미국 커넥티드카 규제 2027 모델연도: 한국 부품사가 소프트웨어 공급망에 대비해 점검할 내부 문서화와 프로세스

핵심 결론

미국향 자동차 부품을 공급하는 국내 기업이라면, 2027년 모델연도 프로젝트의 설계 동결이나 소프트웨어 릴리스 계획을 이미 논의하고 있을 겁니다. 이때 ‘미국 커넥티드카 규제’를 단순히 ‘중국차 금지’ 정도로만 이해하고 넘어간다면, 예상치 못한 공급망 리스크에 직면할 수 있습니다. 특히 모델연도 2027부터 적용되는 소프트웨어 관련 규제에 대비해 한국 부품사가 어떤 내부 문서화와 프로세스를 점검해야 할지가 당면한 과제입니다. 미국 상무부 BIS의 최종 규칙은 단순히 법무팀의 문제가 아니라, 개발, 구매, 품질 관리 등 여러 부서가 함께 준비해야 할 실질적인 업무 변화를 요구하기 때문이죠. 한국 자동차 부품사나 전장·통신모듈 공급사가 지금 당장 확인해야 할 핵심은 세 가지입니다. 첫째, 우리 품목이 VCS(차량 통신 시스템) 또는 ADS(자동화된 주행 시스템) 범위에 해당하는지 내부적으로 명확히 분류해야 합니다. 둘째, 해당 소프트웨어가 ‘covered software’로 분류되는지 개발 및 품질 문서에서 확인하는 것이 중요해요. 셋째, 완성차 제조사나 미국 수입자가 적합성 선언(Declaration of Conformity)을 제출할 때, 우리 회사가 어떤 SBOM(소프트웨어 BOM), HBOM(하드웨어 BOM), 그리고 공급자 증빙 자료를 어떤 형식과 절차로 제공할지 미리 준비해두는 것이 필요합니다. 소프트웨어 관련 금지는 모델연도 2027부터 적용되므로, 2026년 하반기에 이미 미국향 프로젝트의 견적, 설계 동결, 공급자 승인, 소프트웨어 릴리스 계획을 다루고 있다면, 이 규칙이 납품 직전의 서류 문제를 넘어 개발, 구매, 품질 관리 문서의 구조 자체에 영향을 미칠 수 있다는 점을 간과해서는 안 됩니다.

규칙의 주요 내용: ‘누가, 무엇을, 언제’ 공급했는지

BIS는 2025년 1월 14일 최종 규칙을 발표했고, 연방관보의 최종 규칙은 2025년 3월 17일 발효일을 제시했습니다. 규칙은 15 CFR Part 791에 커넥티드 차량 관련 하위 규정을 추가하는 방식으로 정리되었어요.

규정에서 금지하는 대상은 크게 세 가지로 나눌 수 있습니다.

구분	핵심 내용	적용 시점
VCS 하드웨어	중국·러시아와 충분한 관련성이 있는 주체가 설계·개발·제조·공급한 VCS 하드웨어의 미국 수입 제한	모델연도 2030, 모델연도가 없는 단위는 2029년 1월 1일 기준
Covered software	중국·러시아와 충분한 관련성이 있는 주체가 설계·개발·제조·공급한 covered software가 들어간 완성 커넥티드 차량의 미국 수입·판매 제한	모델연도 2027
중국·러시아 관련 제조사 판매	중국·러시아와 충분한 관련성이 있는 제조사가 VCS 하드웨어 또는 covered software가 들어간 완성 커넥티드 차량을 미국에서 판매하는 행위 제한	모델연도 2027

단순히 ‘부품의 원산지’만 보는 것이 아닙니다. 규칙은 설계, 개발, 제조, 공급이라는 공급망 행위를 함께 보고 있어요. 그래서 한국에서 최종 조립했거나 한국 기업 명의로 납품하더라도, 특정 소프트웨어 모듈이나 통신모듈의 개발·공급 경로에 중국·러시아 관련성이 있다면 별도 확인 대상이 될 수 있습니다.

VCS와 ADS 분류가 먼저입니다

VCS는 차량이 외부와 통신하게 하는 시스템을 말합니다. BIS 발표는 텔레매틱스 제어장치, Bluetooth, cellular, satellite, Wi-Fi 모듈을 예로 들었죠. 연방관보 규정은 VCS를 450MHz 초과 무선 주파수 통신의 송신, 수신, 변환, 처리를 직접 가능하게 하는 차량 내 하드웨어 또는 소프트웨어 항목으로 설명합니다.

다만 모든 무선 관련 부품이 곧바로 VCS로 분류되는 것은 아닙니다. 최종 규칙은 자동차 센싱, 차량 접근을 위한 초광대역 통신, GNSS·위성라디오·AM/FM처럼 단방향 수신을 위한 항목, VCS 전원 공급·관리 항목을 VCS 정의에서 제외하는 식으로 경계를 두고 있어요.

