페스카로 사업보고서 (2025.12)
7. 기타 참고사항

가. 지적재산권 보유 현황

구분	구분	국내	해외	합계

미국	중국	유럽	영국	인도	일본

특허권	출원	25	3	2	-	-	-	-	30

등록	9	4	-	-	-	-	-	13

소계	34	7	-	-	-	-	-	43

저작권	출원	-	-	-	-	-	-	-

등록	2	-	-	-	-	-	-	2

소계	2	-	-	-	-	-	-	2

상표권	출원	2	4	4	4	-	4	4	22

등록	4	-	2	-	4	-	-	10

소계	6	4	6	-	4	4	4	32

합계	42	11	6	4	4	4	4	77

나. 인증 실적

인증기관	인증국가	인증항목	인증번호	취득일(인증기간)	설명

NIST	미국	FIPS 140-2 validated,Security Level 1	#3949	'21.06.07~'26.06.06	미국 연방 정부의 컴퓨터 보안 표준 중 하나로, 암호 모듈의 보안 요구사항을 정의하여 암호화 모듈이 어떻게 설계되고 구현되어야 하는지에 대한 지침을 제공

AutomotiveSPICE	유럽	ASPICE v3.1 CL2(Capability Level 2)	AS-MAN-201909	'19.11.04	자동차 소프트웨어 개발 프로세스의 품질 향상과 역량 평가를 위한 국제 표준 프레임워크로, 소프트웨어 개발 단계별 활동과 산출물을 체계적으로 정의하여 OEM과 공급업체 간 품질 기준을 통일하는 데 사용

한국품질보증원	대한민국	ISO9001	RQM7722	'24.06.28~'27.06.27	국제표준화기구(ISO)가 제정한 품질경영시스템(QMS) 국제 표준으로, 제품 및 서비스가 고객 요구사항과 법적ㆍ규제 요구를 지속적으로 충족할 수 있도록 조직의 품질경영 프로세스를 체계적으로 관리ㆍ개선하는 기준을 제시

Bureau Veritas	프랑스	ISO27001	KR004789	'25.07.23~28.07.22	국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동 제정한 정보보호경영시스템(ISMS) 국제 표준으로, 조직의 정보 자산을 보호하기 위해 정보보호 정책, 위험 평가, 접근통제, 물리적 보안, 지속적 개선 활동을 수행하도록 요구

A-SPICE(Automotive SPICE, Automotive Software Process Improvement and Capability Determination)는 자동차 소프트웨어 개발 프로세스의 성숙도와 품질 수준을 평가하기 위한 국제 표준 프레임워크로, ISO/IEC 15504 및 ISO/IEC 33020 등 국제 프로세스 평가 표준을 기반으로 설계되었습니다. 본 표준은 독일자동차산업협회(VDA) 산하 품질관리센터(QMC, Quality Management Center)가 관리하고 있으며, 글로벌 완성차 제조사 및 주요 부품업체들이 소프트웨어 개발 협력사 평가 시 공통 기준으로 활용하고 있습니다. A-SPICE는 Level 0부터 Level 5까지의 단계로 구분되며, 각 단계는 조직의 소프트웨어 개발 프로세스가 얼마나 체계적으로 계획ㆍ수행ㆍ관리되는지를 평가합니다. 그 중 Level 2(CL2, Managed Level)는 프로젝트 수행이 문서화된 절차와 계획에 따라 반복 가능하게 운영되고, 산출물의 품질이 체계적으로 관리되고 있음을 의미합니다. A-SPICE Level 2 인증은 글로벌 자동차 산업에서 부품 및 소프트웨어 공급사의 기본적인 품질 역량을 검증하는 지표로 인정받고 있으며, 다수의 완성차 제조사(OEM) 및 Tier-1 업체가 협력사 선정 시 필수 요건으로 채택하고 있습니다.

