유럽은 Plug&Charge를 의무화했다. 그런데 어디서 작동하는지는 아무도 모른다.

2026년 1월 8일, Plug&Charge는 더 이상 기능이 아니라 법적 요건이 됐다. 이제 EU에 새로 설치되는 모든 공공 충전 포인트는 ISO 15118-2를 구현해야 한다. 2027년 1월 1일부터는 민간 충전기까지 포함해 ISO 15118-20도 추가된다.

독일 연방 충전 포인트 등록부에는 공공 충전 사이트가 31 865곳 올라와 있다. 이 중 Plug&Charge를 신고한 곳은 1 018곳이다. 3.2%다.

유럽이 자기 법을 무시하고 있다고 결론내리기 전에: 완전히 그런 것은 아니다. 더 심각하다. Plug&Charge가 실제로 어디에서 작동하는지 아무도 말해줄 수 없다 — 규제기관도, 운영사도, 우리도. 그리고 그 이유가 이 이야기의 전부다.

핵심 제안은 Tesla의 것이고, 좋은 제안이다

케이블을 꽂는다. 자리를 떠난다. 자동차와 충전기가 당신이 누구인지, 누가 결제하는지를 처리한다. 앱을 열 필요도, 카드를 태그할 필요도, QR 코드를 찍을 필요도 없다.

Tesla는 2012년부터 이를 해왔다. 처음부터 끝까지 자사가 소유한 네트워크에서, 독자적인 핸드셰이크로 말이다. 두 당사자, 한 회사, 협상은 없다. 나머지 모두는 서로를 굳이 신뢰할 이유가 없는 수백 개 운영사와 수십 개 자동차 제조사 사이에서 그 경험을 재현해야 한다.

ISO 15118이 존재하는 이유가 바로 그것이다. 그리고 문제도 바로 여기서 시작된다.

규제는 구현을 의무화한다. 사용을 의무화하지는 않는다.

Commission Delegated Regulation (EU) 2025/656로 개정된 AFIR는 2026년부터 신규 또는 업그레이드 공공 충전기에 ISO 15118-1/2/3/4/5 구현을, 2027년부터 ISO 15118-20 구현을 요구한다.

동사를 주목해야 한다. 충전기는 완벽하게 규정을 준수하면서도 Plug&Charge 세션을 단 한 번도 완료하지 않을 수 있다. AFIR의 결제 의무는 Article 5에 있고, 카드 리더기와 QR 코드로 충족된다 — Commission의 자체 지침도 Plug&Charge는 현장 즉시 결제와 무관하다고 확인한다.

그러니까 법은 배관이 설치됐음을 보장한다. 물이 흐른다는 것은 전혀 보장하지 않는다.

CCS 커넥터를 소유한 단체이자 호들갑을 떠는 조직과는 거리가 먼 CharIN은 2026년 4월 28일, 정중한 비상 신호탄처럼 읽히는 포지션 페이퍼를 발표했다.

그 결론은 이렇다. 규제는 표준을 의무화했지만 적합성을 어떻게 입증할지는 전혀 정의하지 않았다. 완전 적합 하드웨어는 대규모로 공급되지 않는다. 전 세계에서 전체 ISO 15118-20 적합성 인증을 받은 시험소는 열 곳도 되지 않으며, 대기 기간은 6 to 9개월이다. 공식 AC 적합성 시험 케이스는 의무화가 적용된 후 1년이 지난 2027년 말 이전에는 나올 것으로 예상되지 않는다.

CharIN은 시장 출시 가능한 솔루션이 나올 때까지 2027년 마감 시한을 연기하라고 Commission에 권고한다. 업계의 표준 기구가 자신들을 돕기 위해 만들어진 규정의 연기를 요청하고 있는 셈이다.

일곱 당사자와 케이블 하나

Autocharge에는 두 당사자와 하나의 식별자만 필요하다. Plug&Charge에는 자동차 제조사, 모빌리티 서비스 사업자, 인증서 프로비저닝 서비스, 루트 인증기관, 인증서 풀, 충전 포인트 운영사, 그리고 그 관리 플랫폼이 필요하다 — 운전자가 플러그를 꽂는 바로 그 순간, 모두가 유효하고 최신이며 상호 신뢰되는 자격증명을 갖고 있어야 한다.

