2029년에 실시되는 감사를 상상해 보십시오. 한 고객이 귀사의 공급망을 감사하도록 의뢰했고, 감사관이 귀사의 제품 여권이 어떤 규정에 따라 작성되었는지 묻습니다. 타당한 답변은 그 이후로 변하지 않은 것입니다. 즉, 당시와 동일한 표준, 동일한 개정판, 동일한 검사 절차에 따라 작성되었다는 것입니다.
얼마 전까지만 해도 이런 답변은 존재하지 않았습니다. 패스를 작성하는 사람은 초안을 바탕으로 작업했고, 새로운 개정판이 나올 때마다 목표가 달라질 수 있었습니다. 2026년 7월부터는 해당 문구가 확정되었습니다.
이 기사에서는 이것이 귀사에 어떤 의미를 지니는지, 8가지 표준 중 어떤 것들이 확정되었는지, 그리고 각 표준이 무엇을 요구하는지 설명합니다. 또한 Transpareo가 현재 각 표준을 어떻게 충족하고 있는지 표준별로 보여줍니다.
2026년 10월 19일 업데이트: EN 18246 및 EN 18239는 최종 유럽 표준으로 발표되었으나, 여전히 관보에 인용되지 않고 있습니다. 이에 따라 해당 두 표준에 관한 섹션을 수정하였으며, 당사가 부분적으로만 충족하는 사항을 명시했습니다.
“조화”란 무엇을 의미하는가
2026년 7월 15일, EU는 이행 결정 (EU) 2026/1736. 그 이후로 이 표준들은 조화되었습니다. 이 용어는 기술적으로 들리지만, 두 가지 간단한 의미를 지닙니다.
첫째, 규정의 내용은 더 이상 변경되지 않습니다. 오늘 실시한 규정 준수 여부에 대한 검사는 내년에도 여전히 유효합니다.
둘째, 해당 기준을 충족하는 경우, 제품 여권의 근거가 되는 규정인 ESPR의 여권 요건을 준수한 것으로 간주되며, 이를 직접 입증할 필요가 없습니다. 다른 방법으로 이러한 요건을 충족할 수도 있지만, 그럴 경우 입증 책임은 귀하에게 있습니다.
문구가 확정되었으며, 이를 충족하는 자는 규정을 준수한 것으로 간주됩니다.
따라서 여러분에게 중요한 질문은 단 하나뿐입니다. 여러분이 패스를 맡기는 플랫폼이 이미 오늘날 이러한 표준을 충족하고 있는가? 저희 플랫폼은 충족합니다. 여기 표준별 증빙 자료가 있습니다.
식별자 및 데이터 캐리어: EN 18219 및 EN 18220
EN 18219 (고유 식별자). 각 패스에는 특정 서버에 속하지 않는 영구 식별자와 모든 스캐너가 인식할 수 있는 GS1 Digital Link 형식의 제품 식별자가 포함되어 있으며, 해당 제품의 제조사는 LEI 또는 GLN으로 기재되어 있습니다. 이 식별자는 도메인이나 제공업체가 사라지더라도 여전히 유효합니다.
EN 18220 (데이터 캐리어). 제품에 인쇄된 QR 코드는 별도의 앱이나 추가 소프트웨어 없이 모든 브라우저에서 바로 열립니다. 이 데이터 캐리어 표준이 요구하는 사항은 이미 현장에서 실천되고 있는 관행입니다.
저장 및 교환: EN 18221 및 EN 18216
EN 18221 (저장 및 보관). 공개된 모든 버전은 고정 및 서명 처리되며, EU 레지스트리에 등록되는 시점부터 Transpareo Vault 에 보관됩니다. 이 아카이브는 더 이상 내용을 변경할 수 없으며 장기 보관을 목적으로 설계되었습니다. 각 버전은 지문(fingerprint)을 통해 이전 버전과 연결되어 있으므로, 누락되거나 변경된 버전이 있으면 즉시 눈에 띕니다.
