EU 디지털 입법 파이프라인: 2026년 기한 다음에 오는 것들

컴플라이언스를 다루는 글은 대부분 이미 적용 중인 규칙을 설명합니다. 다음 감사에는 도움이 되지만 계획에는 도움이 되지 않습니다. 돈이 드는 결정은 아키텍처 결정이고, 아키텍처는 기한 18개월 전에 정해지기 때문입니다.

이 글은 나머지 절반입니다. 지금 유럽의 입법 절차를 통과하고 있는 것이 무엇인지, 대략 언제 마무리되는지, 그중 무엇이 지금 만드는 것에 실제로 영향을 주어야 하는지를 정리했습니다.

먼저 경고 하나. 제안은 바뀌고, 일부는 사라지고, 날짜는 밀립니다. 여기 적힌 어느 것도 아직 채택되지 않은 문안에 맞춰 개발할 근거가 되지 못합니다. 다만 곧 들어올 것이 뻔한 규칙 때문에 나중에 비싸질 구조를 지금 만들지 않을 근거는 됩니다.

단계를 읽는 법

유럽 입법은 예측 가능한 단계를 밟습니다. 어떤 법안이 어느 단계에 있는지를 보면 그 내용을 얼마나 믿어도 되는지 알 수 있습니다.

작업계획 예고 단계. EU 집행위원회가 무언가를 제안하겠다고 밝힌 상태입니다. 문안은 없습니다. 방향을 읽는 데는 쓸모가 있고, 그 이상은 아닙니다.

제안 공표 단계. 문안이 나왔습니다. 앞으로 크게 바뀌는 일이 잦지만, 대체적인 형태와 정의는 이때부터 보입니다.

이사회 일반접근과 유럽의회 위임안. 두 공동입법자가 모두 입장을 정한 상태입니다. 협상의 폭이 드러납니다. 양쪽이 함께 동의한 내용은 살아남을 가능성이 매우 높습니다.

삼자협의. 유럽의회와 이사회, 집행위원회가 비공개로 벌이는 협상입니다. 결과는 대개 두 위임안 사이 어딘가에 놓입니다.

정치 합의, 이어서 정식 채택, 발효, 적용. 채택과 적용 사이가 실제로 작업하는 기간이고, 보통 18개월에서 3년입니다.

실무 규칙은 간단합니다. 두 공동입법자가 위임안을 모두 공개했다면 그중 합의된 부분은 계획의 전제로 삼아도 됩니다. 그전까지는 전부 방향 정보로만 다루십시오.

지금 삼자협의 중

디지털 옴니버스

이번 주기에서 가장 큰 간소화 패키지로, 2025년 11월에 제안되었습니다. GDPR과 AI법, 데이터법, e프라이버시, 사이버보안 보고에 손을 댑니다.

제품 팀에 가장 중요한 부분은 제안된 제88a조와 제88b조입니다. 쿠키 동의 규칙을 e프라이버시 지침에서 GDPR 본문으로 옮기고, 동의가 필요 없는 예외를 넓히며, 거부 이후 6개월의 침묵 기간을 두고, 브라우저 수준의 기계 판독 가능한 동의 신호에 법적 구속력을 부여합니다.

삼자협의는 2026년 중반까지 이어졌습니다. 실무에서 동의가 작동하는 방식을 가까운 시일 안에 바꿀 변수로는 단연 가장 크고, 저희 해석은 디지털 옴니버스 이후의 쿠키 동의에 정리해 두었습니다.

누가 신경 써야 하나. 동의 관리 플랫폼과 애널리틱스, 광고, 개인화를 운영하는 곳 전부.

디지털 유로 패키지

이사회 입장은 2025년 12월에 나왔고, 유럽의회 위원회 위임안은 43대 14로 승인되었으며, 삼자협의는 2026년 7월에 시작되었습니다. 세 기관 모두 2026년 중 마무리를 목표로 합니다. 유럽중앙은행 파일럿은 2027년 하반기부터 돌아가고, 최초 발행 목표는 2029년입니다.

자세한 내용은 디지털 유로 구현 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 은행, 결제서비스 제공업체, 이커머스 플랫폼, POS 벤더.

금융데이터 접근, 통칭 FiDA

오픈 파이낸스 법안입니다. 오픈뱅킹식 데이터 접근을 결제 계좌 밖으로 넓혀 투자와 연금, 보험, 주택담보대출까지 포괄하고, 금융정보서비스 제공자라는 새 규제 범주를 만듭니다.

FiDA는 이 목록에서 가장 험난한 길을 걸었습니다. 삼자협의가 2026년 초에 멈췄다가 다시 시작되었습니다. 현실적으로는 2027년에서 2030년 사이에 단계적으로 적용될 것으로 보입니다.