ADS는 완성 커넥티드 차량의 전체 동적 운전 과제를 지속적으로 수행할 수 있는 하드웨어와 소프트웨어의 집합으로 정의됩니다. 특정 운행 설계 영역에 제한되는지와 무관하게, 자율주행 기능을 구성하는 시스템이라는 점이 핵심입니다.

실무적으로는 다음처럼 나눠 보는 편이 안전합니다.

납품 품목	먼저 확인할 질문
텔레매틱스 유닛, 셀룰러 모듈, Wi-Fi/Bluetooth 모듈	VCS 하드웨어에 해당하는가. FCC ID가 있는 부품이나 하위 부품이 있는가.
통신 기능을 구동하는 OS, 미들웨어, 애플리케이션	VCS 기능을 직접 가능하게 하는 covered software인가.
자율주행 스택, 주행 판단 관련 미들웨어·시스템 소프트웨어	ADS 기능을 직접 가능하게 하는 covered software인가.
브래킷, 패스너, 플라스틱, 수동 전자부품 등	VCS 통신 기능에 기여하지 않는 구성품으로 설명 가능한가.

제가 이 규칙을 내부 문서화 관점에서 본다면, 첫 문서는 ‘우리 제품은 자동차 부품’이라는 일반 설명이 아니라 ‘우리 제품은 VCS 하드웨어인지, VCS 관련 소프트웨어인지, ADS 관련 소프트웨어인지, 아니면 제외 항목인지’를 나누는 표가 될 거예요. 이 표가 명확하게 정의되어야 뒤의 SBOM, HBOM, 적합성 선언 문구가 모두 애매해지지 않습니다.

Covered software와 펌웨어의 차이

연방관보 최종 규칙은 covered software를 VCS 또는 ADS 기능을 차량 수준에서 직접 가능하게 하는 항목의 주 처리장치에서 실행되는 소프트웨어 기반 구성요소로 설명합니다. 여기에는 애플리케웨어, 미들웨어, 시스템 소프트웨어가 포함될 수 있어요.

반대로 covered software에서 제외되는 항목도 있습니다. 최종 규칙은 펌웨어를 제외한다고 설명하고 있습니다. 사람이 읽을 수 있는 전체 소스코드가 사용, 연구, 재사용, 수정, 개선, 재배포를 위해 제공되는 오픈소스 소프트웨어도 제외됩니다. 다만 오픈소스가 proprietary 목적으로 수정됐고 재배포 또는 공유되지 않은 경우에는 이 제외가 그대로 적용되지 않을 수 있으므로 주의해야 합니다.

또 하나의 경계는 2026년 3월 17일입니다. 최종 규칙은 그 전에 설계·개발·제조·공급된 소프트웨어 하위 구성요소가 이후 중국·러시아 관련 주체에 의해 유지, 보강, 변경되지 않는다면 covered software에서 제외된다고 설명해요.

이 대목은 실무에서 자주 놓치기 쉽습니다. ‘예전에 받은 라이브러리라 괜찮다’가 아니라, 그 소프트웨어가 언제 만들어졌고, 이후 누가 유지·변경했는지를 남겨야 합니다. 소프트웨어 BOM이 단순 파일 목록이 아니라 릴리스 이력과 공급자 이력을 품어야 하는 이유가 바로 여기에 있습니다.

Declaration of Conformity가 요구하는 문서 준비

Declaration of Conformity는 규정상 VCS hardware importer와 connected vehicle manufacturer가 BIS에 제출합니다. 한국 부품사가 직접 제출 주체가 아닐 수 있어도 안심할 문제는 아니에요. 선언을 제출하는 쪽은 하위 공급자에게 문서와 평가 자료를 요구할 수밖에 없을 겁니다.

VCS 하드웨어 선언에는 수입자 정보, FCC ID가 알려진 경우 해당 번호와 하위 구성품의 FCC ID, 해당 하드웨어가 들어갈 차량의 make와 model 정보, 중국·러시아 관련 주체가 설계·개발·제조·공급하지 않았다는 인증, 실사 수행과 HBOM 또는 기타 문서 보유 사실이 들어갑니다.

Covered software 선언에는 완성차의 make, model, trim, VIN series 정보와 함께, 해당 소프트웨어가 중국·러시아 관련 주체에 의해 설계·개발·제조·공급되지 않았다는 인증이 요구됩니다. 또한 SBOM 또는 기타 문서로 proprietary additions의 author name, timestamp, component name, supplier name을 최소한 식별할 수 있어야 해요.

한국 공급사 입장에서는 이 차이가 중요합니다.

문서	공급사가 준비할 현실적 포인트
HBOM	부품, 어셈블리, 컴포넌트의 공급망 관계와 제조자, 관련 펌웨어 정보를 추적합니다.
SBOM	proprietary additions의 작성자, 시점, 컴포넌트명, 공급자명을 추적합니다.
제3자 평가 자료	필요한 경우 누가 보관하고, BIS 요청 시 어떤 경로로 제공할지 정합니다.
계약 문구	기밀 정보가 포함된 경우 공급자가 직접 BIS에 제공할 수 있는 구조까지 정합니다.