EN 18216 (데이터 교환). 당사는 표준에서 규정하는 데이터 형식을 일반적인 웹 프로토콜을 통해 제공합니다. 별도의 특수 형식이나 전용 컨테이너는 사용하지 않습니다.
데이터 모델 및 인터페이스: EN 18223 및 EN 18222
EN 18223 (데이터 모델). 이것이 바로 당사의 가장 큰 강점입니다. 당사의 데이터 모델은 개방형 구조로 되어 있으며, 각 규정에 대한 고유한 사전을 나란히 포함하고 있는데, 이는 바로 해당 표준의 서문에서 요구하는 바와 정확히 일치합니다. 각 요소는 속성, 사전, 데이터 유형에 대한 참조를 포함하여 스스로를 설명합니다. 우리는 시작 전에 조항별로 EN 18223을 충실히 반영했습니다. 이 표준은 우리에게 새로운 구축이 아닌 출력 형식일 뿐입니다. 구체적인 내용은 EN 18223: 왜 세 줄이 스무 줄이 되는가 에서 확인할 수 있습니다.
EN 18222 (인터페이스). 식별자나 제품 식별자를 통해 여권을 읽거나, 여권을 생성하거나, 개별적으로 또는 수천 개 단위로 일괄 처리하거나, 특정 버전을 선택적으로 불러오는 것: 이 표준이 여권 운영을 위해 규정하는 인터페이스들은 플랫폼의 일부입니다. 귀사의 시스템은 표준이 규정하는 대로 여권을 읽고 쓸 수 있습니다.
발행되었으나 아직 인용되지 않음: EN 18246 및 EN 18239
신뢰와 안전에 관한 두 가지 표준은 아직 인용되지 않았습니다. 두 표준 모두 2026년에 최종 유럽 표준(EN 18246:2026 및 EN 18239:2026)으로 발표되었으므로, 그 내용도 더 이상 변경되지 않습니다. 이 표준들이 요구하는 사항의 대부분은 현재 당사가 충족하고 있으며, 부분적으로만 충족하는 사항은 아래에 명시합니다.
EN 18246 (진위성 및 무결성). 게시된 모든 버전은 서명되어 있으며, 사용자의 브라우저에서 오프라인 상태로 공개 키를 통해 자체적으로 검증됩니다. 데이터가 무결한지, 누가 서명했는지는 독자가 당사에 별도로 문의할 필요 없이 확인할 수 있으며, 검증에는 비용이 들지 않습니다. 또한 ‘ Transpareo Proofchain ’을 통해 각 버전은 지문(fingerprint)을 통해 이전 버전과 연결되어 있으므로, 게시된 이력을 몰래 수정할 수 없습니다. 서명이 어떻게 작동하는지에 대한 내용은 DPP의 ‘서명 및 인증서’ 섹션에 설명되어 있습니다.
두 가지 사항이 부분적으로 이행되었습니다. 이 표준은 데이터를 제공하는 모든 이에게 신원 확인 절차를 거쳐 발급된 인증서를 사용한 서명을 요구하지만, 당사의 발급자 키는 해당 인증서 없이 발급자 자체 도메인에 저장되어 있습니다. 또한 이 표준은 첫 번째 초안부터 모든 변경 사항에 대해 부인할 수 없는 증명을 요구합니다. 당사는 공개된 모든 버전에 서명을 하지만, 초안의 변경 사항은 당사의 일반적인 감사 로그에 기록되어 있습니다.
EN 18239 (접근 권한 및 기밀성). 공개, 요청 시, 정당한 이익, 당국이라는 네 가지 접근 수준은 배터리 규정에서 명시한 대상자를 반영하며, 각 데이터 필드에는 고유한 수준이 지정되어 있습니다. 공개 데이터와 요청 시 제공되는 데이터는 로그인 없이 열람할 수 있으며, 정당한 이익에 따른 데이터는 귀하가 접근 권한을 부여한 접근 그룹에 속한 로그인한 사용자만 열람할 수 있습니다. 각 고객은 서로 분리되어 관리되며, 관공서에는 읽기 전용으로만 사용되는 별도의 검증된 채널이 제공됩니다.
