NIST PQC 후보가 또 늘어난 이유: 2026 추가 서명 후보와 한국 시범전환을 함께 읽는 법

짧은 결론

NIST가 2026년 5월 14일 추가 디지털서명 후보 9개를 3라운드로 넘겼다는 소식은 “PQC 표준이 또 바뀌었다”는 뜻이 아니에요. 더 정확히는 이미 있는 서명 표준 포트폴리오에 앞으로 보강될 수 있는 후보군을 좁힌 사건입니다.

한국의 2026년 양자내성암호 시범전환 사업도 같은 선에서 읽으면 덜 헷갈립니다. NIST는 어떤 암호 알고리즘을 표준화할지 평가하고 있고, KISA 공고는 산업 인프라에서 양자내성암호 전환을 적용·검증하며 전환 모델과 제약조건을 확인하려는 단계입니다.

내가 이 사안을 읽을 때 가장 먼저 나누는 축은 세 가지예요. 첫째, 이미 표준 문서에 들어간 서명 표준. 둘째, 아직 평가 중인 추가 디지털서명 후보. 셋째, 실제 통신·인증·운영 인프라에서 전환 절차를 확인하는 시범전환입니다.

이 세 층을 섞으면 “후보가 늘었다”는 뉴스가 곧 “현장 도입 목록이 바뀌었다”는 이야기처럼 보입니다. 이번 이슈의 핵심은 후보 이름보다 그 구분에 있습니다.

무엇이 발표됐나

NIST는 추가 디지털서명 표준화 절차에서 9개 후보를 3라운드 평가 대상으로 선정했습니다. 후보 이름은 FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign, UOV입니다.

이번 발표의 배경에는 18개월 동안의 평가가 있었습니다. NIST IR 8610은 2라운드 평가 기준과 선정 과정을 설명하면서, 공개 피드백과 내부 검토를 바탕으로 9개 후보를 골랐다고 정리합니다.

여기서 중요한 표현은 ‘additional digital signatures’, 즉 추가 디지털서명입니다. 전체 PQC 표준화를 처음부터 다시 하는 절차가 아니라, 디지털서명 쪽 포트폴리오를 더 다양하게 만들기 위한 추가 절차라는 뜻이에요.

NIST 보고서는 최종적으로 선택되는 서명 방식이 FIPS 204, FIPS 205, FIPS 186-5, SP 800-208 같은 기존 서명 표준을 보강하는 위치에 놓인다고 설명합니다. “기존 표준을 폐기한다”보다 “선택지를 넓힌다”에 가까운 발표입니다.

왜 후보를 더 찾나

NIST IR 8610은 추가 디지털서명 공모가 2022년 7월에 시작됐다고 설명합니다. 이유는 포트폴리오 다양화입니다.

초기 포스트양자 표준이 강한 보안을 제공하더라도, 서명 방식 중 일부가 구조화된 격자 기반이라는 점 때문에 다른 수학적 가정에 기반한 일반 목적 서명, 짧은 서명, 빠른 검증에 최적화된 방식도 더 살펴보려는 겁니다.

이 대목은 보안 표준에서 자주 보이는 현실적인 판단이에요. 한 알고리즘이 유망하다고 해서 모든 환경의 답이 되지는 않습니다.

인증서처럼 크기와 검증 시간이 민감한 곳, 펌웨어 업데이트처럼 서명 검증이 반복되는 곳, 제약된 장비처럼 구현 비용이 중요한 곳은 서로 다른 병목을 가집니다. 그래서 알고리즘 평가는 “안전한가”만이 아니라 “어디에서 감당 가능한가”까지 함께 봐야 합니다.

NIST의 평가 기준도 이 점을 반영합니다. 보고서는 보안, 비용과 성능, 알고리즘 및 구현 특성을 기준으로 후보를 비교했다고 설명합니다. 비용과 성능에는 공개키·개인키·서명 크기, 키 생성·서명·검증 효율, 소프트웨어 메모리 요구량, 하드웨어 구현 비용 같은 요소가 포함됩니다.

따라서 이번 후보 증가는 “표준이 불안하니 다시 시작한다”는 신호라기보다, 표준화 기관이 장기적인 암호 생태계를 한 가지 계열에만 기대지 않으려는 움직임에 가깝습니다.

기존 표준, 추가 후보, 시범전환을 구분하기

구분	지금의 의미	조심할 오해
기존 서명 표준	NIST 보고서가 FIPS 204, FIPS 205 등으로 언급한 기존 표준 포트폴리오	추가 후보 발표가 기존 표준 폐기라는 오해
추가 디지털서명 후보	2026년 5월 3라운드로 넘어간 9개 평가 후보	후보 이름을 최종 표준처럼 받아들이는 오해
한국 시범전환	산업 IT 인프라에 PQC를 적용·검증해 전환 모델과 제약조건을 확인하는 사업	공고가 곧 특정 후보 알고리즘 도입 지침이라는 오해

이 구분이 필요한 이유는 표준화와 전환의 시간표가 다르기 때문입니다. 표준화는 알고리즘의 안전성, 성능, 구현 가능성, 분석 성숙도를 따집니다. 전환은 실제 시스템에서 인증서, 프로토콜, 라이브러리, 장비, 운영 절차가 어디서 막히는지를 봅니다.

