美 방산 시장 입장권 CMMC, 시행 코앞인데 韓 업체 인증 여전히 전무

美 방산 보안 인증 의무화 코앞
내년 초부터는 의무화 수순 전망
외부 인증 필수 ‘레벨2’ 획득 업체 전무
원청은 물론 하청도 필수지만 비용 부담
“인증 문턱 걸리는 일 없도록 지원해야”

[게티이미지뱅크]

[헤럴드경제=박혜원 기자] 미국이 정부 발주 방산 사업에 적용할 예정인 사이버보안 성숙도 모델 인증(CMMC) 의무화 시한이 다가오고 있지만 국내 업체들은 여전히 공식 인증을 한 곳도 받지 못한 것으로 나타났다. 정부 역시 국내 기업들의 인증 현황에 ‘깜깜이’ 상태인 데다 적지 않은 기업들이 손을 놓고 있어, 관리·지원이 지급하다는 지적이 나온다.

31일 방산 업계에 따르면 현재 국내 업체들 중 CMMC 레벨2 최종 외부 인증을 받은 곳은 한 곳도 없는 것으로 나타났다. CMMC란 미국 국방부가 현지 발주 방산 사업에 참여하는 모든 기업들에게 단계적으로 의무화할 예정인 보안 인증이다. 업계에선 방산 무기 및 부품 공급 사업부터 군함 유지·보수·정비(MRO) 등에 적용될 것으로 예상하고 있다.

앞서 미국 국방부는 올해 11월부터 레벨2 인증을 의무화하기로 했으나, 심사 기준 등을 정비하기 위해 당분간 이를 유예한 상태다. 다만 최소 내년 초부터는 의무화 수순을 밟을 것이란 게 업계 관측이다. 한 방산 업체 관계자는 “중국 정부에 대응하려는 미국 정부 의지가 강력해 업계로선 시일이 급한 건 마찬가지”라고 설명했다.

CMMC 단계는 레벨1(기초)·레벨2(중급)·레벨3(고급)으로 나뉜다. 레벨1은 자체 심사를 거쳐 미국 정부에 등록하면 마무리되는 비교적 간단한 절차로 국내에서도 일부 기업들이 이 절차를 완료했다. 문제는 보안 요구가 엄격한 사업에 적용되는 레벨2다. 레벨2부턴 110개에 달하는 보안 사항을 충족해 제3자 독립 기관(C3PAO)으로부터 인증을 받아야해, 모든 절차에 최대 10억원에 달하는 비용이 드는 것으로 알려졌다.

그러나 미국 정부가 CMMC 최종 규칙을 발표한지 1년에 가까운 시간이 흘렀음에도 현재 국내에선 소수 대기업만이 이를 대비하고 있다. CMMC 인증은 원청인 대기업은 물론 하청 및 협력 업체들까지 모두 받아야 하지만 비용 문제로 사실상 손을 놓고 있는 기업이 대다수인 것으로 전해졌다.

국내 대형 방산 및 조선 기업들의 CMMC 인증을 지원하고 있는 국내 한 대형 컨설팅 업체 관계자는 “총 직원이 4명인 소규모 기업도 미국 정부로부터 CMMC 레벨2 인증 대상이라는 안내를 받았지만 수억원에 달하는 인증 비용으로 컨설팅을 받지 못한 사례가 있다”며 “중소형 방산 기업들에서 문의는 폭증하고 있지만 정작 컨설팅에 착수한 곳은 5개 업체뿐”이라고 말했다.

반면 해외 업체들은 분주하게 움직이고 있다. 미국 CMMC 공식 인증 기구 더사이버AB(The Cyber AB) 발표 자료에 따르면 미국 국방부는 이미 1666건에 대해 CMMC 레벨2 최종 인증서를 발급했다. 대표적으로 독일 기술 기업 지멘스의 미국 자회사가 지난 7월, 독일 방산 최대 기업 라인메탈의 미국 자회사가 지난 4월 각각 레벨2 인증을 받았다.

정부는 수출입은행을 통한 컨설팅 비용 지원, 지자체 컨설팅 지원 등으로 CMMC 대상 기업들을 뒷받침한다는 방침이다. 그러나 정작 국내 기업들의 구체적인 CMMC 인증 현황에 대해선 파악하지 못하고 있는 상태다. 방위사업청 관계자는 “민간 기업의 영역이라 정부 차원에선 별도로 현황을 집계하지 않고 있다”고 말했다. 이와 관련 업계 관계자는 “K-방산 위상이 커지는 시점에 발맞춰 국내 기업들이 공격적으로 추진하고 있는 미국 방산 시장 진출이 인증 문턱에 걸리는 일이 없도록 체계적으로 지원할 필요가 있다”고 지적했다.