유럽 규제로 시작된 디지털 주권 클라우드가 아시아의 국가 전략이 된 과정

퍼블릭 클라우드에 국가 데이터를 얼마나 맡길 수 있는가라는 질문에 유럽은 규제로 먼저 답했다. GDPR, EU Cyber Resilience Act, ENISA 가이드라인이 차례로 시행되며 유럽 기업과 정부는 데이터 로컬라이제이션을 사실상 강제받았다. 아시아는 다른 경로로 같은 방향에 도달하고 있다 — 규제보다는 지정학적 리스크와 국가 디지털 자립 전략이 동인이다. 두 대륙 모두 귀결점은 같다. 하이퍼스케일러 종속에서 벗어나 오픈소스 기반 자국 인프라를 구축하는 것이다. ASEAN 클라우드 컴퓨팅 시장은 2025년 217.8억 달러에서 2030년 430.6억 달러로 연평균 14.6%(CAGR) 성장할 것으로 전망되는데, 이 가운데 소버린·프라이빗 클라우드 비중이 빠르게 커지고 있다.

KubeCon에서 확인된 온도차

KubeCon + CloudNativeCon Europe 2026(암스테르담, 2026년 3월)은 13,500명 이상이 참석한 역대 최대 오픈소스 행사였다. 여기서 처음 열린 Open Sovereign Cloud Day는 Day-0 코로케이티드 이벤트로는 이례적으로 즉시 매진됐다. 핵심 메시지는 "이식성이 곧 주권이다(Portability is a sovereignty requirement)"였고, 논의 수준도 정책 담론에서 프로덕션급 아키텍처 증명으로 넘어갔다는 평가가 나왔다. 베트남 등 아시아 통신사가 직접 사례로 언급되며 "브뤼셀의 이슈가 이제 글로벌 이슈"라는 발언도 있었다.

앞서 열린 KubeCon NA 2025(애틀랜타, 2025년 11월)에서는 Forrester가 "정치적 변화 시대의 기술 회복력, 주권, 보안"을 주제로 분석을 내놨고, 글로벌 하이퍼스케일러 종속을 해소하려는 논의가 급증했다. Linux Foundation Europe이 EU 규정 준수 기반 오픈 클라우드 인프라를 위해 NeoNephos를 발족한 것도 이 시기다. 2026년 9월부터는 EU Cyber Resilience Act가 상업 소프트웨어 컴포넌트의 투명성 문서화와 취약점 보고를 의무화하는데, 이 규제는 유럽 시장에 진출하려는 아시아 글로벌 기업에도 영향을 미치며 아시아 내 오픈소스 표준화 수요를 함께 밀어올리고 있다.

소버린 클라우드가 수렴하는 기술 스택

KubeCon EU 2026에서는 유럽 규제 산업(통신, 은행, 철도, 국방)을 중심으로 소버린 클라우드의 사실상 표준 조합이 드러났다.

⤢✕

IaaS 레이어는 OpenStack이 컴퓨트·네트워크·스토리지를 통합 관리하고 Ceph가 분산 오브젝트·블록·파일 스토리지를, OVN이 오버레이 SDN과 멀티테넌트 격리를 맡는다. 가상화 레이어에서는 KubeVirt가 VM 워크로드를 Kubernetes로 통합하고, 오케스트레이션 레이어는 Kubernetes 자체와 멀티테넌트 클러스터 프로비저닝을 담당하는 KKP로 구성된다. 거버넌스·운영 레이어는 Kyverno가 보안 컨트롤과 컴플라이언스 자동화를, ArgoCD가 선언형 인프라 딜리버리를 맡는 식이다.