[A-SPICE의 각 레벨에 대한 설명]

역량 수준	설명

Capability Level 0
불완전한 프로세스(Incomplete)	프로세스가 이행되지 않거나 프로세스 목적을 달성하지 못함

Capability Level 1
수행된 프로세스(Performed)	프로세스가 수행되어 프로세스 목적을 달성

Capability Level 2
관리된 프로세스(Managed)	프로세스가 계획, 감시, 조정되며 프로세스에 의해 생성된작업 산출물이 적절하게 작성되고, 통제되고, 유지됨

Capability Level 3
정립된 프로세스(Established)	레벨2를 달성할 수 있는 정의된 프로세스가 있으며,평가받는 프로세스가 해당 정의된 프로세스로 수행됨

Capability Level 4
예측 가능한 프로세스(Predictable)	정립된 프로세스가 프로세스 성과를 달성하기 위해 정의된 한계 내에서 예측적으로 운영됨.
즉, 프로세스 내의 여러 요소들을 정량적으로 측정 및 분석하여 이상 원인을 식별하여 해당 이상 원인을 해결.

Capability Level 5
혁신 프로세스(Innovating)	예측 가능한 프로세스가 조직차원의 정략적 피드백을 통해 전사 프로세스를 지속적으로 개선하고 실제 프로젝트를 개선된 프로젝트로 수행

FIPS 140-2(Federal Information Processing Standard Publication 140-2)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 제정한 암호모듈 보안성 평가 규격으로, 암호 알고리즘의 설계ㆍ운영ㆍ키 관리ㆍ무결성 검증 등 보안 관련 요구사항을 정의한 국제 표준입니다. FIPS 140-2는 암호모듈이 충족해야 하는 보안 요건을 11개 항목(설계 명세, 인터페이스, 역할 기반 인증, 물리적 보안, 키 관리, 운영 환경 등)으로 규정하고 있으며, 보안 수준(Level 1~4)에 따라 물리적 보호 및 운영 통제의 강도가 달라집니다. 본 표준은 미국 연방정부 및 국방 관련 기관에서 사용되는 암호모듈의 필수 인증 기준으로 채택되어 있으며, 금융, 통신, 자동차 등 보안 신뢰성이 요구되는 산업에서도 폭넓게 적용되고 있습니다.현재 상위 규격인 FIPS 140-3가 2019년부터 시행 중이나, FIPS 140-2 인증은 NIST CMVP(Cryptographic Module Validation Program) 체계 하에서 여전히 유효하며, 2026년까지 기존 인증 모듈의 효력이 유지됩니다. 이에 따라, FIPS 140-2 인증은 국제적으로 검증된 암호모듈 보안 기준으로, 제품의 신뢰성과 보안 적합성을 입증하는 대표적 인증 제도로 인정받고 있습니다.

다. 환경물질의 배출 또는 환경보호 본 보고서 기준일 현재 당사가 영위하는 사업과 관련하여 환경물질의 배출 또는 환경보호 관련 정부규제가 없습니다. 라. 시장여건 및 영업의 개황

(1) 산업의 특성 당사의 주요 목표시장은 차량용 소프트웨어 시장, 그중에서도 자동차 사이버보안 시장입니다. 자동차 사이버보안 시장은 아래와 같은 특성을 지닙니다.

① 경쟁의 강도가 낮고 시장 선점을 통한 기대 부가가치가 높은 유망산업

자동차 산업은 전장 부품, 소프트웨어, 컨트롤러, 외장 부품 등 매우 다양한 섹터들이 모여서 하나의 산업군을 형성하고 있습니다. 그 중 차량용 소프트웨어 산업은 차량 산업의 새로운 패러다임 변화로 인하여 가장 급성장이 기대되는 섹터 중 하나이며, 기술 혁신성을 가진 소수의 업체가 시장을 선점하여 경쟁강도가 낮고 매우 높은 부가가치의 창출이 기대되는 산업입니다.

2020년 10월 삼일회계법인이 발간한 '삼일회계법인 Insights 자동차 산업'에서는 차량용 소프트웨어 분야를 시장 경쟁강도가 낮고 기술혁신성이 높아 가장 유망한 시장 섹터인 유망 자동차 섹터(Star Market)으로 분류하고 있습니다.

