유럽은 Plug&Charge를 의무화했다. 어디에서 작동하는지는 아무도 모른다.

2026년 1월 8일, Plug&Charge는 더 이상 하나의 기능이 아니라 법적 요건이 됐다. 이제 EU 내에 새로 설치되는 모든 공공 충전 지점은 ISO 15118-2를 구현해야 한다. 2027년 1월 1일부터는 민간 충전기까지 ISO 15118-20이 추가된다.

독일 연방 충전 지점 등록부에는 공공 충전 사이트 31 865개가 올라와 있다. 이 중 Plug&Charge를 신고한 곳은 1 018개다. 3.2%다.

유럽이 자기 법을 무시하고 있다고 결론 내리기 전에: 정확히는 그렇지 않다. 더 나쁘다. Plug&Charge가 실제로 어디에서 작동하는지 아무도 말해줄 수 없다. 규제기관도, 운영사도, 우리도 모른다. 그리고 그 이유가 이 이야기의 전부다.

핵심 제안은 Tesla의 것이고, 좋은 제안이다

케이블을 꽂는다. 자리를 떠난다. 차량과 충전기가 당신이 누구인지, 누가 결제하는지를 알아서 정한다. 앱을 열거나, 카드를 태그하거나, QR 코드를 촬영할 필요가 없다.

Tesla는 2012년부터 이를 해왔다. 처음부터 끝까지 자신이 소유한 네트워크에서 독자적인 핸드셰이크를 사용한다. 두 당사자, 한 회사, 협상은 없다. 나머지 모두는 서로를 특별히 신뢰할 이유가 없는 수백 개 운영사와 수십 개 완성차 업체 사이에서 그 경험을 재현해야 한다.

ISO 15118이 존재하는 이유가 바로 그것이다. 그리고 문제가 시작되는 지점도 바로 여기다.

규제는 구현을 의무화한다. 사용까지 의무화하지는 않는다.

Commission Delegated Regulation (EU) 2025/656로 개정된 AFIR는 2026년부터 신규 또는 업그레이드된 공공 충전기에 ISO 15118-1/2/3/4/5 구현을, 2027년부터 ISO 15118-20 구현을 요구한다.

동사를 주목하라. 충전기는 완전히 규정을 준수하면서도 Plug&Charge 세션을 단 한 번도 완료하지 않을 수 있다. AFIR의 결제 의무는 Article 5에 있으며, 카드 리더기와 QR 코드로 충족된다. Commission의 자체 지침도 Plug&Charge가 비정기 결제와 무관하다고 확인한다.

즉, 법은 배관 설치를 보장한다. 물이 흐르는지는 보장하지 않는다.

CCS 커넥터를 소유하고 있고, 과장된 표현을 즐기는 조직도 아닌 CharIN은 2026년 4월 28일 입장문을 발표했다. 정중한 비상 신호탄처럼 읽힌다.

그들의 결론은 이렇다. 규제는 표준을 의무화하지만 적합성을 어떻게 입증할지는 전혀 정의하지 않는다. 완전한 규격 준수 하드웨어는 아직 대규모로 उपलब्ध하지 않다. 전 세계에서 전체 ISO 15118-20 적합성 인증을 받은 시험소는 열 곳도 안 되며, 대기 기간은 6 to 9 month다. 정식 AC 적합성 시험 케이스는 의무화가 적용된 후 1년이 지난 2027년 말 이전에는 나올 것으로 예상되지 않는다.

CharIN은 시장 출시 준비가 된 솔루션이 존재할 때까지 2027년 기한을 연기하라고 Commission에 권고한다. 업계를 돕기 위해 만들어진 규칙에 대해, 업계의 표준 기구 자체가 연기를 요청하고 있는 것이다.

일곱 당사자와 하나의 케이블

Autocharge에는 두 당사자와 하나의 식별자만 필요하다. Plug&Charge에는 완성차 업체, 모빌리티 서비스 제공업체, 인증서 프로비저닝 서비스, 루트 인증기관, 인증서 풀, 충전소 운영사 그리고 그 관리 플랫폼이 필요하다. 운전자가 플러그를 꽂는 순간, 이들 모두가 유효하고 최신이며 상호 신뢰되는 자격증명을 보유하고 있어야 한다.

