미국 커넥티드카 규제 2027 모델연도: VCS·ADS 공급망에서 먼저 확인할 문서

핵심 결론

미국 시장에 들어가는 차량 프로그램을 운영한다면, 2027 모델연도라는 숫자부터 정확히 나눠 봐야 해요. 이 시점에 먼저 걸리는 것은 모든 전장부품이 아니라 VCS·ADS covered software와 중국·러시아의 소유·통제·관할·지시를 받는 커넥티드카 제조자 관련 제한입니다.

VCS 하드웨어는 별도 일정입니다. BIS의 커넥티드카 규제 개요는 VCS 하드웨어 제한을 2030 모델연도, 모델연도가 없는 부품은 2029년 1월 1일 기준으로 설명합니다.

한국 완성차·전장·통신모듈·소프트웨어 협력사는 특정 국가명을 기준으로 공급망을 일괄 배제하기보다, 차량별·부품별·소프트웨어별로 설계, 개발, 제조, 공급 주체와 그 주체가 중국 또는 러시아의 소유·통제·관할·지시를 받는지 여부를 문서화하는 작업을 우선적으로 고려해야 합니다.

무엇이 바뀌었나

BIS는 2025년 1월 14일 커넥티드카 관련 최종 규칙을 발표했고, 이 규칙은 2025년 3월 17일 발효됐습니다. BIS 개요에 따르면 적용 대상은 총중량 10,001파운드 미만 차량 시장의 커넥티드카, 관련 VCS 하드웨어, VCS·ADS covered software, 그리고 중국 또는 러시아와 충분한 관련성이 있는 제조자입니다.

OICTS의 최종 규칙 자료는 이 규칙의 목적을 중국 또는 러시아의 소유·통제·관할·지시를 받는 사람이 설계, 개발, 제조, 공급한 커넥티드카 기술에서 생기는 국가안보 위험을 줄이는 것으로 설명합니다. 심사에서 차량 데이터 유출, 원격 조작 또는 운용, 외국 적대국 관여 정도가 고려될 수 있다는 점도 실무적으로 봐야 합니다.

적용 시점은 소프트웨어와 하드웨어가 다르다

구분	BIS/OICTS가 제시한 적용 축	실무상 먼저 볼 항목
2027 모델연도	중국·러시아의 소유·통제·관할·지시를 받는 커넥티드카 제조자의 미국 내 판매 제한, 그리고 해당 nexus가 있는 VCS·ADS covered software를 포함한 완성 커넥티드카의 수입·판매 제한	차량별 VCS 소프트웨어, ADS 소프트웨어, 제조자 지배관계, 공급자 진술
2030 모델연도	중국·러시아 nexus가 있는 VCS 하드웨어의 미국 수입 제한	통신모듈, 텔레매틱스 장치 등 VCS 하드웨어의 HBOM과 제조·공급 주체
2029년 1월 1일	모델연도가 없는 VCS 하드웨어 부품에 대한 기준 시점	부품 단위 납품, 애프터마켓 또는 모델연도 관리가 어려운 하드웨어 거래

이 표에서 핵심은 2027이라는 숫자를 모든 부품의 전면 금지 시점으로 읽지 않는 것입니다. 2027 모델연도는 covered software와 제조자 제한의 실무 마감선에 가깝고, VCS 하드웨어는 2030 모델연도 또는 2029년 1월 1일 기준을 따로 관리해야 합니다.

VCS와 ADS를 먼저 구분해야 한다

OICTS 자료는 VCS를 450MHz 초과 대역에서 차량 외부 통신을 가능하게 하는 하드웨어 또는 소프트웨어로 설명합니다. 다만 자동차 센싱 전용 항목, 차량 접근을 위한 초광대역, 단방향 무선주파수 대역, 전력 관리·공급 전용 항목은 제외된다고 설명합니다.

ADS는 SAE J3016 기준 L3 이상 시스템을 직접 가능하게 하는 소프트웨어로 설명돼요. 운행설계영역이 넓은지 좁은지보다, L3 이상 기능을 직접 가능하게 하는지가 판단의 출발점입니다.

분류	범위 판단	문서화 포인트
VCS 하드웨어	450MHz 초과 대역의 차량 외부 통신을 가능하게 하는 하드웨어	HBOM, 제조자, 공급자, 제3자 제조계약, 수입 기록
VCS 소프트웨어	차량 외부 통신 기능을 가능하게 하는 소프트웨어	SBOM, 개발 주체, 운영·유지보수 계약, 클라우드 관리 보안 기준
ADS 소프트웨어	SAE J3016 기준 L3 이상 시스템을 직접 가능하게 하는 소프트웨어	SBOM, 개발·공급 주체, 기능 범위, 운영·유지보수 계약
제외 가능성이 있는 항목	센싱 전용, 차량 접근용 초광대역, 단방향 RF, 전력 관리·공급 전용 항목	왜 VCS가 아닌지 설명하는 기술 사양과 공급자 확인

조달 단계에서 흔히 생기는 오류는 통신모듈이라는 제품명만 보고 판단하거나, 반대로 차량 전자부품 전체를 같은 위험군으로 묶는 것입니다. 이 규칙에서는 기능, 주체, nexus, 거래 형태를 함께 봐야 합니다.