보안 담당자 입장에서는 이 둘이 한 화면에 같이 뜹니다. “NIST 후보가 바뀌었다”는 뉴스와 “국내 시범전환 공고”가 동시에 보이면 당장 도입 결정을 내려야 할 것처럼 느껴질 수 있거든요.

하지만 이 출처들만 놓고 보면 2026년 5월의 핵심은 도입 명령이 아니라 해석의 분리입니다. 후보 평가는 후보 평가대로, 현장 전환 준비는 현장 전환 준비대로 읽어야 합니다.

NIST 3라운드에서 볼 지점

이번 3라운드는 후보 이름 자체보다 평가 방식이 더 중요합니다. NIST는 후보 팀이 사양이나 소스 코드의 문제를 반영해 수정본을 낼 수 있도록 했고, 해당 수정 제출 기한을 2026년 8월 14일로 제시했습니다.

다만 NIST는 일반적으로 비교적 작은 수정이 기대되며, 큰 변경은 해당 알고리즘이 아직 표준화에 충분히 성숙하지 않았다는 신호일 수 있다고 설명합니다. 후보가 라운드를 통과했다는 사실만으로 성숙도가 모두 같다고 보면 안 되는 이유입니다.

NIST 발표에 따르면 3단계 평가는 약 2년 정도 이어질 것으로 예상됩니다. 또 NIST는 2027년 늦봄 또는 초여름에 제7회 PQC 표준화 콘퍼런스를 열 계획이라고 밝혔습니다.

보고서에서는 2027년 상반기 콘퍼런스에서 3라운드 후보 제출팀이 업데이트된 알고리즘을 발표하도록 초청할 계획도 언급합니다. 이때 각 후보의 보안 분석, 구현 자료, 성능 비교가 더 선명해질 가능성이 있습니다.

여기서 독자가 볼 포인트는 네 가지입니다.

• 보안 주장이 더 넓은 암호학 커뮤니티 검토를 통과하는가
• 공개키와 서명 크기, 서명·검증 속도가 실제 환경에서 어떤 부담을 만드는가
• 제약된 플랫폼이나 하드웨어 구현에서 성능 자료가 더 쌓이는가
• 부채널 공격 대응, 상수 시간 구현, 라이선스와 지식재산권 같은 채택 장벽이 줄어드는가

특히 NIST 보고서는 TLS, SSH, IKE, IPsec, OCSP, DNSSEC 같은 인터넷 프로토콜과 인증서 투명성, 문서서명, 코드서명, 펌웨어 업데이트 같은 적용처를 언급합니다.

이 목록은 자기 조직의 전환 지도를 그릴 때 꽤 좋은 출발점이에요. 알고리즘 이름을 외우기보다 “우리 시스템에서 서명이 실제로 어디에 있나”를 먼저 찾는 편이 낫습니다.

한국의 2026년 시범전환은 무엇을 보려 하나

KISA 암호이용활성화 사이트에 올라온 2026년 양자내성암호 시범전환 사업 재공모는 2026년 3월 10일 공고됐습니다. 공고는 양자컴퓨터 기술 발전에 따른 기존 암호체계의 안전성 위협에 대비하기 위해 통신 분야 양자내성암호 시범전환 사업을 실시한다고 설명합니다.

공고의 사업 목적은 산업 분야의 현행 공개키 암호체계를 양자내성암호로 전환할 필요가 있다는 인식에서 출발합니다. 더 구체적으로는 산업 IT 인프라에 양자내성암호체계를 적용하고 기술을 검증해 전환 모델, 전환 방법과 절차, 제약조건, 고려사항 같은 데이터를 도출하는 것입니다.

사업 개요도 시범전환의 성격을 보여줍니다. 사업기간은 협약체결일부터 2026년 12월 15일까지로 제시됐고, 사업예산은 9억 원입니다. 신청 분야는 통신 분야 1개이며, 참여 방식은 주관기관, 참여기관, 수요기관 등으로 컨소시엄을 구성하는 형태입니다.

접수기간은 2026년 3월 10일부터 2026년 3월 23일 17시까지였습니다. 그래서 이 공고를 지금 읽는 실무자에게 더 유용한 지점은 신청 절차가 아니라, 사업이 어떤 문제를 전환 이슈로 본다는 점입니다. 전환 모델, 절차, 제약조건, 고려사항이라는 단어들이 핵심입니다.

한국 독자가 함께 읽어야 할 차이

NIST의 3라운드 후보 발표는 암호 알고리즘의 표준화 후보군을 좁히는 일입니다. KISA 시범전환 공고는 국내 산업 인프라에서 PQC 전환을 어떻게 적용하고 검증할지를 보는 일입니다.

한쪽은 후보 알고리즘의 성숙도를 봅니다. 다른 한쪽은 전환 현장의 마찰을 봅니다.