여기서는 누가 무엇을 읽었는지에 대한 기록 기능이 부분적으로 구현되어 있습니다. 해당 표준은 통제 대상 데이터에 대한 모든 접근에 대해 위조 방지 로그를 요구하며, 데이터를 읽는 모든 사용자에게 전 세계적으로 고유한 식별자를 부여하도록 규정하고 있습니다. 당사는 당국의 각 접근을 개별적으로 기록하고, API 키를 통한 조회 건수는 시간당 집계로 기록합니다. 정당한 이해관계를 가진 로그인 사용자가 데이터를 열람하는 경우, 이는 기록되지 않으며, 당사의 감사 로그(Audit-Log)는 위조 방지 기능이 없습니다. 또한, 계정이나 API 키를 통해 식별된 열람자에 대해서는, 해당 키에 등록된 경우에만 전 세계적으로 고유한 식별자(GLN)가 부여됩니다.
이러한 각 항목은 여권 정보와 분리된 ‘신뢰 계층’에 포함되어 있으므로, 이미 발행된 여권을 수정하지 않고도 이를 추가할 수 있습니다.
현재 상황
중요한 것은 바로 이 대답입니다. 목표는 이미 정해졌으며, 우리 플랫폼은 그 목표를 달성합니다. 우리는 그 목표가 아직 유동적이었을 때 이를 함께 개발해 왔으며, 이제 목표가 확정된 만큼 사실상 변경할 사항이 거의 없습니다. 6개의 조화 표준은 현재 이미 충족하고 있습니다. 다음 두 가지 표준 중 대부분은 현재 충족하고 있으며, 아직 부분적으로만 이행된 사항은 상단에 명시되어 있습니다.
지금 시작하는 분들은 더 이상 변동하는 설계에 맞춰 개발하는 것이 아니라, 확고한 목표와 그 목표를 위한 표준을 지원하는 플랫폼을 기반으로 개발하게 됩니다.
귀사의 제품에 적용되는 기한은 해당 업계의 규정에 따라 달라집니다. 업계별 세부 사항은 당사의 업계 참고 자료에 수록되어 있으며, 배터리의 경우 ESPR 2027 일정에 자세히 명시되어 있습니다. 표준은 이미 마련되어 있습니다. 우리도 준비가 되어 있습니다.
이 게시물에 대한 질문
이 여섯 가지 기준은 의무 사항인가요?
아니요. 조화 표준은 규정 준수를 위한 수단일 뿐, 그 자체로 의무는 아닙니다. 이 표준을 충족하는 경우 ESPR의 여권 관련 요건을 준수한 것으로 간주되지만, 다른 방법으로 적합성을 입증할 수도 있습니다. 2026년 7월 15일부터는 규정 본문 자체가 구속력을 갖게 됩니다. 이행 결정 (EU) 2026/1736은 6가지 표준을 명시하고 있으므로, 여러분이 개발 과정에서 목표로 삼아야 할 기준은 더 이상 변동되지 않습니다.
규정을 준수하는 것으로 인정받는 것이 우리에게 실질적으로 어떤 이점이 있나요?
이는 증명 책임을 뒤집는 것입니다. 관련 표준이 없다면, 시장감시당국에 대해 식별자, 데이터 캐리어, 저장 방식 및 인터페이스가 ESPR의 여권 요건을 충족한다는 사실을 자체적으로 입증해야 합니다. 표준이 있다면, 누구도 반박하지 않는 한 해당 표준을 인용하는 것만으로도 충분합니다. 이는 여권을 설계한 사람이 회사를 떠난 지 수년이 지난 후, 감사 과정에서 상황이 가장 맞지 않을 때야말로 가장 중요한 의미를 갖습니다.
그 규격서를 꼭 사서 읽어야 하나요?