작동할 때는 보이지 않는다. 어느 한 고리라도 만료됐거나 최신 상태가 아니면, 운전자는 충전을 시작하지 않는 충전기와 아무런 설명도 마주하게 된다.

누가 신뢰의 루트가 될 것인가?

이것이 상업적으로 흥미로운 질문이며, Hubject가 바로 이 질문을 기반으로 사업을 구축했다.

Hubject는 BMW, Bosch, Mercedes-Benz, EnBW, innogy, Siemens, Volkswagen의 합작회사다. V2G 루트 CA 와 이를 필요로 하는 당사자들을 연결하는 플랫폼을 함께 운영한다. ChargePoint의 엔지니어링 SVP Eric Sidle은 ISO 15118을 “인증서를 발급하고 통제하는 소수 조직에 매우 편향된 구조”라고 부르며, 결국 중개자가 가격을 통제하게 된다고 주장했다. 표준 공동 저자인 Marc Mültin 역시 이해관계자들이 Hubject를 “충분히 독립적이지 않다”고 본다는 점을 인정했다.

유럽은 이전보다 덜 단극적이다. 암호화 부문에 Thales를 둔 프랑스 로밍 사업자 Gireve는 이제 루트 CA와 풀 서비스를 제공한다. CharIN은 자체 V2G 루트를 운영하며, 운영은 Irdeto가 맡는다. Penta Security는 Hubject와 교차 인증한다. 이는 더 건강한 구조다. 동시에 충전기는 이제 여러 루트를 신뢰해야 하고, 운전자의 인증서는 자동차 제조사가 선택한 어느 풀을 통해서든 접근 가능해야 한다는 뜻이기도 하다.

북미는 반대편에서 접근했다. SAE ITC의 EVPKI 컨소시엄은 여섯 개 루트 인증서를 담은 상용 Certificate Trust List를 출시했다. 명시된 목표는 “오늘날 사실상 존재하지 않는 경쟁적 PKI 공급 시장을 만드는 것”이다.

그 문장을 다시 읽어보자. 표준 컨소시엄이 속으로만 하던 말을 마이크 앞에서 꺼낸 것이다.

그리고 한국은 완전히 세 번째 답을 골랐다. Hyundai Motor Group은 12개 국내 사업자로 구성된 개방형 연합과 함께, Plug&Charge 기술과 인증기관을 정부에 무상으로 넘기고 있다. 국가가 루트가 되는 것이다.

세 대륙, “누구를 신뢰할 것인가”라는 질문에 대한 세 가지 답: 자동차 제조사 소유 합작회사, 공유 신뢰 목록을 갖춘 경쟁 시장, 그리고 정부 부처. 이 중 사업 모델인 것은 하나뿐이다.

독일 등록부가 아는 것, 그리고 모르는 것

독일은 공식 충전 포인트 등록부에서 운영사에 사이트의 Plug&Charge 지원 여부를 명시적으로 묻는 유일한 대형 유럽 시장이다. 우리는 그 답변을 추출했다.

Aral pulse는 독일 DC 사이트 87곳 중 53곳을 신고했다. Allego는 68곳 중 11곳을 신고했다. 수년간 전체 네트워크에서 ISO 15118-2 Plug&Charge를 운영해 온 Ionity는 61곳 중 한 곳만 신고했다. Tesla는 268곳 중 한 곳도 신고하지 않았다.

이 차트는 Plug&Charge를 측정하는 것이 아니다. 누가 양식을 작성했는지를 측정한다.

이것이 핵심 발견이다. 대륙 전체의 의무화 첫해, 유럽에서 충전 포인트가 가장 많고 등록 관리도 가장 성실한 시장에서조차 Plug&Charge가 어디서 작동하는지 보여주는 신뢰할 만한 공개 기록은 없다. 우리가 보유한 다른 모든 국가 등록부 — 프랑스, 북유럽, 이탈리아, 네덜란드 — 는 아예 이 질문을 하지도 않는다.