이 둘을 함께 읽으면 양자내성암호 전환의 실제 난점이 더 선명해져요. 암호 알고리즘은 수학적으로 안전해야 하지만, 그것만으로 전환이 끝나지는 않습니다.

공개키와 서명 크기가 커지면 인증서 체인, 네트워크 메시지, 장비 메모리, 검증 시간, 로그와 모니터링 방식이 영향을 받을 수 있습니다. NIST가 성능과 구현 특성을 평가 기준에 넣고, KISA가 절차와 제약조건을 도출하려는 이유가 여기에 있습니다.

현장에서는 작은 오해가 의사결정을 흐릴 수 있습니다. 예를 들어 “NIST 후보 9개가 나왔으니 이 중 하나를 골라야 한다”고 받아들이면 너무 빠릅니다.

반대로 “아직 후보 평가 중이니 아무 준비도 하지 않아도 된다”고 보면 전환 절차를 늦게 발견할 수 있습니다. 더 나은 읽기는 “후보 평가는 계속되고, 전환 준비는 인벤토리와 호환성 확인부터 시작된다”는 쪽입니다.

무엇이 아직 확정되지 않았나

이번 9개 후보는 최종 표준이 아닙니다. NIST는 3라운드 후보에 대해 추가 분석, 성능 자료, 구현 적합성 평가, 하드웨어 구현 자료 등을 원한다고 밝혔습니다.

일부 후보는 수정본 제출을 거칠 수 있고, 후보마다 보안 분석의 성숙도와 구현상의 난점도 다릅니다. 같은 3라운드 후보라고 해도 실제 채택 가능성과 적용 부담은 다르게 봐야 합니다.

한국 시범전환 공고 역시 결과 보고서가 아니라 참가기업 모집 공고입니다. 공고에서 확인할 수 있는 것은 사업의 목적, 기간, 예산, 분야, 지원 방식, 접수 절차, 유의사항입니다.

실제 어떤 전환 모델이 유효했는지, 어떤 제약조건이 가장 컸는지는 이 공고만으로 결론낼 수 없습니다. 이 사안을 읽을 때 출처의 성격을 구분해야 하는 이유입니다.

NIST 발표와 NIST IR 8610은 표준화 진행 상황을 알려주는 1차 기관 자료입니다. KISA 공고는 국내 시범전환 사업의 모집 자료입니다. 둘 다 중요하지만, 둘 다 “최종 도입 가이드”는 아닙니다.

다음 관찰 포인트

가장 가까운 관찰 지점은 2026년 8월 14일입니다. NIST IR 8610은 3라운드 후보 제출팀이 사양이나 소스 코드의 문제를 반영한 완전한 수정 제출 패키지를 이 날짜까지 낼 수 있다고 설명합니다.

이후에는 수정 폭이 작았는지, 보안 분석과 구현 자료가 얼마나 보강됐는지를 봐야 합니다. 큰 수정이 나왔다면 왜 필요했는지도 함께 따져보는 편이 좋습니다.

그다음은 2027년 상반기 NIST PQC 표준화 콘퍼런스입니다. NIST는 3라운드 후보 제출팀을 초청해 업데이트된 알고리즘을 발표하도록 할 계획이라고 밝혔습니다.

표준화가 실제로 어느 후보 쪽으로 수렴하는지, 어떤 후보가 더 긴 검토를 필요로 하는지는 이 과정에서 더 분명해질 가능성이 있습니다.

국내에서는 시범전환 사업이 애초에 보려 했던 항목을 따라가면 됩니다. 전환 모델, 방법, 절차, 제약조건, 고려사항이 실제 산업 인프라에서 어떻게 정리되는지가 핵심입니다.

읽는 순서 제안

이 주제를 처음 보는 독자라면 후보 이름부터 외우지 않아도 됩니다. 먼저 “양자내성암호는 양자컴퓨팅 환경에서도 안전하게 암호 기술을 이용할 수 있도록 하는 차세대 암호”라는 KISA 공고의 정의를 출발점으로 잡으면 됩니다.

그다음 공개키 암호체계가 어디에 쓰이는지, 그중 디지털서명이 맡는 역할이 무엇인지 확인해보세요. 인증서, 코드서명, 문서서명, 펌웨어 업데이트처럼 실제 시스템의 목록으로 바꿔 보면 훨씬 덜 추상적입니다.

그 후 NIST 발표를 읽으면 9개 후보의 의미가 달라집니다. 후보 목록은 결승선이 아니라 검토 목록입니다.

마지막으로 KISA 시범전환 공고를 보면, 표준화된 알고리즘이 있더라도 현장에서는 절차와 호환성, 제약조건을 따로 검증해야 한다는 점이 보입니다.

이번 뉴스의 핵심은 “후보가 또 늘었다”가 아닙니다. 더 정확한 문장은 “표준화 기관은 서명 알고리즘 포트폴리오를 넓히는 중이고, 국내 전환은 산업 인프라에서 그 적용 조건을 확인하는 단계에 들어갔다”에 가깝습니다.