Since 18 August 2026, the EU E-Evidence Regulation (Regulation (EU) 2023/1543) has fundamentally changed how digital service providers across Europe handle cross-border law enforcement requests for electronic evidence. Any company offering electronic communications, domain-name or IP-numbering services, or online services that let users communicate or store data in the EU must be prepared to respond to European Production Orders and European Preservation Orders — often within extremely tight deadlines.
현재 모든 범죄 수사의 절반 이상이 국경을 넘는 디지털 증거 요청과 관련되어 있는 상황에서 이 규정은 기존 법적 프레임워크의 중대한 공백을 해결합니다. 서비스 제공업체는 법적 의무와 기술적 요건을 모두 이해해야 막대한 벌금과 운영 중단을 피할 수 있습니다.
EU 전자 증거 규정이란 무엇인가요?
전자증거(E-Evidence) 패키지는 2023년 7월에 채택된 두 가지 법적 문서로 구성되어 있으며, 그 내용은 다음과 같습니다: 전자증거 규정 그리고 전자증거 지침. 이 두 가지는 형사 소송 절차에서 전자증거에 대한 국경을 초월한 접근을 위한 EU 전역의 통합된 틀을 마련합니다.
At its core are two new orders that work alongside, not instead of, the existing judicial-cooperation channels (the European Investigation Order, which can take up to 120 days, and mutual legal assistance, which takes about ten months on average).
European Production Order (transmitted as a European Production Order Certificate, EPOC): A judge, court or (for subscriber and user-identification data) a prosecutor in one Member State can order the designated establishment or legal representative of a provider in another Member State to produce electronic evidence. The provider must respond within 10 days, or within 8 hours in emergency cases.
European Preservation Order (transmitted as an EPOC-PR): A judicial authority can require a service provider to preserve specific data so that it is not deleted before a subsequent request for production (a European Production Order, an EIO or an MLA request) is issued. Preserved data must be retained for 60 days, extendable by a further 30 days, and for as long as necessary once the authority confirms that a production request has been issued.
The regulation entered into force on 17 August 2023. Member States had to transpose the Directive by 18 February 2026, and providers had to designate or appoint their addressee by 18 August 2026, the day the Regulation became applicable. Most Member States were late (in March 2026 the Commission opened infringement proceedings against 22 of them), which affects where and when orders can be served.
영향을 받는 대상은 누구인가요?
전자 증거 규정의 범위는 의도적으로 광범위합니다. 이 규정은 본사의 소재지와 관계없이 EU 내에서 디지털 서비스를 제공하는 모든 서비스 제공업체에 적용됩니다. 이 규정은 다음과 같은 범주의 서비스 제공업체를 정의합니다:
- 전자 통신 서비스 제공업체 - 유선, 모바일, 위성 사업자, VoIP 서비스, 이메일 제공업체, WhatsApp 및 Telegram과 같은 메시징 플랫폼을 포함합니다.
- 인터넷 도메인 이름 및 IP 번호 서비스 제공업체
- 기타 정보 사회 서비스 - 클라우드 컴퓨팅 제공업체, 메시징 기능이 있는 온라인 플랫폼(예: eBay, Vinted 또는 게임 플랫폼), 데이터 저장 또는 처리가 핵심 구성 요소인 모든 서비스를 포함합니다.
There is no size exemption. Small and micro-enterprises are equally subject to the regulation if they offer qualifying services in the EU, although providers established in and serving only one Member State do not need to designate an addressee under the Directive, and SMEs can use the free web-based interface (built by the Commission and offered by the Member State) instead of building their own connection. Indicators that a service targets the EU market include having an establishment in the EU, availability in national app stores, local advertising, or offering customer support in a member state language.
Every in-scope provider must name an addressee for orders: EU-established providers designate one of their establishments (a ‘designated establishment’), and providers established outside the EU appoint a 법정 대리인 in a Member State where they offer services (Directive (EU) 2023/1544). Each provider must also notify the addressee’s contact details and languages to the central authority of the Member State where the addressee is located (in Germany, the Federal Office of Justice).
어떤 데이터를 요청할 수 있나요?
The regulation distinguishes four categories of electronic evidence that can be requested. The regulation does not create any data-retention obligation; it covers only data you already hold when the order arrives.