출처: 삼일회계법인 Insights 자동차 산업 2020. Oct

② 기술 지식 기반 산업차량용 소프트웨어 산업은 기술 지식 기반의 산업으로 고부가가치 산업임과 동시에 전방산업인 차량 제조 산업과의 파트너쉽으로 인식될 만큼 높은 연관성을 가지고 있습니다. 또한 주요 고객인 차량 제조사들과 부품사들은 수익성 개선과 다양한 컨텐츠 및 미래차 서비스를 보다 효율적이고 안정적으로 탑재하기 위하여 당사와 같은 차량용 사이버 보안 및 전장 제어 소프트웨어 개발 기업들에게 전문적으로 외주 위탁을 하고 있습니다. 최근 글로벌 메이저 차량 제조사들을 중심으로 스마트카 개발 및 SDV도입의 추세가 급격히 확산되어 당사의 솔루션과 같은 소프트웨어의 중요성이 부각되고 있으며, 이러한 추세는 향후 지속적으로 확대될 것으로 판단됩니다.

③ 전문 기술 역량 중심의 산업소프트웨어 산업은 기술 기반의 산업으로서 일반적으로 개발 인력의 인건비 비중이 70~80%를 구성합니다. 생산 설비를 구축하기 위한 자본 투자 규모가 크지 않은 대신 전문 기술을 갖춘 인력의 확보와 장기간의 개발이 소요되는 개발 투자가 다소 소요되어야 하는 산업입니다.④ 상용화 검증이 매우 엄격한 산업

자동차는 전 세계에서 가장 많은 사람들이 활용하는 이동수단으로 안전에 대한 이슈가 가장 큰 산업입니다. 자동차의 시스템 오류 등의 품질 문제는 탑승자의 안전과 직결되는 문제이고, 하자에 다른 리콜 발생시 대규모의 비용이 소모되는 이유로 자동차 시장에서 충족시켜야 할 품질 수준은 전 산업에서 최고 수준이라고 할 수 있습니다.

따라서 자동차 산업에서는 새로운 기술과 제품을 적용하기 위해 수많은 검토 절차의 엄격한 검증을 진행합니다. 이 장기간의 상용화 검증 과정을 성공적으로 수행해야만 납품에 성공할 수 있습니다. 차량용 소프트웨어는 검증 과정만 1년 이상 소요되는 엄격한 프로세스를 통과해야 하고 철저한 품질관리 활동이 요구되기 때문에, 이미 그러한 과정을 모두 거치고 통과하여야 글로벌 Top 수준의 차량 제조사 및 부품사들에 납품한 당사 제품은 하자 및 불량의 가능성이 매우 낮다고 할 수 있습니다. 실제로 당사는 반품 사례가 한 건도 발생하지 않았습니다.

⑤ 기 도입된 제품의 교체가 어려운 산업

자동차 산업에서 보안솔루션 및 전장 제어 솔루션이 탑재되기까지 매우 긴 검증기간을 거쳐야 할 뿐만 아니라 각 제조사의 다양한 요구사항을 모두 충족시켜 개발해야 하기 때문에 한번 적용된 소프트웨어 솔루션을 교체하려면 또 다시 긴 상용화 검증 과정을 거쳐야 하며 매우 높은 비용을 투입하여야 합니다. 따라서 한번 적용된 제품은 교체가 매우 어렵게 되는 산업 특성을 가지고 있습니다.

그렇기 때문에 당사와 같이 이미 시장에 진입하여 상용화한 기업들은 그 규모를 지속하여 확대할 수 있는 기회를 얻게 됩니다. 이처럼 진입이 매우 어려운 자동차 시장에 한번 진입하게 되면 안정적인 매출을 기대할 수 있을 뿐만 아니라 부가적인 사업기회도 얻게 되는 소수 독점의 지위를 누릴 수 있게 됩니다.

⑥ 규제와 인증이 필수적으로 요구되는 산업 자동차 산업은 각국의 규제와 인증 절차가 복잡합니다. 먼저 진입한 기업은 이러한 절차를 먼저 완료함으로써 시장 진입 장벽을 극복할 수 있습니다. 후발 주자들은 이러한 절차를 통과하는데 시간과 비용이 더 많이 소요될 수 있습니다.

(2) 산업의 성장성(가) 자동차 사이버 보안 산업 자동차 사이버보안 시장은 규제 시장으로 유럽을 중심으로 글로벌 규제가 확산되고 있으며, 유럽을 제외한 타 국가에서는 규제에 대하여 2~4년의 유예 기간을 적용함에 따라 산업의 성장주기상 도입기 후반에 속합니다. 글로벌 자동차 사이버보안 시장 규모는 2024년에 45 억 6천만 달러로 추산되었으며, 사이버 위협 증가, 규제 강화, 전기차 및 자율주행차의 성장에 힘입어 2025년 52억 4천만 달러에서 2034년 약 188억 8천만 달러로 연평균 15.3% 성장할 것으로 예상됩니다.