무엇을 요구하는지 알아야 합니다. 구매할지 여부는 별개의 문제입니다. 이 여섯 가지 표준은 식별자(EN 18219), 데이터 캐리어(EN 18220), 저장 및 아카이빙(EN 18221), 데이터 교환 (EN 18216), 데이터 모델(EN 18223) 및 인터페이스(EN 18222)를 다루며, 이 모든 것은 귀하의 여권이 저장된 플랫폼에서 구현되는 사항들이지, 제품별로 직접 입력해야 하는 필드가 아닙니다. 패스 저장소를 직접 구축하신다면, 해당 표준을 읽어보시기 바랍니다. 직접 구축하지 않는다면, 대신 공급업체로부터 각 조항별 적용 내용을 제시받으시기 바랍니다.
아직 인용되지 않은 두 가지 규격은 어떻게 되는 건가요?
진위성 및 무결성에 관한 EN 18246과 접근 권한 및 기밀성에 관한 EN 18239는 2026년에 최종 유럽 표준으로 발표되었으나, 아직 인용된 바 없습니다. 따라서 이 표준을 충족한다고 해서 자동으로 규정을 준수한 것으로 간주되지는 않습니다. 공개 키를 통해 자체 검증이 가능한 서명된 패스, 게시된 버전의 변경 불가능한 이력 , 그리고 배터리 규정에서 명시한 수신자에 상응하는 접근 수준을 통해 이미 지금부터 이를 충족하는 것은 귀사의 선택에 달려 있습니다. Transpareo는 현재 두 표준의 대부분을 구현하고 있으며, 본 글에서는 아직 부분적으로만 구현된 사항들을 언급하고 있습니다. 여기에는 모든 읽기 접근에 대한 위조 방지 프로토콜과 인증서가 포함된 발급자 키 등이 포함됩니다.
소환장 발부 전에 발행된 여권은 재발급받아야 합니까?
아니요. 인용으로 인해 텍스트의 상태가 변경되었을 뿐, ESPR이 여권에 요구하는 기준은 변하지 않았습니다. 이전에 해당 기준을 충족했던 여권은 여전히 그 기준을 충족합니다. 달라지는 것은 예측 가능성입니다. 오늘 실시한 누락 점검 결과는 다음 초안 버전이 나오면 무효화되지 않고 계속 유효합니다. 만약 누락 사항이 발견되면, 수정된 내용은 서명된 새 버전으로 제공되며, 이전 버전은 계속 조회할 수 있습니다.
규격 준수가 우리가 EU 레지스트리에 대비가 되어 있다는 뜻인가요?
두 가지가 중첩되기는 하지만, 서로 다른 의무입니다. 표준은 패스의 식별, 저장, 교환 및 판독 방식을 규정하는 반면, 등록부는 eIDAS를 통해 검증된 신원 하에 패스의 존재를 등록하고 해당 기록을 10년간 유지하도록 요구합니다. 현재 귀사는 직접 등록 절차를 진행하고 있습니다. 등록부에서는 아직 서비스 제공업체의 접근 권한을 허용하지 않고 있습니다. 표준화 작업을 통해 식별자, 주소, 지문 정보가 이미 존재하게 되므로 등록 절차가 간소화됩니다.
공급업체의 주장은 어떻게 검증하나요?
그림을 조항별로 하나씩 보여달라고 요청하고, 이에 대한 증빙 자료, 패스의 식별자, 공급자에게 문의하지 않고도 확인할 수 있는 서명된 버전, 이전 버전이 담긴 아카이브, 그리고 식별자를 통해 패스를 읽어내는 인터페이스도 함께 요청하십시오. “표준을 지지한다”고 말하면서도 구체적인 조항을 하나도 언급하지 못하는 사람은 그저 마케팅용 구호를 늘어놓는 것에 불과합니다. 이 글에는 각 표준별로 도식이 수록되어 있으며, 모든 Transpareo 패스는 오픈소스인 Transpareo Time Machine을 통해 독립적으로 검증할 수 있습니다.
