ESMA, 2027년부터 암호화폐 자산 서비스 제공업체에 사이버 복원력 감독 확대

유럽증권시장청(ESMA)이 최신 디지털 금융 로드맵에 따라 2027년부터 암호화폐 자산 서비스 제공업체(CASP)로 사이버 복원력 감독 체계를 확대할 예정이다. 이번 확대는 2025년 1월 디지털운영복원력법(DORA) 시행 이후 전통 금융기관에 적용돼 온 운영 복원력 감독 기준을 CASP에도 동일하게 적용하는 것이다. ESMA의 이번 조치는 EU 규제당국이 암호화폐 플랫폼에 대한 사이버 위협을 국가별 관할 당국의 단독 감독이 아닌 직접적인 감독이 필요한 시스템적 위험으로 간주하고 있음을 시사한다. 2027년 시한은 CASP에 은행, 투자회사, 결제서비스 제공업체를 대상으로 ESMA가 이미 수립한 DORA 기대치에 맞춰 내부 보안 체계를 정비할 약 2년의 시간을 준다.

확대된 감독은 암호화폐시장규정(MiCA)에 따라 승인된 모든 암호화폐 자산 서비스 제공업체 활동을 포괄한다. 여기에는 고객을 대신한 암호화폐 자산의 보관 및 관리, 거래 플랫폼 운영, 암호화폐와 법정통화 간 교환 서비스, 제3자 대신 주문 실행이 포함된다. ESMA의 체계는 포트폴리오 관리 서비스, 전송 서비스, 암호화폐 자문을 제공하는 기업에도 적용되며, 사실상 EU에서 허가를 받은 모든 CASP가 직접적인 사이버 복원력 검사를 받게 된다.

업계 추산에 따르면 2027년 사이버 복원력 확대는 암호화폐 자산 서비스 제공업체에 상당한 추가 규제 준수 비용을 부과할 것으로 예상되지만, ESMA는 아직 구체적인 비용 전망이나 수정된 자본 요건을 발표하지 않았다. CASP는 고급 위협 탐지 시스템에 투자하고 정기적인 침투 테스트를 실시하며 ESMA의 기대치에 부합하는 포괄적인 사고 대응 매뉴얼을 유지해야 한다. 이러한 조치와 관련된 운영 비용은 대형 거래소와 수탁사가 이미 보유한 전담 보안 팀이 부족할 수 있는 소규모 CASP에 비례적으로 더 높을 것으로 예상된다.

EU 암호화폐 업계의 초기 반응에 따르면 주요 거래소와 수탁사는 전반적으로 규제 명확성을 환영하는 반면, 소규모 CASP는 운영 부담에 대한 우려를 표명하고 있다. EU에서 운영되는 여러 대형 암호화폐 플랫폼은 이미 2027년 시한에 대비해 DORA 기준에 맞춰 보안 체계를 정비하기 시작했으며, 조기 준수를 기관 고객 유치의 경쟁 우위로 보고 있다.