[글로벌 자동차 사이버보안 시장 전망]
(단위: 억 달러)

2025년	2026년	2027년	2028년	2029년	2030년	2031년	2032년	2033년	2034년

52.4	60.4	69.8	80.7	93.4	107.9	124.4	143.2	164.5	188.8

출처: Precedence Research(*), Automotive Cybersecurity Market Drives Forward with Rising Threats and Cutting-Edge Innovations('25.07)
(*) Precedence Research는 캐나다와 인도에 기반을 둔 글로벌 시장조사기관으로, 주요 산업별 시장 규모, 성장 전망 및 경쟁 구도를 분석하는 리서치 보고서를 정기적으로 발간하고 있습니다.

(나) SDV(Software Defined Vehicle) 산업 커넥티드카와 SDV로 생태계가 변화하면서 전장 제어기와 소프트웨어의 중요성이 크게 부각되고 있으며, 자동차 제어 소프트웨어 시장은 기존의 기능별 분산 ECU(전자제어장치) 중심 아키텍처에서 통합 제어기 기반의 소프트웨어 중심 아키텍처, 즉 차세대 전장 아키텍처로 빠르게 전환되고 있습니다. 동사는 SDV 전환의 핵심 요소인 OTA에 필요한 하드웨어(게이트웨이 제어기 등)와 소프트웨어(업데이트 관리 시스템, 사이버보안 솔루션)까지 아우르는 전주기적(End-to-End) 솔루션을제공하고 있어, SDV 산업의 성장성은 당사의 전장 제어 솔루션 사업과 밀접한 관계가 있습니다.Future Market Insights에 따르면 글로벌 SDV 시장의 규모는 2025년 기준 약 617억 달러로 추정되며, 2035년 5,841억 달러까지 연평균 25.2%의 고성장이 예상됩니다. SDV 시장은 디지털화 확대, 소비자 선호도 변화, 자동차 플랫폼 전반에 걸친 첨단 시스템의 빠른 통합으로 인해 혁신적인 변화를 겪고 있습니다. 완성차 OEM들은 무선 업데이트(OTA, Over The Air), 실시간 진단, 중앙 집중식 컴퓨팅을 지원하는 SDV 아키텍처로 점진적으로 전환하고 있으며, 이를 통해 차량 성능, 안전성, 사용자 경험을 향상시키고 있습니다. SDV는 커넥티드 및 자율주행 모빌리티의 핵심 요소로 점점 주목받고 있습니다.

[전 세계 SDV 시장 규모 현황과 전망]

출처: FMI(*), Software Defined Vehicle Market Size and Share Forecast Outlook 2025 to 2035('25.10)
(*) FMI(Future Market Insights)는 맞춤형 및 종합 시장 조사 보고서와 컨설팅 서비스를 제공하는 글로벌 시장 정보 기관으로, 2014년 설립 이후 150여 개국 이상의 고객을 대상으로 다양한 산업 분야에서 인사이트를 제공하고 있습니다.

(3) 경기변동의 특성 자동차 사이버보안 산업은 일반적인 경기변동에 따른 수요 변화의 영향을 상대적으로 적게 받는 산업입니다. 자동차 판매량의 증감이 일정 부분 영향을 미칠 수는 있으나, SDV로 전환이 가속화됨에 따라 차량 내 보안기능의 중요성은 경기 상황과 무관하게 지속적으로 강화되는 추세입니다. 특히 자동차 사이버보안은 차량 안전과 직결되는 필수 요건으로 인식되고 있어, 경제적 경기 사이클보다는 정부의 정책 방향과 규제 변화에 따라 산업 환경이 좌우되는 특성을 보입니다.