작동할 때는 보이지 않는다. 어느 한 고리라도 오래되면, 운전자는 시작되지 않는 충전기와 아무런 설명도 마주한다.

누가 신뢰의 루트가 될 것인가?

이것이 상업적으로 흥미로운 질문이며, Hubject가 비즈니스를 구축한 바로 그 질문이다.

Hubject는 BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens, Volkswagen의 합작회사다. V2G root CA를 운영하는 동시에, 이를 필요로 하는 당사자들을 연결하는 플랫폼도 운영한다. ChargePoint의 엔지니어링 SVP Eric Sidle은 ISO 15118이 “인증서를 발급하고 통제하는 소수 조직에 매우 편향돼 있다”고 말하며, 결국 중개자가 가격을 통제하게 된다고 주장했다. 표준 공동 저자인 Marc Mültin도 이해관계자들이 Hubject를 “충분히 독립적이지 않다”고 본다는 점을 인정했다.

유럽은 이전보다 덜 단극적이다. 암호화 부문에 Thales를 둔 프랑스 로밍 사업자 Gireve는 이제 root CA와 pool 서비스를 제공한다. CharIN은 자체 V2G root를 운영하며, 이는 Irdeto가 CharIN을 위해 운영한다. Penta Security는 Hubject와 교차 인증한다. 이는 더 건강한 구조다. 동시에 충전기는 이제 여러 루트를 신뢰해야 하고, 운전자의 인증서는 그 차량 제조사가 선택한 어느 pool을 통해서든 접근 가능해야 한다는 뜻이기도 하다.

북미는 반대편에서 접근했다. SAE ITC의 EVPKI 컨소시엄은 6개의 루트 인증서를 담은 상용 Certificate Trust List를 출범시켰다. 명시된 목표는 “오늘날 실질적으로 존재하지 않는 경쟁적인 PKI 공급 시장을 만드는 것”이다.

그 문장을 다시 읽어보라. 표준 컨소시엄이 그간 말하지 않던 부분을 마이크 앞에서 말하고 있다.

그리고 한국은 완전히 다른 세 번째 답을 택했다. Hyundai Motor Group은 국내 12개 운영사로 구성된 개방형 연합과 함께 Plug&Charge 기술과 인증기관을 정부에 무상으로 넘기고 있다. 국가가 루트가 된다.

세 대륙, “누구를 신뢰할 것인가”에 대한 세 가지 답: 완성차 업체가 소유한 합작회사, 공통 신뢰 목록을 갖춘 경쟁 시장, 그리고 정부 부처. 이 중 비즈니스 모델인 것은 하나뿐이다.

독일 등록부가 아는 것, 그리고 모르는 것

독일은 공식 충전 지점 등록부에서 운영사에 사이트가 Plug&Charge를 지원하는지 명시적으로 묻는 유일한 유럽 주요 시장이다. 우리는 그 답을 추출했다.

Aral pulse는 독일 DC 사이트 87개 중 53개를 신고했다. Allego는 68개 중 11개를 신고했다. 수년간 전체 네트워크에서 ISO 15118-2 Plug&Charge를 운영해 온 Ionity는 61개 사이트 중 단 하나를 신고했다. Tesla는 268개 중 하나도 신고하지 않았다.

이 차트는 Plug&Charge를 측정하지 않는다. 누가 양식을 작성했는지를 측정한다.

바로 그것이 발견한 사실이다. 대륙 차원의 의무화 첫해, 유럽에서 충전 지점 수가 가장 많고 등록부 관리도 가장 성실한 시장에서조차 Plug&Charge가 어디에서 작동하는지 보여주는 신뢰할 만한 공공 기록은 없다. 우리가 보유한 다른 모든 국가 등록부 — 프랑스, 북유럽, 이탈리아, 네덜란드 — 는 아예 그 질문조차 하지 않는다.

운전자는 플러그를 꽂고 기다려 본 뒤에야 알게 된다.

