10월 10일 현재 유럽의회 절차 파일을 보면 이사회의 공식 1독회 입장을 기다리는 단계이며, 본회의 최종 표결은 잠정적으로 2026년 12월 14일로 잡혀 있습니다. 규정과 지침이 함께 묶여 있어 일부는 그대로 적용되고 일부는 국내법으로 옮겨야 합니다. 적용 시점은 당장이 아니라 이번 10년의 끝 무렵으로 보는 편이 맞습니다.

누가 신경 써야 하나. 결제를 개시하거나 고객 자금을 보유하거나 오픈뱅킹 API를 쓰는 모든 제품.

제안 단계, 입장 형성 중

유럽 비즈니스 지갑

EU 디지털 신원 지갑의 법인판으로 제안되었습니다. EU 디지털 신원 지갑이 개인의 자격증명을 담는다면, 비즈니스 지갑은 회사의 자격증명을 담습니다. 등기 정보와 위임, 대표권, 각종 증명서, 그리고 서명된 문서를 국경 너머로 주고받는 기능입니다.

이사회는 2026년 6월 9일 협상 입장을 채택했고, 유럽의회 ITRE 위원회도 2026년 9월 10일 보고서와 협상 권한을 채택해 삼자협의를 시작할 수 있게 되었습니다. 목표는 2026년 말까지 정치 합의를 이루는 것입니다. 집행위원회는 공공기관이 발효 후 24개월 안에 비즈니스 지갑을 받아들이도록 제안했지만, 이사회 안은 이 기한을 더 늦은 시점, 즉 마지막 이행법이 적용되기 시작하고 2년이 지난 시점으로 바꿨습니다.

자세한 내용은 유럽 비즈니스 지갑 가이드에 정리해 두었습니다.

누가 신경 써야 하나. B2B 온보딩과 조달, 공급업체 검증, 전자 인보이스, 규제 대상 업무 프로세스를 만드는 곳 전부.

클라우드 및 AI 개발법

집행위원회 기술주권 의제의 간판 법안으로, 2026년 6월 3일 COM(2026) 502로 제안되었습니다. 연구와 혁신, 데이터센터 인허가 단축(2030년까지 EU 데이터센터 용량을 최소 세 배로 늘리는 것이 공식 목표입니다), 그리고 클라우드 서비스의 주권 보장 수준을 네 단계로 정한 EU 단일 체계를 담고 있습니다. 공공 구매자는 최소 1단계를 조달해야 하고, 공공질서에 중요한 업무에는 2단계에서 4단계까지를 조달해야 합니다.

그 밑에 깔린 문제는 비유럽 클라우드 사업자에 대한 의존입니다. 실제로 구속력을 가질 가능성이 가장 큰 장치는 민간 구매자를 직접 규제하는 쪽이 아니라 공공조달입니다.

자세한 내용은 클라우드 및 AI 개발법 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 클라우드 사업자, 유럽 공공부문 구매자에게 소프트웨어를 파는 곳, 그리고 아키텍처가 하이퍼스케일러 한 곳을 전제하고 있는 곳 전부.

디지털 네트워크법

여러 차례 연기된 끝에 2026년 1월에 제출되었습니다. 통신 거버넌스를 다시 씁니다. 주파수 조화, 전자통신 단일시장, 네트워크 보안 기준, 그리고 대형 트래픽 발생 사업자가 네트워크 비용을 분담해야 하느냐는 해묵은 논쟁이 담겼습니다.

누가 신경 써야 하나. 통신사업자와 CDN·연결 제공업체, 그리고 수익 구조가 값싼 트랜짓에 걸려 있는 모든 서비스.

디지털 공정법

2026년 4분기가 목표라 당분간은 법이 아니라 제안입니다. 다크 패턴과 중독적 설계, 인플루언서 마케팅, 그리고 개인화 가격을 포함해 소비자의 취약성을 파고드는 개인화 관행을 정면으로 겨냥합니다.

이 법은 적용되기 훨씬 전부터 눈여겨볼 만합니다. 지금 많은 제품이 전환율을 위해 기대고 있는 인터페이스 패턴을 겨냥하기 때문입니다. 자세한 내용은 디지털 공정법 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 모든 종류의 소비자 대면 제품, 특히 구독과 게임, 마켓플레이스, 소셜.

반도체법 개정

집행위원회는 2026년 6월 3일 반도체법 2.0(COM(2026) 504)을 제안했습니다. 2023년 반도체법을 폐지하고 대체하는 법안입니다. 첫 반도체법은 내건 야심에 비해 힘이 부족했다는 평가가 많았습니다. 새 문안은 핵심 부문을 위한 우선 주문 등 위기 대응 수단을 더하고, 생산 시설과 설계 지원도 함께 담았습니다. 자금 쪽은 반도체법 자금 가이드에서 다룹니다.

누가 신경 써야 하나. 반도체와 하드웨어 회사, 그리고 유럽 산업정책 자금의 흐름을 좇는 곳 전부.