누가 신경 써야 하나. 핀테크와 인슈어테크, 자산관리 플랫폼, 그리고 요구불 계좌 너머의 금융 데이터에 허가 기반으로 접근하면 제품이 좋아지는 곳 전부.

합의는 되었지만 아직 적용 전

PSD3와 결제서비스규정

이사회와 유럽의회는 2025년 11월 27일 결제 프레임워크에 잠정 정치 합의를 이뤘습니다. PSD2의 전면 개편입니다. 사기 예방 의무 강화, 사칭 사기를 비롯한 특정 사기 유형의 책임 배분 확대, 강력한 고객 인증의 변경, 오픈뱅킹 인터페이스 성능 요건, 결제기관과 전자화폐기관 제도의 통합이 담겼습니다.

규정과 지침이 함께 묶여 있어 일부는 그대로 적용되고 일부는 국내법으로 옮겨야 합니다. 적용 시점은 당장이 아니라 이번 10년의 끝 무렵으로 보는 편이 맞습니다.

누가 신경 써야 하나. 결제를 개시하거나 고객 자금을 보유하거나 오픈뱅킹 API를 쓰는 모든 제품.

제안 단계, 입장 형성 중

유럽 비즈니스 지갑

EU 디지털 신원 지갑의 법인판으로 제안되었습니다. EU 디지털 신원 지갑이 개인의 자격증명을 담는다면, 비즈니스 지갑은 회사의 자격증명을 담습니다. 등기 정보와 위임, 대표권, 각종 증명서, 그리고 서명된 문서를 국경 너머로 주고받는 기능입니다.

이사회는 2026년 6월 9일 협상 입장을 채택했고, 2026년 말까지 정치 합의를 이루겠다는 것이 목표입니다. 회원국은 발효 후 24개월 안에 행정 절차에서 비즈니스 지갑을 받아들여야 하고, 더 복잡한 기능에는 1년이 더 주어집니다.

자세한 내용은 유럽 비즈니스 지갑 가이드에 정리해 두었습니다.

누가 신경 써야 하나. B2B 온보딩과 조달, 공급업체 검증, 전자 인보이스, 규제 대상 업무 프로세스를 만드는 곳 전부.

클라우드 및 AI 개발법

집행위원회 기술주권 의제의 간판 법안으로, 2026년 상반기가 목표였습니다. 내세운 목표는 클라우드와 AI를 개발하고 배치하고 확장하는 유럽의 역량을 키우는 것, 규제 공백을 메우는 것, 상호운용성을 높이는 것, 그리고 행정기관과 공공조달에 적용할 EU 차원의 클라우드 정책을 세우는 것입니다.

그 밑에 깔린 문제는 비유럽 클라우드 사업자에 대한 의존입니다. 실제로 구속력을 가질 가능성이 가장 큰 장치는 민간 구매자를 직접 규제하는 쪽이 아니라 공공조달입니다.

자세한 내용은 클라우드 및 AI 개발법 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 클라우드 사업자, 유럽 공공부문 구매자에게 소프트웨어를 파는 곳, 그리고 아키텍처가 하이퍼스케일러 한 곳을 전제하고 있는 곳 전부.

디지털 네트워크법

여러 차례 연기된 끝에 2026년 1월에 제출되었습니다. 통신 거버넌스를 다시 씁니다. 주파수 조화, 전자통신 단일시장, 네트워크 보안 기준, 그리고 대형 트래픽 발생 사업자가 네트워크 비용을 분담해야 하느냐는 해묵은 논쟁이 담겼습니다.

누가 신경 써야 하나. 통신사업자와 CDN·연결 제공업체, 그리고 수익 구조가 값싼 트랜짓에 걸려 있는 모든 서비스.

디지털 공정법

2026년 4분기가 목표라 당분간은 법이 아니라 제안입니다. 다크 패턴과 중독적 설계, 인플루언서 마케팅, 그리고 개인화 가격을 포함해 소비자의 취약성을 파고드는 개인화 관행을 정면으로 겨냥합니다.

이 법은 적용되기 훨씬 전부터 눈여겨볼 만합니다. 지금 많은 제품이 전환율을 위해 기대고 있는 인터페이스 패턴을 겨냥하기 때문입니다. 자세한 내용은 디지털 공정법 가이드에 정리해 두었습니다.

누가 신경 써야 하나. 모든 종류의 소비자 대면 제품, 특히 구독과 게임, 마켓플레이스, 소셜.

반도체법 개정

유럽 반도체법을 다시 손보는 입법 이니셔티브가 2026년 작업계획에 올랐습니다. 첫 반도체법은 내건 야심에 비해 힘이 부족했다는 평가가 많았고, 개정안이 그 부분을 다룰 것으로 보입니다. 자금 쪽은 반도체법 자금 가이드에서 다룹니다.

누가 신경 써야 하나. 반도체와 하드웨어 회사, 그리고 유럽 산업정책 자금의 흐름을 좇는 곳 전부.