그 사이, 조악한 버전은 계속 작동한다

Autocharge는 그 모든 장치 없이 같은 일을 해낸다. 충전기는 DC 핸드셰이크 중 차량이 브로드캐스트하는 식별자 — 보통 MAC 주소 — 를 읽고, 이를 계정과 대조한 뒤 충전을 시작한다. 한 번의 등록, 인증서도 루트 오브 트러스트도 pool도 청산소도 없다.

물론 문서상으로는 안전하지 않다. MAC 주소는 비밀이 아니라 식별자다. 이를 읽을 수 있는 사람은 원칙적으로 그것을 제시할 수 있으며, 운영사가 취할 수 있는 유일한 방어책은 악용된 주소를 블랙리스트에 올리는 것이다. ISO 15118 공동 저자인 Marc Mültin은 별다른 완곡어법도 없이 “Autocharge: what it is and why it’s a bad idea”라는 제목의 글을 발표했다.

보안에 관한 한 그는 옳다. 동시에 그는 보안 버전이 인증서를 기다리는 동안 유럽 전역에서 조용히 돌아가고 있는 것을 묘사하고 있다.

Autocharge는 EnBW, Mer, Electra, Fastned, Powerdot, GRIDSERVE 등을 포함한 사업자에서 운영 중이다. Powerdot은 프랑스, 벨기에, 스페인, 폴란드 전역에서 먼저 Miio와, 이후 Chargemap과 함께 이를 도입했다. 계약 인증서를 절대 받지 못할 차량에서도, PKI에 절대 참여하지 않을 충전 사이트에서도 작동한다.

6개는 전수조사가 아니라 표본이다. Autocharge 도입 현황 등록부를 공개하는 곳은 없다. 다시 말해, 바로 그게 핵심이다. 규모를 가늠하자면 당사 데이터베이스에는 유럽 전역의 공공 DC 사이트가 약 135 000개 있다. 실제 Autocharge 규모는 이 표본보다 크다. 얼마나 더 큰지는 누구도 말할 수 없다.

Autocharge도 일률적이지 않다. 그리고 그 점이 중요하다

함정이 있다. 사업자들도 이를 거리낌 없이 말한다. 네트워크에서 Autocharge를 활성화한다고 해서 그 네트워크의 모든 충전기에서 활성화되는 것은 아니다.

DC에서만 작동한다. 식별자는 DC 충전에 필요한 디지털 핸드셰이크를 타고 전달되며, 일반 AC 충전에는 그런 대화 자체가 없다. 바로 이 공백을 메우기 위해 ISO 15118이 만들어졌다. 충전기에는 OCPP 1.5 이상과 해당 기능을 지원하는 펌웨어도 필요하다. 따라서 Autocharge가 지원되는 네트워크 안에서도 구형 장비는 그냥 작동하지 않는다. 예컨대 GRIDSERVE는 기존 전체 자산에 하룻밤 새 적용한 것이 아니라, 더 새로운 하드웨어와 함께 이를 도입했다.

그리고 차량 문제가 있다. Volkswagen Group의 MEB 플랫폼은 MAC 주소를 순환 변경하기 때문에 ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron, Cupra Born에서는 Autocharge가 구조적으로 불가능하다. CHAdeMO 차량은 설계상 제외된다. 일부 구형 모델은 애초에 이를 지원하지 않았다.

그러니 운전자 경험은 이렇다. 되다가, 안 된다. 어느 충전기나 어느 차량이 예외일지는 미리 알 수 없다. 바로 앞서 Plug&Charge에 대해 제기한 불만과 한 글자도 다르지 않다.

성장 경로에는 유효기간도 있다. 위임규정 부속서 2.1.2항은 자동 인증을 제공하는 모든 공공 접근 가능 충전 포인트에 대해, Autocharge도 여기에 해당하는데, 1 January 2027부터 설치 또는 개보수되는 경우 ISO 15118-2와 -20을 모두 구현하도록 요구한다. 기존 사이트는 계속 운영할 수 있다. 전문 25는 플러그 앤 차지가 아닌 솔루션을 사용하는 충전 포인트가 “완전한 시장 전환이 달성될 때까지” 계속 운영될 수 있음을 명시적으로 허용한다.