PRC/Russia nexus는 원산지 라벨보다 넓다

OICTS 자료의 표현은 ‘owned by, controlled by, or subject to the jurisdiction or direction of the PRC or Russia’입니다. 한국어 실무 문서에서는 중국 또는 러시아의 소유, 통제, 관할, 지시를 받는 주체로 옮겨 볼 수 있습니다.

Declarations of Conformity에서 요구되는 인증 문구도 이 지점과 연결됩니다. VCS 하드웨어 또는 covered software가 해당 주체에 의해 설계, 개발, 제조, 공급되지 않았다는 점, 그리고 그 인증을 뒷받침하는 적절한 실사가 수행됐다는 점이 필요합니다.

확인 질문	필요한 근거
이 부품 또는 소프트웨어가 VCS 하드웨어, VCS 소프트웨어, ADS 소프트웨어 중 어디에 해당하는가	기술 사양서, 기능 설명서, 차량 적용 범위
설계·개발·제조·공급 주체는 누구인가	공급자 진술, 계약서, 제조계약, 라이선스·협업 계약
해당 주체가 중국 또는 러시아의 소유·통제·관할·지시를 받는가	지배구조 자료, 합작계약, 정관, 투자자 권리 계약
적합성 선언 또는 승인 신청 시 공급업체 문서를 BIS에 제출할 수 있는가	계약상 문서 제공 의무, 감사권, 최신 HBOM·SBOM 제공 조항

단순히 최종 구매처가 한국, 미국, 유럽 기업인지 보는 것만으로는 부족할 수 있습니다. 설계·개발·제조·공급에 관여한 주체와 그 지배관계를 따라가야 하거든요.

Declarations of Conformity에서 요구되는 것

BIS 개요는 금지 거래에 해당하지 않는 VCS 하드웨어 또는 covered software 거래를 하는 수입자와 제조자가 매년 Declarations of Conformity를 제출해야 한다고 설명합니다. OICTS 자료는 금지 거래는 아니지만 foreign interest가 있는 경우, VCS 하드웨어 수입 또는 covered software가 포함된 완성 커넥티드카의 미국 내 수입·판매 최소 60일 전 제출하고 이후 매년 제출해야 한다고 설명합니다.

적합성 선언에는 거래 정보가 들어갑니다. 차량의 make/model이 해당되면 이 정보도 포함됩니다. 선언자는 VCS 하드웨어 또는 covered software가 중국·러시아 nexus가 있는 주체에 의해 설계, 개발, 제조, 공급되지 않았다는 점, 이를 뒷받침하는 적절한 실사를 했다는 점, 필요한 공급업체 문서를 OICTS 요청 시 제공할 수 있도록 가능한 조치를 했다는 점을 인증해야 합니다.

OICTS 자료는 적합성 선언 제출 후 거래 진행을 위해 별도 응답을 기다릴 필요는 없다고 설명합니다. 기존 선언이 계속 정확하다면 새 모델연도를 기존 선언과 연결하는 정확성 확인을 제출할 수도 있습니다. 반대로 general authorization에 의해 허용되는 거래는 적합성 선언 제출이 필요 없다고 설명합니다.

공급계약에 반영할 문서 체크포인트

OICTS 자료는 specific authorization 신청 때 제출을 고려할 수 있는 자료 예시를 제시합니다. 이 목록은 금지 거래 승인 신청에만 의미가 있는 것이 아니라, 일반 조달·계약 단계에서 어떤 증빙을 미리 확보해야 하는지 보여주는 실무 기준으로도 쓸 수 있습니다.

문서 묶음	예시	계약·조달 체크포인트
소유·지배구조	합작계약, 정관, 투자자 권리 계약	공급자가 지배구조 변경, 투자자 권리 변경, 합작관계 변경을 통지하도록 정한다
제조 배경	라이선스·협업 계약, 제3자 제조계약, HBOM	실제 제조·공급 주체와 하위 공급자를 부품번호 단위로 추적한다
실사 자료	기술통제계획, 공급자 또는 내부 감사, 위험평가, 내부 컴플라이언스 정책	공급자 감사권과 위험평가 갱신 주기를 계약에 반영한다
소프트웨어 개발·관리	클라우드 관리 보안 기준, 운영·유지보수 서비스 계약, SBOM	개발·운영·업데이트 주체와 원격 접근 권한을 문서화한다
거래 정보	make/model, 거래 당사자, 적용 차량	모델연도 변경 시 기존 선언으로 충분한지 또는 새 선언이 필요한지 관리한다

특히 SBOM과 HBOM은 단순 목록 제출을 넘어 변경관리와 연결돼야 합니다. 2027 모델연도 차량의 covered software가 규제 판단의 앞단에 놓이기 때문에, 소프트웨어 업데이트, 운영·유지보수 계약, 클라우드 관리 권한이 공급자 변경 없이 계속 유지되는지도 확인해야 해요.