각국 정부가 자동차 사이버보안을 법제화하고, 완성차 제조사 및 부품 협력사에게 사이버보안 관리체계(CSMS)나 소프트웨어 업데이트 관리체계(SUMS) 인증을 의무화함에 따라, 관련 산업은 규제 대응과 인증 유지가 사업 운영의 핵심 요소로 작용하고 있습니다. 따라서 자동차 보안산업은 경기 변동보다는 각국의 규제 정책, 기술 표준의 제정 및 개정, 인증 제도의 강화 여부 등에 의해 사업성과 시장 성장성이 크게 영향을 받는 특성이 있습니다.

(4) 경쟁 현황(가) 경쟁 상황

현대 자동차 산업에서 사이버보안은 더 이상 선택이 아닌 필수입니다. 유럽을 시작으로 한국, 중국 등 많은 국가들이 자동차 사이버보안 관련 법규를 제정 및 시행하고 있습니다. 규제 요건 충족 및 인증 획득이 기업 생존의 기본 전제 조건이 된 것입니다.

사이버보안 규제 시장에서 인증은 시작에 불과하고, 지속적인 사이버보안 운영 관리가 핵심입니다. 기술 발전과 더불어 해킹 기술 역시 고도화되고 있어, 인증 획득을 위한 일회성 솔루션으로는 장기적인 보안을 유지할 수 없기 때문입니다. 그러나 거대한 공급망, 평균 15년의 제품 수명 주기라는 자동차 산업의 특수성으로 인해, 이러한 종합 관리 체계 구축에는 어려움이 존재합니다. 특히 부품 단위의 단편적 관점이나 일시적 접근으로는 전체 차량 시스템의 지속가능한 보안을 확보하기 어렵습니다.

이러한 산업 환경 속에서 글로벌 부품사들은 차량 사이버보안의 중요성을 인식하고 관련 투자를 적극적으로 확대하고 있으며, 국내에서도 정보보안 전문기업들이 본 분야로 사업을 확장하고 있습니다. 자동차 사이버보안은 임베디드 전장 시스템과 정보보안 기술이 융합된 고난이도 산업 분야로, 높은 기술 진입장벽과 빠르게 진화하는 위협 환경이 공존하는 시장입니다. 그러나 이러한 환경은 기술적 전문성과 문제해결 역량을 갖춘 기업에게는 새로운 성장의 기회이기도 합니다. 자동차와 보안 양 분야에서 융합적 전문성을 확보한 기업은 복잡한 기술 과제를 효과적으로 해결함으로써 시장 내 신뢰성과 경쟁우위를 강화하고, 장기적으로 산업 내 핵심 지위를 확립할 수 있을 것입니다.

(나) 회사의 경쟁력 자동차 산업은 광범위한 공급망과 평균 15년에 달하는 제품 수명 주기라는 특수성으로 인해 일반 IT 보안과는 차별화된 접근법이 요구됩니다. 자동차 E 아키텍처에 대한 높은 전문성을 가진 당사는 이러한 산업 특성을 고려하여, 전장 부품 수준의 보안을 넘어서 차량 전체 통신 시스템 및 기업 수준의 보안 체계까지 모두 아우르는 종합적 솔루션을 제공하고 있습니다. 이를 통해 기술적, 사업적 시너지를 극대화하며, 자동차 산업 전체 공급망 및 생애주기에 걸친 광범위한 규제 대응 업무 전반을 자체적으로 수행할 수 있는 독보적인 경쟁력을 확보하고 있습니다.이를 바탕으로 글로벌 자동차 제조사의 전사적 사이버보안 프로젝트에 대한 사이버보안 Tier 0.5 역할을 성공적으로 수행하며, 종합적인 컴플라이언스 역량을 입증했습니다. 국제 표준 및 법규에 대한 고객사의 요구사항을 모두 국제적 수준으로 만족시킨 것은 물론, 사이버보안에 대한 자동차 업계의 핵심 니즈와 도전과제인 '지속적인 운영관리' 및 '리소스 효율화'까지 해결하는 데 결정적인 역할을 했습니다.

이를 통해 해당 고객사는 자동차 사이버보안의 대표적인 국제 규제에 대해 모든 인증(CSMS, VTA, SUMS)을 조기에 획득했을 뿐만 아니라, 수백억 원 규모의 리소스 절감 효과를 달성할 수 있었습니다. 이는 당사의 접근 방식이 단순한 규제 준수를 넘어 비즈니스 가치 창출에도 기여함을 입증하는 사례를 보유하고 있습니다.