운전자는 플러그를 꽂고 기다려본 뒤에야 알게 된다.

한편, 투박한 버전은 계속 작동한다

Autocharge는 그 모든 장치 없이 같은 일을 해낸다. 충전기는 DC 핸드셰이크 중 차량이 브로드캐스트하는 식별자 — 보통 MAC 주소 — 를 읽어 계정과 대조하고 충전을 시작한다. 한 번의 등록, 인증서 없음, 신뢰의 루트 없음, 풀 없음, 청산소 없음.

물론 문서상으로는 안전하지 않다. MAC 주소는 식별자이지 비밀정보가 아니다. 이를 읽을 수 있는 사람이라면 원칙적으로 이를 제시할 수 있고, 운영사가 취할 수 있는 유일한 방어책은 악용된 주소를 블랙리스트에 올리는 것이다. ISO 15118 공동 저자인 Marc Mültin은 그다지 완곡하지 않게, “Autocharge: 그것이 무엇이며 왜 나쁜 생각인가”라는 제목의 글을 발표했다.

보안에 관한 한 그는 옳다. 하지만 그는 보안 버전이 인증서를 기다리는 동안 유럽 전역에서 조용히 돌아가고 있는 무언가를 설명하고 있기도 하다.

EnBW, Mer, Electra, Fastned, Powerdot, GRIDSERVE 등을 비롯한 사업자에서 Autocharge가 운영 중입니다. Powerdot은 프랑스, 벨기에, 스페인, 폴란드 전역에서 Miio에 이어 Chargemap과 함께 이를 도입했습니다. 계약 인증서를 절대 받지 못할 차량에서도, PKI에 절대 참여하지 않을 충전소에서도 작동합니다.

6개는 표본일 뿐 전수조사가 아닙니다. Autocharge 도입 현황을 공개하는 곳은 없습니다 — 바로 그 점이 다시 한번 핵심입니다. 규모를 가늠해 보면, 당사 데이터베이스에는 유럽 전역의 공공 DC 사이트가 약 135 000개 있습니다. 실제 Autocharge 규모는 이 표본보다 큽니다. 얼마나 더 큰지는 누구도 말할 수 없습니다.

Autocharge도 일관되게 작동하는 것은 아니다 — 그리고 그게 중요하다

문제는, 그리고 사업자들도 이를 숨기지 않는데, 네트워크에서 Autocharge를 활성화한다고 해서 그 네트워크의 모든 충전기에서 활성화되는 것은 아니라는 점입니다.

DC에서만 작동합니다. 식별자는 DC 충전에 필수적인 디지털 핸드셰이크를 타고 전달되며, 일반 AC 충전에는 그런 대화 자체가 없습니다 — 바로 이 공백을 메우기 위해 ISO 15118이 만들어졌습니다. 충전기에는 OCPP 1.5 이상과 이 기능을 지원하는 펌웨어도 필요하므로, Autocharge가 지원되는 네트워크 안에서도 구형 장비는 그냥 작동하지 않습니다. 예를 들어 GRIDSERVE는 기존 설비 전체에 일괄 적용하는 대신 신형 하드웨어와 함께 이를 도입했습니다.

그리고 차량 문제가 있습니다. Volkswagen Group의 MEB 플랫폼은 MAC 주소를 순환 변경하므로 ID.3, ID.4, ID.5, Skoda Enyaq, Audi Q4 e-tron, Cupra Born에서는 Autocharge가 구조적으로 불가능합니다. CHAdeMO 차량은 설계상 제외됩니다. 일부 구형 모델은 애초에 이를 지원하지 않았습니다.

따라서 운전자 경험은 이렇습니다. 되다가도 안 되며, 어느 충전기나 어느 차량이 예외가 될지 미리 알 수 없습니다. 말 그대로, 방금 Plug&Charge에 대해 제기했던 바로 그 불만입니다.

이것이 솔직한 평가입니다. Autocharge는 더 나은 시스템이 아닙니다. 먼저 출시된, 더 열등한 시스템입니다. 그리고 출시된다는 사실은 생각보다 훨씬 큰 가치가 있었습니다.

