그리고 EU 전자 증거 규정(EU) 2023/1543 has applied directly across the participating Member States since 2026년 8월 18일. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.
귀사가 전자 통신, 호스팅, 클라우드, 소셜 네트워킹, 마켓플레이스, 도메인 또는 IP 번호 서비스를 EU 내 사용자에게 제공하는 경우, 본사가 유럽연합 외부에 있더라도 거의 확실하게 적용 대상에 포함됩니다. 이를 준수하지 않을 경우 최대 다음과 같은 벌금이 부과될 수 있습니다. 21조8천억 달러의 글로벌 연간 매출, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.
이 포괄적인 전자 증거 규정 준수 체크리스트 walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.
EU 전자 증거 규정이란 무엇인가요?
Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.
이 규정에는 두 가지 핵심 수단이 도입되었습니다. The European Production Order 는 공급자에게 지정된 전자 데이터를 생성하도록 강제하는 반면에 European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use 전자 코덱스, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.
전자 증거 규정의 적용 대상은 누구인가요?
이 규정은 의도적으로 광범위한 그물을 드리우고 있습니다. EU에 위치한 사용자에게 다음 서비스 중 하나를 제공하는 경우 귀하는 지정된 서비스 제공업체일 가능성이 높습니다:
- 전자 통신 서비스 - 전화, 메시징, 이메일, VoIP 및 번호와 무관한 대인 커뮤니케이션을 지원합니다.
- 인터넷 도메인 이름 및 IP 번호 지정 서비스 - 레지스트리, 등록기관, RIR, 개인정보 보호/프록시 서비스 및 DNS 공급업체를 포함합니다.
- 정보 사회 서비스 소셜 네트워크, 온라인 마켓플레이스, 협업 도구, 콘텐츠 플랫폼 등 데이터 저장이 중요한 요소로 작용하는 곳입니다.
- 클라우드 컴퓨팅 및 호스팅 제공업체 - IaaS, PaaS, SaaS, 관리형 호스팅 및 콘텐츠 전송 네트워크.
결정적으로, 범위는 “실질적인 연결” 테스트: if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).
전자 증거의 네 가지 범주
이 규정은 각각 다른 임계값과 안전장치가 있는 네 가지 데이터 범주를 구분합니다. 데이터 인벤토리와 공개 워크플로는 이를 정확하게 구분할 수 있어야 합니다:
- 구독자 데이터 - 신원, 연락처, 청구 정보 및 사용한 서비스 유형.
- 사용자 식별을 위한 목적으로만 요청된 데이터 — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
- 트래픽 데이터 (카테고리 2 제외) - 연결 로그, 타임스탬프, 소스/대상, 디바이스 식별자.
- 콘텐츠 데이터 - 통신, 저장된 파일, 메시지, 사진 및 문서의 실체.
가입자 및 신원 데이터는 모든 범죄 행위에 대해 요청될 수 있습니다. 트래픽 및 콘텐츠 데이터는 최소 3년 이상의 구금형에 처해질 수 있는 범죄 또는 규정된 심각한 사이버 범죄, 테러 및 아동 성학대 범죄에 대해 요청할 수 있습니다. 어떤 시스템이 어떤 범주의 데이터를 보유하고 있는지 매핑하는 것은 가장 중요하지만 종종 간과되는 준비 단계 중 하나입니다.
법적 및 조직적 준비
첫 번째 작업은 공식적인 범위 평가. 귀사의 서비스 중 어떤 서비스가 규정에 해당하는지, 그룹 내 어느 단체가 명령을 받을 것인지, 어느 회원국이 귀사의 “집행 국가” 역할을 할 것인지에 대한 근거를 문서로 작성하세요. 이 평가는 법률 고문 또는 DPO가 서명하고 매년 검토해야 합니다.
Next, designate one of your own EU establishments as the 지정 사업장 (if you are established in the EU) or appoint a 법정 대리인 in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the 독일 연방 사법 재판소(BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.
- 명명된 전자 증거 규정 준수 리드 법무, 보안, 엔지니어링 및 운영에 대한 교차 기능적 권한을 가지고 있습니다.
- 구축 또는 유지 전문 법률 지식 capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
- Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
- Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
- 업데이트 서비스 약관, 개인정보 취급방침 및 법 집행 지침 로 변경하여 새로운 프레임워크를 반영합니다.
기술 인프라 요구 사항
Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (전자 코덱스-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS 전자 증거 규정 준수 플랫폼 supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.
- 안전한 인입 인터페이스 — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
- 신원 및 주문 유효성 검사 - 디지털 서명, 발급 기관 자격 증명, 인증서 무결성 및 카테고리 정렬을 자동으로 확인합니다.
- 데이터 검색 및 추출 - 모든 관련 시스템에서 며칠이 아닌 몇 시간 내에 구독자, 식별, 트래픽 및 콘텐츠 데이터를 찾을 수 있는 툴을 제공합니다.
- Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
- 암호화된 전송 채널 — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
- 조작이 명백한 감사 추적 - 접수부터 전달까지 모든 작업에 대한 암호화 서명된 로그를 보관하여 증거 무결성 및 사후 검토를 지원합니다.
- 복원력 및 고가용성 - 연중무휴 24시간 8시간의 긴급 대응 기간을 충족할 수 있는 이중화 인프라를 갖추고 있습니다.
- 데이터 최소화 및 목적 제한 제어 - GDPR 5조에 따라 구체적으로 주문된 사항만 공개하도록 합니다.
운영 프로세스 및 응답 시간
규정은 다음을 부과합니다. 엄격하고 협상 불가능한 응답 기한 운영 모델의 설계를 주도해야 합니다:
- 표준 생산 주문: 데이터는 반드시 10일 영수증입니다.
- 긴급 생산 주문: 생명, 물리적 무결성 또는 중요 인프라에 대한 임박한 위협이 있는 경우, 데이터는 다음과 같이 전송되어야 합니다. 8시간.
- 보존 명령: 데이터를 보존해야 하는 경우 60일, 생산 주문 또는 MLA 요청이 있을 때까지 30일 더 연장할 수 있습니다.
이러한 기한을 맞추려면 단순한 기술뿐만 아니라 잘 문서화되고 연습된 프로세스가 필요합니다. 운영 플레이북에는 이러한 내용이 포함되어야 합니다:
- 연중무휴 24시간 접수 및 분류 당직 법률 및 엔지니어링 담당자가 상주하고 있습니다.
- 심각도 분류 긴급, 표준 및 보존 명령을 구분합니다.
- 에스컬레이션 경로 기본권 문제, 면책, 언론의 자유를 제기하는 명령 또는 발급 기관이 행동하는 것으로 보이는 경우 울트라 바이러스.
- 품질 보증 데이터가 환경을 떠나기 전에 네 가지 눈으로 검토합니다.
- 비용 상환 추적 국가 법률이 규정 준수 비용의 상환을 허용하는 경우.
- 탁상용 연습 1년에 최소 두 번 이상 비상 시나리오를 시뮬레이션합니다.
- 지속적인 교육 법무, 보안, 고객 지원 및 엔지니어링 직원에게 주문이 발생할 수 있습니다.
거부 사유 및 사용자 보호
The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.
GDPR, NIS2 및 DSA와의 상호 작용
전자 증거는 단독으로 존재하지 않습니다. 공개는 반드시 다음과 호환되어야 합니다. GDPR (적법성, 최소화, 처리 기록 및 DPIA 의무), 개인정보 처리방침(적법성, 최소화, 처리 기록 및 DPIA 의무)을 준수합니다. NIS2 지시문 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the 디지털 서비스법 (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.
규정 미준수에 대한 처벌
Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 공급업체의 전 세계 연간 총 매출액 중 2% in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.
A Practical 6-Month Remediation Roadmap
- 1-2개월 - 발견 및 격차 평가. 범위를 확인하고, 데이터를 매핑하고, 기존 법 집행 프로세스를 감사하고, 규정의 요구 사항에 대해 벤치마킹하세요.
- 2-3개월 - 법적 기반. 설립/대리인 지정, 국가 기관에 등록, 정책 확정 및 계약 업데이트.
- 3-4개월 - 기술 빌드. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
- 4~5개월 - 운영 준비. 대응팀을 모집 및 교육하고, 플레이북을 완성하고, 모의 훈련과 비상 훈련을 실시하세요.
- 6개월 - 보증. Independent compliance audit, board-level sign-off and a go-live rehearsal.
자주 묻는 질문
자세한 내용은 전용 전자 증거 FAQ.
EU 전자 증거 규정은 언제 적용되나요?
Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 2026년 8월 18일. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.
이 규정은 비유럽연합 서비스 제공업체에도 적용되나요?
예. 설립 지역에 관계없이 EU에서 서비스를 제공하는 모든 공급업체가 해당 범위에 포함됩니다. EU 외 공급자는 회원국에 법정 대리인을 지정하여 주문을 접수하고 처리해야 합니다.
긴급 마감 시간인 8시간을 놓치면 어떻게 되나요?
기한을 지키지 않으면 전 세계 연간 매출액의 최대 21조 8천억 달러에 달하는 행정 벌금이 부과되는 등 시행 국가의 관할 당국에 의한 강제 집행이 시작될 수 있습니다. 규정 준수를 위한 문서화되고 비례적인 노력과 지연의 원인에 대한 명확한 증거는 노출을 완화하는 데 필수적입니다.
데이터 요청이 있을 때 사용자에게 알릴 수 있나요?
No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.
ICS가 준비하는 데 도움이 되는 방법
내부적으로 연중무휴 24시간 준비 상태를 유지할 수 없거나 프로그램이 조사를 견딜 수 있다는 독립적인 보증이 필요한 경우, ICS는 완전한 전자 증거 규정 준수 평가 및 관리 운영 서비스. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.
지금 ICS에 문의하세요 를 클릭하여 전자 증거 준비도 평가를 예약하십시오. and put a clear, defensible remediation plan in place.