(5) 시장 관련 규제 등 현황

(가) 글로벌 자동차 사이버보안 규제 소프트웨어 중심 자동차(SDV)의 등장으로 차량의 사이버보안 취약점이 증가함에 따라 전 세계적으로 관련 규제가 활발히 제ㆍ개정되고 있습니다. 2020년, UNECE WP.29(유엔 유럽경제위원회 산하 국제 자동차 기준 조화 회의체)는 최초의 자동차 사이버보안 규제인 UNR155(UN Regulation No. 155, 유엔 규정 155호) 및 자동차 소프트웨어 업데이트에 관한 규제인 UNR156(UN Regulation No. 156, 유엔 규정 156호)을 채택하였고, 우리나라도 올해 2월, 「자동차관리법」 개정안을 통해 차량 사이버보안 및 소프트웨어 업데이트 관련 내용을 강화했습니다.

1) 국제 규제: UN R155 /156

UNR155의 주요 내용은 완성차 제작사가 CSMS(Cybersecurity Management System, 사이버보안 관리체계) 인증을 획득하고, 각 차종에 대해 이를 검증하는 VTA(Vehicle Type Approval, 형식승인)를 획득해야 한다는 것입니다.

CSMS는 자동차의 사이버 위협과 리스크를 관리하는 조직적인 프로세스/관리시스템을 의미하며, 이는 자동차 사이버보안 엔지니어링 국제 표준이자 CSMS를 구현하는 기준인 ISO/SAE21434에 기반하여 수립합니다. 완성차 제작사는 차량 개발부터 생산, 생산 이후의 단계까지 자동차 수명주기 전체에 걸쳐 CSMS를 수립한 것을 인증 받아야 합니다.

[유럽 UNR155 규제 타임라인]

출처: 언론보도

규제를 제정한 UNECE WP.29는 한국, 유럽, 북미, 아시아 등 68개 회원국(2024년 10월 기준)을 포함하며, EU 회원국(27개)은 이미 자동차 사이버보안에 대해 UN R155 규정을 채택하거나 자국 법령에 반영했습니다. 따라서 2022년 7월부터 EU에서 판매되는 모든 신규 차종은 해당 법규를 충족해야 하며, 2024년 7월부터는 생산ㆍ판매되는 모든 신차를 대상으로 규제 적용이 확대되었습니다. 즉, 앞으로 완성차 제작사들은 유럽에서 차량을 판매하기 위해 CSMS 및 VTA 인증을 반드시 획득해야 하는 실정입니다.

UNR156은 안전한 소프트웨어 업데이트 정책 및 프로세스를 다루는 규제입니다. UNR156을 준수하기 위해 완성차 제작사는 SUMS(Software Update Management System, 소프트웨어 업데이트 관리체계) 인증과 이에 따른 VTA(Vehicle Type Approval, 형식승인)를 획득해야 합니다. 차량 소프트웨어는 출시 이후에도 지속적인 업데이트가 진행되기에, 사이버보안과 마찬가지로 차량 수명주기 전체에 걸쳐 지속적인 영향도 추적 관리가 필수입니다.

2) 국내 규제: 자동차관리법 개정안 자동차관리법은 자동차의 효율적인 관리 및 자동차의 성능안전 확보를 목적으로 합니다. 자동차의 등록부터 안전기준, 자기인증, 제작 결함 시정 등을 포함합니다.

[자동차관리법 개정안 타인라인]

출처: 언론보도

이러한 자동차관리법의 개정안이 지난 2024년 2월 13일부로 공포되었습니다. 개정안의 핵심 내용은 사이버 공격 및 위협으로부터 자동차의 안전성을 확보해야 하며, 자동차 안전에 영향을 줄 수 있는 소프트웨어 업데이트 관리 제도를 마련해야 한다는 것입니다. 해당 규제는 신차의 경우 2025년 8월부터 시행되었으며, 기존 차의 경우 2027년 8월부터 시행됩니다.