규제에 아무도 넣지 않았던 세 번째 길

표준화 기구들이 논쟁하는 동안, 더 조용한 해법이 떠오르고 있습니다. 차량 자체의 데이터 연결을 통해 차를 식별하고, 케이블을 통한 대화는 아예 건너뛰는 방식입니다.

Ford는 이미 이를 하고 있습니다. 표준 프로비저닝 흐름을 쓰는 대신 자체 텔레매틱스 기반 인증서 전달 방식을 구축했습니다. 2026년 봄, Vattenfall InCharge와 WirelessCar는 스웨덴, 네덜란드, 독일에서 700명 이상의 운전자가 참여한 파일럿을 진행했습니다. 카드도, 앱도, 인증서도, MAC 주소도 없이 — 차량이 클라우드에 자신이 어느 충전기에 연결됐는지만 알리는 방식으로 충전 세션을 시작했습니다.

텔레매틱스에는 명백한 결함이 있습니다. 완성차 업체의 협력이 필요하고, 고객 관계를 완성차 업체에 넘겨준다는 점입니다. 어쩌면 სწორედ 그 이유로 완성차 업체들이 이 방식을 좋아하는 것일지도 모릅니다.

보안 논거를 진지하게 받아들이면

그 모든 장치가 필요한 이유는 분명히 있습니다. 인증서는 폐기, 부인 방지, 그리고 Autocharge가 초래할 수 있는 바로 그 식별자 스푸핑에 대한 방어를 제공합니다. Plug&Charge가 수백만 건의 무인 결제를 처리할 것이라면, 암호 기술은 올바른 답입니다.

그러다 2025년 12월이 찾아왔습니다.

연구진은 ISO 15118 Plug&Charge 결제를 겨냥한 작동 가능한 릴레이 공격을 공개했습니다. 가짜 충전기, 릴레이된 핸드셰이크, 그리고 타인의 청구서입니다. 완전한 개념증명으로, USENIX VehicleSec 2026에 채택됐습니다.

Hubject의 진정한 공로로 말하자면, 수석 저자는 Hubject 자체 무대인 ICNC26에서 이 연구를 발표합니다. 세션 제목은 “Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”입니다. 이것이 진지한 업계가 나쁜 소식을 다루는 방식입니다.

하지만 두 사실을 나란히 놓고 보십시오. 7년간의 인증서 인프라는 여전히 릴레이 공격이 가능한 시스템을 만들어냈습니다. 그것이 대체하려 했던 것 — 조회 테이블 속 MAC 주소 — 은 조용히 4개국에서 운영되고 있습니다. 복잡성은 영업 자료가 암시한 것보다 적은 안전성을 샀습니다.

완성차 업체는 준비됐다. 충전기는 아니다.

차량 측면에서는 거의 해결된 문제입니다. Porsche Taycan과 Mercedes EQS가 먼저 도달했습니다. 오늘날 목록에는 Volkswagen ID 라인업, Skoda Enyaq, Audi Q4 e-tron, Cupra Born, BMW i4, i5, i7, iX, Hyundai Ioniq 5 및 6, Kia EV6 및 EV9, Genesis GV60, Volvo EX90 및 EX60, 그리고 model year 2026부터의 Polestar가 포함됩니다.

Volvo는 2026년 6월 미국 내 35 000개 충전소에서 Plug&Charge를 활성화했습니다. GM은 여름에 Empower에서 도입 계획을 발표했습니다. 대체로 차량은 제 몫을 해내고 있습니다.

두 가지 세부 사항이 이 그림을 망칩니다. Ford는 보안을 이유로 표준 프로비저닝 흐름을 쓰지 않고 자체 텔레매틱스 기반 인증서 전달 방식을 구축했습니다. 완성차 업체가 표준에 도달하기 위해 당신의 생태계를 우회한다면, 그 생태계에는 제품 문제가 있는 것입니다.

그리고 2025 model-year EV를 위한 BMW 자체 서비스 공지는 딜러들이 예상해야 할 장애 유형을 열거합니다. Plug&Charge 메뉴가 나타나지 않음, 계약 설치 실패, 설치 후 계약이 사라짐, 제공업체가 아예 계약을 전송하지 않음. 공장이 정비 매뉴얼에 문서화한 마찰입니다.