그러므로 Autocharge가 금지되는 것은 아니다. 기득권을 인정받는다. 다른 종류의, 더 느린 종말이다. 신규 구축 경로는 닫히지만 기존 설치 기반은 그대로 남는다.

이것이 솔직한 해석이다. Autocharge는 더 나은 시스템이 아니다. 더 나쁜 시스템이 먼저 출시됐고, 출시된다는 것 자체가 생각보다 엄청난 가치를 지닌다.

규정에는 담기지 않은 제3의 길

표준화 기구들이 논쟁하는 사이, 더 조용한 해답이 떠오르고 있다. 차량 자체의 데이터 연결을 통해 차량을 식별하고, 케이블을 통한 대화는 아예 건너뛰는 방식이다.

Ford는 이미 이를 하고 있다. 표준 프로비저닝 흐름을 쓰는 대신 자체 텔레매틱스 기반 인증서 전달 방식을 구축했다. 2026년 봄, Vattenfall InCharge와 WirelessCar는 스웨덴, 네덜란드, 독일에서 700명 이상의 운전자가 참여한 파일럿을 진행했다. 카드도, 앱도, 인증서도, MAC 주소도 없이 세션을 시작했다. 차량이 클라우드에 자신이 어디에 연결돼 있는지만 알려주는 방식이다.

텔레매틱스에는 명백한 결함이 있다. 완성차 업체의 협력이 필요하고, 고객 관계를 완성차 업체에 넘겨준다. 어쩌면 სწორედ 그래서 완성차 업체들이 이를 좋아하는 것인지도 모른다.

보안 논리를 진지하게 받아들인다면

그 모든 장치가 필요한 이유는 분명히 있다. 인증서는 폐기, 부인 방지, 그리고 Autocharge가 초래하는 바로 그 식별자 스푸핑에 대한 방어를 제공한다. Plug&Charge가 수백만 건의 무인 결제 거래를 처리할 것이라면, 암호화는 올바른 해답이다.

그러다 December 2025가 찾아왔다.

연구진은 ISO 15118 Plug&Charge 결제를 대상으로 한 작동 가능한 릴레이 공격을 공개했다. 가짜 충전기, 중계된 핸드셰이크, 그리고 타인의 청구서다. 완전한 개념증명이며, USENIX VehicleSec 2026에 채택됐다.

Hubject의 진정한 공로를 인정하자면, 수석 저자는 Hubject 자체 무대인 ICNC26에서 이 내용을 발표한다. 세션 제목도 “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”다. 이것이 진지한 업계가 나쁜 소식을 다루는 방식이다.

하지만 두 사실을 나란히 놓고 보자. 7년간의 인증서 인프라가 만들어낸 시스템은 여전히 릴레이 공격이 가능했다. 그것이 대체하려 했던 것, 즉 조회 테이블 속 MAC 주소는 4개국에서 조용히 돌아가고 있다. 복잡성은 영업 자료가 암시한 것보다 적은 보안만을 샀다.

완성차 업체는 준비됐다. 충전기는 아니다.

차량 측면에서는 거의 해결됐다. Porsche Taycan과 Mercedes EQS가 먼저 도달했다. 오늘날 목록은 Volkswagen ID 라인업, Skoda Enyaq, Audi Q4 e-tron, Cupra Born, BMW i4, i5, i7, iX, Hyundai Ioniq 5 및 6, Kia EV6 및 EV9, Genesis GV60, Volvo EX90 및 EX60, 2026년형부터의 Polestar까지 이어진다.

Volvo는 June 2026에 미국 내 35 000개 충전소에서 Plug&Charge를 켰다. GM은 여름에 Empower에서 도입 계획을 발표했다. 대체로 차량들은 제 몫을 해내고 있다.

두 가지 세부 사항이 이 그림을 망친다. Ford는 보안을 이유로 표준 프로비저닝 흐름을 쓰는 대신 자체 텔레매틱스 기반 인증서 전달 방식을 구축했다. 완성차 업체가 표준에 도달하기 위해 당신의 생태계를 우회한다면, 그 생태계에는 제품 문제가 있다.