공공조달 개혁

집행위원회는 2026년 9월 9일 공공조달법(COM(2026) 590)을 제안했습니다. 2014년의 조달 지침 세 개를 하나의 규정으로 대체하고, 전략 분야에서 공공 구매자가 참여를 제한하거나 EU산을 우대할 수 있게 하는 유럽 우선 체계를 더하는 내용입니다. 유럽의 공공 구매자를 상대로 판매한다면 조달 규칙을 눈여겨봐야 합니다. 기술 정책이 실제 현장에 도달하는 통로가 놀랄 만큼 자주 조달 규칙이기 때문입니다.

누가 신경 써야 하나. 유럽에서 공공부문 매출이 있는 곳 전부.

예고되었으나 아직 형태가 없는 것

문안 없이 예고만 된 이니셔티브도 몇 있습니다. 양자법(2026년 2분기 예정이었으나 2026년 10월 10일까지 제안되지 않았고, 2027년으로 밀릴 수 있다는 보도가 나옵니다), 과학 분야 AI에 관한 후속 작업, 유럽 건강데이터공간 전개의 후속 작업이 그렇습니다. 여기에 흔히 채팅 컨트롤이라 부르는 아동 성학대 규정도 있습니다. 클라이언트 측 스캐닝을 두고 여러 차례 멈춰 섰고 아직 결론이 나지 않았습니다.

이런 것들은 일단 시야에만 두면 됩니다. 존재를 아는 것은 의미가 있지만, 이를 전제로 설계하는 것은 의미가 없습니다.

반대 방향으로 간 것

철회되었거나 우선순위가 내려간 것도 알아 둘 필요가 있습니다. 나와 있는 해설 상당수가 여기까지 따라오지 못했기 때문입니다.

AI 책임 지침은 철회되었습니다. 몇 년간 제자리걸음을 하던 e프라이버시 규정은 폐기되었고, 그 내용은 디지털 옴니버스에서 처리하고 있습니다. 그린 클레임 지침도 진통을 겪어 최종 형태가 정해지지 않았습니다. 다만 관련 법인 소비자 권한강화 지침은 그와 무관하게 2026년 9월 27일부터 이미 적용되고 있습니다.

간소화는 이제 명시적인 정치 의제입니다. 규제 총량이 줄어든다는 뜻은 아니지만, 일부 법안이 새로 추가되는 대신 통합되고 있다는 뜻은 됩니다.

힘을 낭비하지 않고 활용하는 법

이런 목록을 보면 추적표를 만들고 행마다 담당자를 붙이고 싶어집니다. 그렇게 하면 스프레드시트 한 장이 남을 뿐입니다.

실제로 효과가 있는 방법은 이렇습니다.

설계 결정이 필요한 것인지를 기준으로 정렬하십시오. 동의 아키텍처, 신원과 자격증명 처리, 결제 수단 추상화, 데이터 접근 인터페이스는 나중에 끼워 넣으려면 비쌉니다. 보고 절차와 문서는 그렇지 않습니다. 채택 전에 움직일 만한 것은 앞의 범주뿐입니다.

공유되는 기반을 찾으십시오. 잘 만든 동의 인프라는 디지털 옴니버스의 변경에 그대로 쓰입니다. EU 디지털 신원 지갑용으로 만든 자격증명 검증은 비즈니스 지갑에도 대부분 쓰입니다. 결제 수단 추상화는 즉시 결제와 Wero, 디지털 유로에 모두 쓰입니다. 법안은 셋이지만 플랫폼 작업은 하나입니다.

제안이 아니라 위임안을 보십시오. 이사회와 유럽의회가 모두 입장을 내면 겹치는 부분이 안전지대입니다. 제안이 나온 날이 아니라 그때가 착수할 시점입니다.

무엇을 언제 정했는지 적어 두십시오. 이 제도들은 대부분 판단의 근거를 설명할 수 있기를 요구합니다. 날짜가 붙은 짧은 아키텍처 결정 기록 하나가 나중에 급히 쓴 정책 문서보다 낫습니다.

저희가 서 있는 자리

저희는 유럽에서 사업하는 회사를 위해 소프트웨어를 만들고 유지합니다. 요즘 그 일은 곧 재작성 없이 규제 변화를 흡수하는 시스템을 만드는 일이 되었습니다. 대부분은 눈에 띄지 않는 작업입니다. 알맞은 이음매에서 추상화하고, 상태를 명시적으로 두고, 법이 일부러 조정 가능하게 남겨 둔 숫자를 설정값으로 빼는 일입니다.

이 법안들 가운데 무엇이 특정 제품에 실제로 닿는지 판단이 필요하시면 office@c9group.dev로 연락 주십시오. 이미 적용 중인 규칙은 2026년 EU 디지털 컴플라이언스 가이드에 지도로 그려 두었고, 유럽에서 해온 일은 EU 시장 진입 페이지에 더 정리해 두었습니다.

저희는 변호사가 아니라 엔지니어이고, 이 글은 법률 자문이 아니라 계획을 위한 지도입니다. 위에 적은 내용은 관보에 실리기 전까지 언제든 바뀔 수 있습니다.