충전기 제조사 쪽에서 2027년 마감 시한은 정책 논쟁을 넘어 공급망 문제가 됩니다. Alpitronic은 ISO 15118-20 지원의 구현 시점을 “TBC”로 표기합니다. 이 회사만 그런 것은 아닙니다.

2026년부터 유럽 공공용으로 설치되는 하드웨어에는 첫날부터 PLC 지원 통신 컨트롤러가 필요합니다. 펌웨어로 나중에 지원하겠다는 약속만으로는 충분하지 않습니다. 이는 해당 소프트웨어가 완성되기 2년 전에 내려야 하는 BOM 결정입니다.

우리는 이 일을 전에 해봤다

2015년, 당사 창립자 Ole Henrik Hannisdahl은 베를린 ICNC 무대에 올라 로밍 업계 관계자들로 가득한 방에서 이렇게 말했습니다. 로밍은 운전자가 충전기에 다가가 그냥 이용하는 일을 너무 어렵게 만든 업계가 스스로 만들어낸 문제의 해법이라고 말입니다.

그는 다시 초대받지 못했습니다.

그 주장이 불편한 이유는 시간이 지나도 너무 잘 들어맞기 때문입니다. 로밍은 상업적으로 성공했습니다. 동시에, 그것이 덮어두기 위해 만들어진 파편화를 고착시켰습니다. 11년이 지난 지금도 유럽 운전자들은 RFID 카드가 든 지갑과 앱으로 가득한 폴더를 들고 다니며, 정산 레이어는 애초에 운전자 잘못이 아니었던 문제에 붙는 영구적인 세금이 됐습니다.

그 본능은 여전히 건재합니다. 2025년 12월, Atlante, Electra, Fastned, Ionity는 어느 회원 네트워크의 운전자든 다른 회원 네트워크에서 충전할 수 있도록 ChargeLeague를 설립했습니다. 동맹이 만든 파편화를 고치기 위한 또 하나의 동맹입니다. 우리는 이 영화를 본 적이 있습니다.

Plug&Charge는 과거 로밍과 같은 윤곽을 지녔습니다. 진정으로 뛰어난 사용자 경험이 중개자를 필요로 하고, 중개자가 가격을 매기며, 독일 등록부의 증거에 따르면 공공 기록에는 보이지도 않는 신뢰 레이어를 통해 제공됩니다. 그것이 해결하는 사용자 문제는 실재합니다. 그것이 필요로 하는 거버넌스 구조는 아무도 원하지 않았던 부분입니다.

징후는 이렇습니다. 기술적으로 더 조악한 Autocharge가 현재는 더 나은 제품입니다. 참여자는 더 적고, 인증서는 필요 없으며, 지금 작동하고, 더 많은 네트워크와 더 많은 국가에서 이용할 수 있습니다. 이는 좋은 엔지니어링을 만드는 사람들에게는 안심이 아니라 걱정거리가 되어야 합니다.

그렇다고 ISO 15118을 포기하자는 주장은 아닙니다. 이는 올바른 표준이며, 양방향 충전이 모든 차량을 그리드 자산으로 바꾸면서 보안 논거는 더욱 강해질 것입니다. 생태계를 지루하게 만들자는 주장입니다.

해결책은 네 가지였다. 유럽에 이제 갖춰진 여러 경쟁 루트. 북미에는 있지만 유럽에는 없는, 누구나 참여할 수 있는 공동 신뢰 목록. 지원 티켓 없이도 가능한 인증서 프로비저닝. 그리고 실제로 어디에서 작동하는지 알려주는 공개 등록부 — 운전자가 찾을 수 없는 기능은 기능이 아니기 때문이다.

유럽은 프로토콜만 의무화하고 나머지 세 가지는 건너뛰었다.

Hubject가 9월 1일부터 3일까지 Tempelhof에 업계를 모은다. 의제에는 “Plug&Charge: Expanding Possibilities”와 릴레이 공격 관련 세션이 모두 포함돼 있다. 어느 쪽 세션장이 더 찰지 지켜볼 만하다.