BMW가 2025년형 EV를 위해 발행한 자체 서비스 공보에는 딜러가 예상해야 할 장애 유형이 열거돼 있다. Plug&Charge 메뉴가 나타나지 않음, 계약 설치 실패, 설치 후 계약 사라짐, 제공업체가 아예 계약을 보내지 않음. 공장이 정비 매뉴얼에 기록한 마찰이다.

충전기 제조사 쪽에서 2027년 기한은 정책 논쟁을 멈추고 공급망 문제가 된다. Alpitronic은 ISO 15118-20 지원을 구현 시점 “TBC”와 함께 표시하고 있다. 이들만 그런 것은 아니다.

2026년부터 유럽 공공 사용을 위해 발주되는 하드웨어에는 첫날부터 PLC 지원 통신 컨트롤러가 필요하다. 펌웨어로 해결하겠다는 약속만으로는 충분하지 않다. 이를 사용하는 소프트웨어가 완성되기 2년 전에 내려지는 BOM 결정이다.

우리는 이미 이 일을 해봤다

2015년, 당사 창립자 Ole Henrik Hannisdahl은 베를린 ICNC 무대에 올라 로밍 업계 관계자들로 가득한 방에서 이렇게 말했다. 로밍은 충전기에 그냥 걸어가 사용하기를 너무 어렵게 만든 업계가 스스로 만들어낸 문제의 해법이라고.

그는 다시 초대받지 못했다.

그 주장이 불편한 이유는 너무나 잘 늙었기 때문이다. 로밍은 상업적으로 작동했다. 동시에, 덮어두기 위해 만들어진 파편화를 더욱 고착시켰다. 11년이 지난 지금도 유럽 운전자들은 RFID 카드가 든 지갑과 앱으로 가득한 폴더를 들고 다니며, 정산 레이어는 애초에 운전자 잘못이 아니었던 문제에 영구적인 세금이 됐다.

그 본능은 여전히 살아 있다. 2025년 December, Atlante, Electra, Fastned, Ionity는 회원 네트워크의 운전자가 다른 어느 회원 네트워크에서도 충전할 수 있도록 ChargeLeague를 만들었다. 동맹들이 만든 파편화를 고치기 위한 동맹이다. 우리는 이 영화를 본 적이 있다.

Plug&Charge는 로밍과 같은 실루엣을 지닌다. 진정으로 훌륭한 사용자 경험이지만, 중개자가 필요한 신뢰 레이어를 통해 제공되고, 중개자가 가격을 매기며, 독일 등록부가 보여주듯 공공 기록에서는 보이지 않는다. 해결하는 사용자 문제는 현실이다. 필요한 거버넌스 구조는 아무도 원하지 않았던 부분이다.

문제는 더 조악한 엔지니어링인 Autocharge가 현재로서는 더 나은 제품이라는 점이다. 관여 주체는 더 적고, 인증서는 필요 없으며, 지금 당장 더 많은 네트워크와 더 많은 국가에서 작동한다. 이는 제대로 된 엔지니어링을 구축하는 사람들에게는 경고 신호여야지, 조악한 버전을 만드는 사람들을 안심시킬 일은 아니다.

그렇다고 ISO 15118을 포기하자는 뜻은 아니다. 이는 올바른 표준이며, 양방향 충전이 모든 차량을 전력망 자산으로 바꾸면서 보안 논리는 더욱 강해질 것이다. 필요한 것은 생태계를 지루할 정도로 단순하게 만드는 일이다.

이를 위해서는 네 가지가 필요하다. 유럽이 이제 갖춘, 서로 경쟁하는 복수의 루트. 누구나 참여할 수 있는 공동 신뢰 목록 — 북미에는 있지만 유럽에는 없는 것. 지원 티켓이 절대 필요 없는 인증서 프로비저닝. 그리고 실제로 어디에서 작동하는지를 알려주는 공개 등록부 — 운전자가 찾을 수 없는 기능은 기능이 아니기 때문이다.

유럽은 프로토콜을 의무화하고 나머지 세 가지는 건너뛰었다.

Hubject는 9월 1일부터 3일까지 Tempelhof에서 업계를 한자리에 모은다. 의제에는 “Plug&Charge: 가능성의 확장”과 릴레이 공격 세션이 모두 포함돼 있다. 어느 방이 먼저 찰지 지켜볼 만하다.