EU 에너지 전문가 그룹, 고위험 태양광 부품·소프트웨어 제한 권고

EU 스마트에너지전문가그룹(SEEG) 산하 사이버보안 실무반이 태양광 발전의 사이버보안 위험에 대응하기 위한 권고 보고서를 발표했다. 보고서 제목은 '태양광 발전의 사이버보안 위험 대응 권고'로, 2025~2026년 전문가 논의를 바탕으로 작성됐다.

보고서는 소규모 플러그인 태양광부터 주거용, 상업용, 산업용, 대규모 발전소에 이르기까지 태양광 시장 전체에서 사이버보안 위험이 높은 공급업체의 부품과 소프트웨어 사용을 제한할 것을 권고했다.

보고서는 세 가지 고위험군을 분류했다. 다수의 인버터에 연결된 제조사 플랫폼을 통한 공격, 국가 행위자의 영향을 받는 제조사가 삽입한 의도적 백도어, 대규모 태양광 발전소의 로컬 네트워크를 통한 공격이다.

또한 보고서는 인버터 제조사뿐 아니라 하드웨어와 소프트웨어 공급업체를 포함해 특히 심각한 사이버보안 위험을 초래하는 제3국 공급업체의 부품과 소프트웨어를 제한할 것을 권고했다. 다만 특정 국가나 기업을 고위험 공급업체로 지목하지는 않았다.

상업용 및 대규모 발전소에서는 제조사의 자동 펌웨어 업데이트를 제한하고, 자격을 갖춘 유지보수 운영자가 업데이트를 시험한 뒤 수동으로 적용하도록 하는 방안도 제안됐다. 아울러 인버터를 사이버복원력법(CRA)상 '중요 제품 등급 II'로 분류해 인증기관의 독립적 적합성 평가를 받도록 하는 권고도 담겼다.

배경

EU의 태양광 설비 용량은 2015년 86 GW에서 2025년 406 GW로 늘었고, 2030년에는 718 GW DC에 이를 것으로 전망된다. 태양광 장비 제조사의 상당수가 중국에 기반을 두고 있어 EU가 중국산 태양광 장비에 크게 의존하는 점은 보고서가 공급망 위험 우려로 언급한 사안이다. EU는 고위험 공급업체를 규정하기 위한 기준을 마련할 수 있는 사이버보안법 개정안을 제안한 상태이며, CRA의 주요 의무는 2027년 12월부터 적용될 예정이다.