[자동차관리법 개정안 내용(일부)]

출처: 국가법령정보센터

자동차관리법 개정안에 따르면, 사이버보안과 관련하여 완성차 제작사 및 수입 판매사는 CSMS에 대한 인증을 보유한 경우에만 국내에 자동차를 판매할 수 있음을 명기하고 있으며, 해당 인증이 취소된 경우에는 자동차 판매가 금지됩니다. 여기에서의 CSMS는 국토교통부를 통해 심사ㆍ발급된 인증서만 인정되기에, UNR155에 따른 CSMS를 보유한 경우에도 새로 취득해야 합니다.

또한 소프트웨어 업데이트와 관련하여 완성차 제작사는 안전기준과 관련된 기능의 소프트웨어를 업데이트 하는 경우 해당 정보를 국토교통부에 사전 통지해야 하며, 이를 준수하지 않을 시 위반 사항에 따라 벌칙 또는 과태료가 부과될 수 있습니다

3) 글로벌 규제 대응 현황

현재 일본은 EU와 같이 UNR155를 채택하여 시행 중이며, 미국 도로교통안전국은 2022년에 자동차 사이버보안에 관한 가이드라인을 업데이트했습니다. 미국의 경우 아직 관련 지침의 구속력은 없지만, 가이드라인 업데이트를 통해 전체 생태계에 대한 사이버보안 위협 완화의 긴급성을 강조했으며, 이외에도 중국 등 미국이 별도 지정한 위험국의 기술이 사용된 커넥티드카(Connected Car)에 대한 규제를 검토 중(2024년 10월 기준)입니다.

그럼에도 불구하고 중국은 미래 모빌리티 시장에서 선두를 달리고 있습니다. 2023년 5월, '자동차 정보 보안 기술 요구 사항'에 대한 공개 의견 청취를 실시하며 사이버보안 규제 논의를 본격화했습니다. 이후 UNRegulation No.155(차량 사이버보안 및 CSMS) 기준을 바탕으로 자국 내 법제화를 추진하고 있으며, 해당 유럽 규정은 2024년부터 신차 인증 요건에 단계적으로 적용되고 있습니다.

인도에서도 UNR155를 기반으로 한 사이버보안 정책 프레임워크를 수립 중이며, 2025년 이후 신규 승용차 및 상용차에 대한 규제 도입을 예고하고 있습니다. 이에 따라 주요 OEM들은 CSMS 구축 및 관련 인증 대응을 서두르고 있습니다.

또한, 유럽연합(EU)은 2024년 12월부터 사이버복원력법(CRA)을 공식 발효하며 규제 대상을 자동차를 넘어 디지털 요소가 포함된 모든 이동수단과 산업장비까지 확장하였습니다. 기존 UNR155/156과 달리 CRA는 농기계, 건설장비, 자율주행 로봇, 선박 등 비도로 차량도 규제 대상으로 포함해 범위를 넓혔습니다. 이는 유럽발(發) 자동차 사이버보안 규제가 다양한 모빌리티 산업으로 빠르게 확산되고 있음을 보여주며, 타 산업에도 유사한 규제 적용이 예상됩니다. 각국도 이에 발맞춰 제도화를 추진 중이며, 모빌리티 산업의 디지털 전환이 가속화됨에 따라, 보안 규제 또한 산업 전반의 핵심 요건으로 자리잡고 있습니다.

[전 세계 자동차 사이버보안 법제화 현황]

출처: 언론보도

이렇듯 전 세계적으로 자동차 사이버보안 및 소프트웨어 업데이트 관련 규제가 강화됨에 따라 글로벌 OEM 및 Tier사들은 국제 규제 인증 획득에 집중하고 있습니다. 메르세데스 벤츠(Mercedes-Benz), 폭스바겐(Volkswagen), 현대자동차ㆍ기아, KG모빌리티(KGM), LG 마그나(LG Magna), 카네비모빌리티(Kanavi Mobility) 등 주요 기업들은 CSMS 및 ISO/SAE21434 등 관련 인증을 이미 획득하여 글로벌 경쟁력을 강화했습니다.

OEM이 받아야 하는 CSMS 인증은 제어기 제조사들의 사이버보안 활동도 관리할 수 있어야 한다고 요구하기에, OEM은 Tier사에게 자동차 사이버보안 엔지니어링 국제 표준이자 CSMS를 구현하는 기준인 ISO/SAE21434 인증을 요청하는 경우가 있습니다. 따라서 글로벌 경쟁력 강화를 위해서는 제어기 개발사들 또한 ISO/SAE21434 인증을 갖추어야 합니다.