- 구독자 데이터: 이름, 생년월일, 주소, 연락처, 서비스 유형 및 기간에 대한 세부 정보 등의 신원 정보
- Data requested for the sole purpose of identifying the user: IP addresses with source ports and timestamps, which are treated like subscriber data
- 트래픽 데이터: 메시지의 발신지와 수신지, 디바이스 위치, 형식 및 사용된 프로토콜을 포함한 서비스에 대한 메타데이터
- 콘텐츠 데이터: 문자 메시지, 이미지, 동영상 및 파일을 포함하여 서비스에 의해 저장되거나 처리되는 기타 모든 디지털 데이터
For traffic data (other than data requested only to identify the user) and content data, the issuing authority must also notify the enforcing authority of the Member State where your designated establishment or legal representative is located, unless the offence and the person concerned are both in the issuing State. In standard cases you transmit at the end of the 10-day period unless the enforcing authority raises a ground for refusal. In emergencies you still transmit within 8 hours, and the enforcing authority can object within 96 hours, after which the data may have to be deleted or used only under conditions.
기술 및 운영 과제
많은 서비스 제공업체에게 전자 증거 규정은 이전에 처리했던 것보다 훨씬 더 많은 운영 요건을 도입합니다. 긴급 상황의 경우 8시간이라는 촉박한 대응 기한으로 인해 서비스 제공업체는 첫 주문이 도착하기 전에 강력한 프로세스와 시스템을 갖추어야 합니다.
주요 기술 및 운영 과제는 다음과 같습니다:
- 신속한 주문 접수 및 유효성 검사: 공급업체는 구조화되고 표준화된 형식으로 들어오는 주문을 수신, 인증 및 검증할 수 있어야 합니다.
- 시간 압박에 시달리는 법적 평가: Each order needs a quick legal check: is it complete and correct, could immunities or privileges apply, or would it conflict with third-country law? Any of these must be reported to the issuing authority on the Annex III form within the deadline.
- 데이터 식별 및 추출: 요청된 데이터를 찾아서 추출하고 안전한 방식으로 전송할 수 있도록 준비해야 합니다.
- 안전한 커뮤니케이션 채널: Since 18 August 2026, communication must go through the EU’s decentralised IT system (built on e-CODEX). Providers connect through the national system of the Member State where their designated establishment or legal representative is located: either manually through the web-based interface or automatically through an API based on ETSI TS 104 144. Most Member States are not yet connected: on 29 September 2026 the Commission listed only Germany and Ireland as technically ready to receive orders through the system. Until the others are, orders can arrive by secure alternative means (Article 19(5)), so your intake process must handle both
- 집행 기관과의 협력: 국가 당국에 통지해야 하는 경우, 제공업체는 일정과 잠재적인 이의 제기 절차를 병행하여 관리해야 합니다.
- 기밀성 및 무결성: 공급업체는 주문과 데이터의 기밀성과 무결성을 보호하기 위해 최첨단 기술 및 조직적 조치를 구현해야 합니다.
- 감사 추적 및 문서화: 취해진 모든 조치에 대한 완전한 추적은 규정 준수 및 잠재적인 법적 절차에 필수적입니다.
Non-compliance carries severe consequences. Member States must be able to fine providers up to 2% of total worldwide annual turnover of the preceding financial year for failing to execute orders or to protect their confidentiality and integrity; failing to designate an addressee is penalised separately under national law.
Problems With an Order and Grounds for Refusal
The regulation does not let a provider simply refuse an order. If an EPOC is incomplete or contains manifest errors, if compliance is de facto impossible, or if the data may be protected by immunities or privileges in the enforcing State, the provider must notify the issuing authority (and the enforcing authority, where it was notified) without undue delay using the Annex III form. The authorities then decide. Formal grounds for refusal (Article 12) belong to the enforcing authority. A provider can only object on the grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders), once enforcement proceedings have begun.
Providers may also raise objections when compliance would conflict with obligations under the law of a third country. In such cases, the provider must submit a reasoned objection using the official form (Annex III of the regulation), detailing the conflicting legal obligations, no later than 10 days after receiving the EPOC; execution is suspended while a court in the issuing State reviews it.
However, assessing these points under extreme time pressure — especially in emergency cases with an 8-hour deadline — is practically impossible without pre-established processes and, in many cases, external legal support.