공공조달 개혁

전략 분야에 유럽 우선 원칙을 명시적으로 담은 공공조달법이 2026년 작업계획에 올랐습니다. 유럽의 공공 구매자를 상대로 판매한다면 조달 규칙을 눈여겨봐야 합니다. 기술 정책이 실제 현장에 도달하는 통로가 놀랄 만큼 자주 조달 규칙이기 때문입니다.

누가 신경 써야 하나. 유럽에서 공공부문 매출이 있는 곳 전부.

예고되었으나 아직 형태가 없는 것

문안 없이 예고만 된 이니셔티브도 몇 있습니다. 양자법과 우주법, 과학 분야 AI에 관한 후속 작업, 유럽 건강데이터공간 전개의 후속 작업이 그렇습니다. 여기에 흔히 채팅 컨트롤이라 부르는 아동 성학대 규정도 있습니다. 클라이언트 측 스캐닝을 두고 여러 차례 멈춰 섰고 아직 결론이 나지 않았습니다.

이런 것들은 일단 시야에만 두면 됩니다. 존재를 아는 것은 의미가 있지만, 이를 전제로 설계하는 것은 의미가 없습니다.

반대 방향으로 간 것

철회되었거나 우선순위가 내려간 것도 알아 둘 필요가 있습니다. 나와 있는 해설 상당수가 여기까지 따라오지 못했기 때문입니다.

AI 책임 지침은 철회되었습니다. 몇 년간 제자리걸음을 하던 e프라이버시 규정은 폐기되었고, 그 내용은 디지털 옴니버스에서 처리하고 있습니다. 그린 클레임 지침도 진통을 겪어 최종 형태가 정해지지 않았습니다. 다만 관련 법인 소비자 권한강화 지침은 그와 무관하게 2026년 9월부터 적용됩니다.

간소화는 이제 명시적인 정치 의제입니다. 규제 총량이 줄어든다는 뜻은 아니지만, 일부 법안이 새로 추가되는 대신 통합되고 있다는 뜻은 됩니다.

힘을 낭비하지 않고 활용하는 법

이런 목록을 보면 추적표를 만들고 행마다 담당자를 붙이고 싶어집니다. 그렇게 하면 스프레드시트 한 장이 남을 뿐입니다.

실제로 효과가 있는 방법은 이렇습니다.

설계 결정이 필요한 것인지를 기준으로 정렬하십시오. 동의 아키텍처, 신원과 자격증명 처리, 결제 수단 추상화, 데이터 접근 인터페이스는 나중에 끼워 넣으려면 비쌉니다. 보고 절차와 문서는 그렇지 않습니다. 채택 전에 움직일 만한 것은 앞의 범주뿐입니다.

공유되는 기반을 찾으십시오. 잘 만든 동의 인프라는 디지털 옴니버스의 변경에 그대로 쓰입니다. EU 디지털 신원 지갑용으로 만든 자격증명 검증은 비즈니스 지갑에도 대부분 쓰입니다. 결제 수단 추상화는 즉시 결제와 Wero, 디지털 유로에 모두 쓰입니다. 법안은 셋이지만 플랫폼 작업은 하나입니다.

제안이 아니라 위임안을 보십시오. 이사회와 유럽의회가 모두 입장을 내면 겹치는 부분이 안전지대입니다. 제안이 나온 날이 아니라 그때가 착수할 시점입니다.

무엇을 언제 정했는지 적어 두십시오. 이 제도들은 대부분 판단의 근거를 설명할 수 있기를 요구합니다. 날짜가 붙은 짧은 아키텍처 결정 기록 하나가 나중에 급히 쓴 정책 문서보다 낫습니다.

저희가 서 있는 자리

저희는 유럽에서 사업하는 회사를 위해 소프트웨어를 만들고 유지합니다. 요즘 그 일은 곧 재작성 없이 규제 변화를 흡수하는 시스템을 만드는 일이 되었습니다. 대부분은 눈에 띄지 않는 작업입니다. 알맞은 이음매에서 추상화하고, 상태를 명시적으로 두고, 법이 일부러 조정 가능하게 남겨 둔 숫자를 설정값으로 빼는 일입니다.

이 법안들 가운데 무엇이 특정 제품에 실제로 닿는지 판단이 필요하시면 office@c9group.dev로 연락 주십시오. 이미 적용 중인 규칙은 2026년 EU 디지털 컴플라이언스 가이드에 지도로 그려 두었고, 유럽에서 해온 일은 EU 시장 진입 페이지에 더 정리해 두었습니다.

저희는 변호사가 아니라 엔지니어이고, 이 글은 법률 자문이 아니라 계획을 위한 지도입니다. 위에 적은 내용은 관보에 실리기 전까지 언제든 바뀔 수 있습니다.