(나) 관련 국제 표준

1) ISO/SEA 21434 : 자동차 사이버보안 엔지니어링 국제 표준

ISO/SAE 21434는 자동차 전 생애주기에 걸쳐 사이버보안 리스크를 체계적으로 관리하도록 요구하는 국제표준으로, 특히 Tier1 및 Tier2 공급업체에 실질적인 영향을 미치는 규정입니다. UN R155는 완성차 제조사에게 CSMS 인증과 형식승인을 요구하지만, 이를 구현하기 위해서는 부품ㆍ제어기 공급사들이 21434 기반의 보안 활동을 이행해야만 하기 때문입니다.

실제로 OEM은 사이버보안 요구사항을 협력사에게 하달하고, 21434 준수 여부를 계약 조건 또는 납품 요건으로 설정하는 경우가 늘고 있습니다. 이에 따라 ECU, 통신 모듈, 소프트웨어 플랫폼을 공급하는 Tier사들은 보안 프로세스 수립, TARA(Threat Analysis and Risk Assessment) 수행, 개발 이력 추적 등 21434에 부합하는 역량을 갖춰야 합니다. 이는 단순한 보안 기술 적용을 넘어, 조직적이고 문서화된 보안 개발 체계를 요구한다는 점에서 진입장벽이 높습니다.

따라서 21434는 Tier사에게 있어 단순 '권고사항'이 아닌 사업 지속성과 수출 경쟁력 확보의 필수 요건으로 자리 잡고 있으며, 이미 국내외 주요 부품사는 이 표준에 기반한 인증을 획득하고 있습니다.

2) ISO 26262 : 자동차 전기ㆍ전자 시스템 기능 안전 국제표준

ISO 26262는 자동차 전기전자 시스템의 기능 안전을 다루는 표준으로, ISO/SAE 21434와 상호 보완 관계에 있습니다. 26262는 시스템이 고장 없이 정상 작동하는지(Safety)에 초점을 맞추며, 21434는 외부 위협으로부터 시스템이 보호되는지(Security)에 중점을 둡니다.

보안 기능이 차량의 운행 안정성에 영향을 주지 않아야 하며, Safety 요구사항과 충돌하는 상황을 방지하는 것이 핵심입니다. 예를 들어, 공격을 탐지하고 시스템을 중단시키는 IDS(침입탐지시스템)도, 긴급제동 기능 등 Safety 관련 기능을 방해해서는 안 됩니다.

이로 인해 사이버보안 요구사항은 Safety와 통합 고려되어야 하며, 보안 시나리오 설계 시 ASIL 수준과 기능 안전 분석을 함께 진행하는 통합 설계가 일반화되고 있습니다. 바. 중요한 신규사업에 관한 사항당사는 2025년 3월 개최된 정기주주총회를 통해 정관상 목적사업에 '정보통신공사업'을 추가하였습니다. 이는 차량용 소프트웨어 플랫폼 및 전장제어 관련 기술 내재화를 추진하는 과정에서, 차량 통신 네트워크 및 인프라 구축 역량을 확보하기 위한 목적입니다. 본 목적사업의 추가를 통해 당사는 차량 내외부 통신 시스템과 관련된 설계, 시공 및 유지보수 등 정보통신 인프라 구축사업까지 수행할 수 있는 법적 기반을 마련하였으며, 향후 전장제어 소프트웨어 및 차량 통합제어 시스템의 개발ㆍ양산 사업과의 연계를 강화할 계획입니다.당사는 주요 완성차 제조사 및 1차 협력사와 협업하여 파워트레인, 차체제어 등 차량 전장제어 소프트웨어 모듈 개발 프로젝트를 진행 중입니다. 일부 프로젝트는 시범 적용(파일럿 테스트) 단계에 있으며, 향후 차량 양산 일정에 맞추어 본격적인 납품이 예상됩니다. 본 신규사업은 단순한 소프트웨어 공급을 넘어, 기능안전 확보 및 차량 통합제어 등 미래차 핵심 기술 개발을 통한 사업영역 다각화와 경쟁력 제고를 목표로 하고 있습니다.