구현: 준비 방법
The Regulation has applied since 18 August 2026, so providers that are not yet ready should act now. A structured implementation approach should include the following steps:
- 적용 가능성을 평가합니다: 귀사가 EU에서 제공하는 서비스를 기준으로 귀사가 규정의 적용 범위에 해당하는지 여부를 결정합니다.
- 책임자를 지정합니다: 유럽 생산 주문 및 보존 주문 처리를 위한 내부 소유권 할당
- 대응 프로세스를 개발하세요: 긴급 요청에 대한 에스컬레이션 절차를 포함하여 주문 접수, 확인 및 대응을 위한 문서화된 워크플로우를 만듭니다.
- 기술 인프라를 구현합니다: 시스템이 필요한 기간 내에 관련 데이터 카테고리를 식별, 추출하고 안전하게 전송할 수 있는지 확인합니다.
- Connect to the decentralised IT system: Connect through your Member State’s national system, either via the web-based interface or an API based on ETSI TS 104 144, and keep a process for orders that arrive by alternative means while national components are not yet live
- 법률 검토 역량을 구축하세요: Ensure access to legal expertise — either in-house or through external counsel — for rapid assessment of incoming orders and of any problems that must be reported on the Annex III form
- 테스트하고 훈련하세요: 조직이 현실적인 조건에서 10일 및 8시간의 응답 기한을 준수할 수 있는지 검증하기 위한 준비 연습을 수행합니다.
많은 기업, 특히 규정 준수 또는 법무 전담 부서가 없는 중소규모 서비스 제공업체의 경우 이러한 요건을 내부적으로 충족하는 것은 실용적이지도 않고 비용 효율적이지도 않습니다.
ICS가 서비스 제공업체가 전자 증거 의무를 충족하도록 지원하는 방법
ICS(국제 Carrier 서비스)의 전문 분야는 다음과 같습니다. lawful interception, data retention, and regulatory compliance solutions for communication service providers, digital platforms, and other regulated entities across Europe. With deep expertise in ETSI standards, cross-border disclosure processes, and law enforcement interfaces, ICS is uniquely positioned to help organizations navigate the E-Evidence Regulation.
ICS는 서비스 제공업체를 지원합니다:
- 권한 인터페이스 구현: ICS designs, deploys, and operates authority-facing interfaces that enable structured, automated processing of European Production Orders and Preservation Orders — aligned with ETSI TS 104 144 and the requirements of the E-Evidence Regulation
- 엔드투엔드 주문 관리: From intake and validation through data extraction and secure handover, ICS manages the operational lifecycle of incoming orders on behalf of the service provider, working with the provider’s qualified legal counsel where a legal assessment is required
- 기존 시스템과의 통합: ICS 솔루션은 제공업체의 기존 인프라 및 데이터 관리 환경과 통합되어 중단을 최소화하는 동시에 규정 준수에 적합한 데이터 전송을 보장합니다.
- 규정 준수 컨설팅: ICS는 서비스 제공업체가 규제 의무를 평가하고, 규정 준수 프로세스를 설계하고, 감사에 대비할 수 있도록 전문가 자문 서비스를 제공합니다.
- 관리형 서비스 운영: 운영 부담을 완전히 아웃소싱하는 것을 선호하는 제공업체를 위해 ICS는 신뢰할 수 있는 외부 파트너로서 기관 통신, 데이터 전송 및 규정 준수 문서를 처리하는 완전 관리형 서비스를 제공합니다.
By partnering with a specialist provider like ICS, service providers can reduce the risk of non-compliance, avoid the need to build complex internal capabilities from scratch, and handle cross-border evidence requests correctly now that the Regulation applies.
결론
EU 전자 증거 규정은 유럽에서 디지털 데이터에 대한 국경을 넘는 법 집행 기관의 접근을 처리하는 방식에 큰 변화를 가져왔습니다. 이 규정은 서비스 제공업체에게 엄격한 기한과 함께 구속력 있는 의무를 부과하고 이를 준수하지 않을 경우 상당한 벌칙을 부과합니다.
The Regulation has applied since 18 August 2026. Providers that have not yet designated an addressee or set up order handling should do so now. The technical, legal, and operational requirements are substantial — but they are manageable with the right partner and the right infrastructure in place.
Contact ICS to discuss how we can help your organization meet the requirements of the EU E-Evidence Regulation.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