금지 거래라면 Specific Authorization 또는 General Authorization을 검토한다

OICTS 자료는 VCS 하드웨어 수입자 또는 커넥티드카 제조자가 금지 거래에 해당하는 거래를 하려면 specific authorization 신청을 제출하고 결정을 기다려야 한다고 설명합니다. OICTS는 접수 후 90일 안에 결정한다고 설명하지만, 그 기간 안에 추가 시간이 필요하다고 통지할 수 있습니다.

신청에는 거래 당사자 식별 정보, 차량 make/model을 포함한 거래 정보, 중국·러시아 nexus의 성격, 내부통제와 보안 기준이 포함됩니다. OICTS는 사건별로 위험과 완화조치를 심사하며, 완화조건으로 이사회 결의, ICTS 컴플라이언스 담당자, 지배구조·소유권 standstill, 공급망 평가, 재고 공개, 중국·러시아 기업과의 기술협력 제한, 보안정책, 제3자 감사와 모니터, 접근·검사, 연례 보고 등을 둘 수 있다고 설명합니다.

General authorization은 OICTS 웹사이트와 Federal Register에 공지되는 방식의 광범위한 허용 장치입니다. 다만 OICTS가 일반허가 대상이 아니라고 통지했거나, 당사자가 중국 또는 러시아의 소유·통제·관할·지시를 받는 경우에는 일반허가를 사용할 수 없다고 설명합니다. General authorization에 따른 거래는 계약, 수입 기록, 상업송장, 매매서류, 기업 정책 문서, 제3자 보고서 등 primary business records를 10년간 보관해야 합니다.

판단이 애매할 때는 Advisory Opinion이 별도 경로다

거래가 금지 또는 요건 적용 대상인지 불명확하면 OICTS에 Advisory Opinion을 요청할 수 있습니다. OICTS 자료는 원 요청일로부터 60일 안에 의견을 낸다고 설명하지만, 그 기간 안에 연장이 필요하다고 통지할 수 있습니다.

Advisory Opinion 요청에는 예상 거래 당사자 정보, VCS 하드웨어 또는 covered software 정보, 설명자료·브로셔·기술 사양, 기타 거래 정보가 포함됩니다. 차량 make/model이 해당되면 이 정보도 함께 들어갑니다.

일반 질문과 공식 Advisory Opinion 요청은 구분됩니다. OICTS는 산업계가 웹사이트 업데이트를 주기적으로 확인해야 한다고 설명하므로, 애매한 거래는 내부 해석만으로 닫기보다 공식 경로와 문서 보관 기준을 함께 검토하는 편이 안전합니다.

한국 기업이 먼저 정리할 내부 표준

대미 판매 차량 또는 부품 공급망에 걸친 기업이라면 다음 네 가지 표를 기준으로 내부 표준을 정리하는 것이 효과적인 출발점이 될 수 있습니다.

첫째, 차량·부품·소프트웨어 분류표입니다. 각 항목을 VCS 하드웨어, VCS 소프트웨어, ADS 소프트웨어, 제외 가능 항목으로 나누고 판단 근거가 되는 기술 사양을 붙입니다.

둘째, 공급자 nexus 표입니다. 설계, 개발, 제조, 공급 주체별로 중국·러시아의 소유·통제·관할·지시 관계를 확인하고, 그 근거 문서를 연결합니다.

셋째, 모델연도 적용표입니다. 2027 모델연도 소프트웨어 제한과 2030 모델연도 또는 2029년 1월 1일 VCS 하드웨어 제한을 분리해 차량 프로그램별 마감일을 관리합니다.

넷째, 제출·보관 문서표입니다. Declarations of Conformity, specific authorization, advisory opinion, general authorization 기록 보관에 필요한 문서를 구분합니다.

이 규제의 실무 난점은 금지 여부보다 증빙 가능성에 있습니다. 공급자가 ‘문제없다’고 말하는 것과, OICTS 요청 시 설계·개발·제조·공급 주체와 실사 근거를 제출할 수 있는 것은 다른 문제입니다.

2027 모델연도 대응은 법무 검토만으로 끝나기 어렵습니다. 구매·품질·소프트웨어·보안·영업 프로그램 관리가 같은 분류표와 같은 문서 목록을 보고 움직이는지부터 확인해보는 것이 현실적인 첫 단계입니다.