특히 최종 규칙은 선언자가 필요한 문서와 평가 자료가 BIS 요청 시 제공될 수 있도록 계약상 또는 기타 방식으로 가능한 조치를 취했다는 인증을 요구합니다. 이 문구는 완성차사가 하위 공급계약에 그대로 내려보낼 가능성이 높아요. 납품계약에서 ‘규제 준수에 협조한다’는 일반 문장만으로는 부족할 수 있습니다.

2027년 전 한국 공급사가 확인할 다섯 가지 체크포인트

첫째, 내부 품목 분류 체계 점검이 필요합니다. 같은 전장 부품이라도 VCS 하드웨어, covered software, ADS 관련 소프트웨어, 범위 밖 품목의 문서 요구가 다릅니다. 영업 견적서의 제품군 이름보다 규정상 기능이 더 중요해요.

둘째, 중국·러시아 관련성 평가 기준을 명확히 하고 내부 증빙을 마련해야 합니다. 최종 규칙은 개인의 중국 또는 러시아 국적만으로 VCS 하드웨어나 covered software가 금지 대상이 된다고 보지는 않는다고 설명합니다. 따라서 쟁점은 개인 국적이 아니라 설계·개발·제조·공급 주체가 해당 국가의 소유, 통제, 관할 또는 지시를 받는지 여부에 더 가깝습니다.

셋째, 오픈소스와 독점 수정분을 구분하는 내부 관리 기준을 수립하는 것이 중요합니다. 오픈소스 자체가 제외될 수 있어도, 내부 수정분을 비공개로 유지했다면 covered software 판단에서 다른 문제가 생길 수 있어요. 개발팀이 보는 라이선스 관리표와 컴플라이언스팀이 보는 SBOM 요구사항을 맞춰야 합니다.

넷째, 소프트웨어 하위 구성요소의 이력 관리 시스템 구축을 고려해야 합니다. 2026년 3월 17일 이전 구성요소라도 이후 누가 유지·변경했는지에 따라 설명이 달라질 수 있거든요. 릴리스 노트, 공급자 변경 이력, 유지보수 계약 범위를 함께 보관하는 편이 낫습니다.

다섯째, 선언 제출 기한을 고려한 내부 일정 관리 및 협업 체계를 구축하는 것이 필요합니다. 최종 규칙은 covered software가 들어간 완성 커넥티드 차량의 첫 수입 또는 첫 판매 최소 60일 전, VCS 하드웨어의 첫 수입 최소 60일 전 선언 제출을 요구해요. 하위 공급사의 자료 지연은 완성차사의 선언 일정으로 바로 연결될 수 있습니다.

아직 남는 불확실성: 허가 절차와 상업용 차량

규칙 자체가 모든 거래를 일률적으로 금지하는 방식은 아닙니다. BIS는 일반 허가, 특정 허가, 자문 의견 절차를 두고 있어요. 특정 거래가 금지 범위에 들어가는지 애매하거나 위험 완화가 가능하다고 보는 경우, 규정은 특정 허가나 자문 의견을 통해 판단을 구할 수 있는 절차를 마련합니다.

또한 BIS 발표는 현재 규칙이 상업용 차량 공급망의 복잡성을 고려해 승용 차량, 즉 10,001파운드 미만 차량에 적용된다고 설명합니다. 동시에 트럭과 버스 등 커넥티드 상업용 차량의 기술에 대해서는 별도 규칙 제정을 의도한다고 밝혔어요. 상용차 부품사는 지금 당장 동일한 적용 시점으로 단정하기보다, VCS·ADS 문서 구조를 먼저 맞춰 두고 후속 규칙을 보는 쪽이 합리적입니다.

실질적인 내부 준비가 필요한 시점

이 규칙은 단순히 원산지 확인을 넘어, 특정 시스템의 소프트웨어와 하드웨어가 어떤 주체에 의해 설계, 개발, 제조, 공급되었는지를 투명하게 증명할 것을 요구합니다. 한국 공급사 입장에서는 납품 품목별로 VCS, ADS, covered software, VCS 하드웨어 여부를 명확히 분류하고, 각 품목에 대한 SBOM, HBOM, FCC ID, 공급자 증빙, 그리고 계약상 자료 제공 경로를 체계적으로 관리하는 시스템을 갖춰야 하는 실질적인 과제에 직면한 셈이죠. 이러한 내부 준비가 부족하면, 2027년 모델연도 소프트웨어 적용 시점에 완성차 제조사의 자료 요청에 즉각 대응하기 어렵고, 이는 납기 지연이나 승인 보류 같은 직접적인 비즈니스 리스크로 이어질 수 있습니다. 결국, 내부 프로세스 점검과 문서화 체계 구축은 이제 선택이 아니라 미국향 납품 계약을 유지하기 위한 핵심 조건이 되었다고 봐야 합니다.