ESMA, 암호자산 거래소 디지털 운영 복원력 공동감시 시작

국내 시사점

• 가상자산이용자보호법 및 관련 감독 규정에 수탁 서비스 특화 디지털 운영 복원력 기준 신설이 필요하다. EU CSA는 개인키 관리·스마트 계약 위험·제3자 의존성을 별도 점검 영역으로 분류했다. 현행 국내 규정은 이를 명시적으로 다루지 않으므로 기준 공백이 존재한다.
• 금감원은 가상자산사업자(VASP) 정기 검사 항목에 DLT 고유 위험 6개 영역을 반영해야 한다. ESMA CSA의 위험 기반 표본 선정 방식은 국내 검사 자원 배분의 효율화 모델로 참고할 수 있다.
• DORA에 상응하는 ICT 위험 관리 요건을 특정금융정보법 및 가상자산이용자보호법 하위 규정에 구체화해야 한다. 현재 국내 VASP ICT 기준은 금융보안원 가이드라인 수준에 머물러 있어 법적 구속력이 부족하다.
• ESMA가 2027년 하반기 최종 보고서를 발간하면, 금융위원회와 금감원은 해당 결과를 국내 감독 기준 개정에 즉시 반영하는 절차를 마련해야 한다. EU-한국 간 규제 수렴 속도 차이가 CASP의 규제 차익 유인으로 작용할 수 있다.

관련 국내 규정

• 가상자산이용자보호법 제7조(가상자산의 보관·관리): 가상자산사업자는 이용자 가상자산을 고유재산과 분리 보관해야 하며, 이용자 가상자산의 80% 이상을 콜드월렛에 보관해야 한다.
• 가상자산이용자보호법 제8조(사고 예방 및 책임): 가상자산사업자는 해킹·전산장애 등 사고 예방을 위한 보호조치를 의무화하고, 과실로 인한 이용자 손해에 배상 책임을 진다.
• 특정금융정보법 제7조(가상자산사업자의 신고): 가상자산사업자는 금융정보분석원에 신고 후 영업해야 하며, 정보보호관리체계(ISMS) 인증이 신고 요건에 포함된다.
• 전자금융거래법 제21조(안전성 확보 의무): 금융회사·전자금융업자는 전자금융거래의 안전성 확보를 위해 ICT 위험 관리 체계를 갖추어야 한다. CASP에 대한 직접 적용 여부는 해석 여지가 있다.

EU 거래소 인가·라이선스 트래커 보기 →