레이어	기술	역할
IaaS	OpenStack	컴퓨트, 네트워크, 스토리지 통합 관리
스토리지	Ceph	분산 오브젝트·블록·파일 스토리지
네트워킹	OVN	오버레이 SDN, 멀티테넌트 격리
가상화	KubeVirt	VM 워크로드를 Kubernetes로 통합
오케스트레이션	Kubernetes	클라우드 네이티브 워크로드
클러스터 관리	KKP	멀티테넌트 클러스터 프로비저닝
정책	Kyverno	보안 컨트롤, 컴플라이언스 자동화
GitOps	ArgoCD	선언형 인프라 딜리버리

아시아에서 가장 앞선 사례, 베트남 Viettel

Viettel은 아시아에서 오픈소스 소버린 클라우드의 가장 포괄적인 실사례를 보여준다. 2026년 기준 프라이빗 클라우드 클러스터 15개, 서버 3,500대 이상, 컴퓨트 코어 112,000개 이상, RAM 1,200TB, 스토리지 11,000TB 이상을 운영하며 동남아시아 최대 규모의 OpenStack 배포를 기록하고 있다.

정책 측면에서는 베트남 MIC(정보통신부)의 e-Government Cloud 표준을 최초로 인증받았고, 2025년 12월 OpenInfra Foundation 플래티넘 멤버(베트남 최초), 2026년 1월 CNCF 골드 멤버가 됐다. 2030년까지 데이터센터를 24개, 랙을 60,000개 이상으로 늘린다는 목표를 세워뒀는데, 현재 5만 랙 운영 기반 위에서의 확장이다. 2026년 1월 발효된 베트남 디지털 기술 산업법(DTL)이 자기결정 디지털 경제 기반을 명문화한 가운데, Viettel의 인프라가 이 국가 디지털 전환의 핵심 기둥 역할을 하고 있다.

아시아 각국의 정책은 저마다 다른 이름을 쓴다

⤢✕

국가	정책/이니셔티브	핵심 방향
베트남	디지털 기술 산업법(DTL)	Viettel OpenStack 기반 e-Gov 클라우드
한국	$7,350억 소버린 AI 이니셔티브	SK-AWS 협력, 자국 AI 모델 육성
인도	Bhashini + DPDP Act	언어 다양성 반영 로컬 AI 모델
인도네시아	GR 71/2019	국내 데이터 처리·저장 의무화
태국	PDPA	데이터 로컬라이제이션 강화

이름은 제각각이지만 방향은 같다. 중요 데이터의 국내 처리, 오픈소스 기반 인프라, 하이퍼스케일러 의존도 감소. APAC 텔코의 82%가 데이터 로컬라이제이션을 하이퍼스케일러 AI 서비스 채택의 최대 장벽으로 꼽는다는 조사 결과가 이 방향성을 뒷받침한다.

지정학이 클라우드 아키텍처 결정에 개입하는 시대

가트너의 2025년 조사에 따르면 서유럽 CIO의 61%가 지정학적 이유로 로컬 클라우드 공급업체 의존도를 높일 계획이라고 답했다. 아시아에서도 같은 패턴이 가속화되고 있다. 미중 기술 패권 경쟁 속에서 미국 관할 인프라에 중요 국가 데이터를 저장하는 것에 대한 재검토, 특정 클라우드 서비스 접근이 차단될 시나리오에 대한 대비, 미국 CLOUD Act 같은 역외 법 적용에 대한 우려, 단일 글로벌 CSP 의존 시 서비스 중단에 대응할 대안 부재 — 이 네 가지가 리스크 드라이버로 꼽힌다.

대응 전략은 조직마다 다르다. 데이터 주권을 최우선에 둔다면 하이퍼스케일러에서 하이브리드·온프레미스로 되돌아가는 재이관(Repatriation)을 택하고, 비용과 주권의 균형을 원한다면 중요 데이터는 국내 소버린으로, 비민감 데이터는 퍼블릭으로 나누는 워크로드 분류가 현실적이다. 특정 CSP 종속을 피하면서 공급업체 협상력을 유지하려면 Kubernetes 표준화를 축으로 한 멀티클라우드·이식성 전략이, 데이터 주권과 레이턴시를 동시에 잡아야 한다면 분산 엣지 클라우드가 맞는다. 장기적인 기술 방향성에 영향을 미치고 싶다면 CNCF·OpenInfra 같은 오픈소스 거버넌스에 직접 참여하는 것도 전략의 하나로 꼽힌다. 2026년 프라이빗 클라우드 지출은 전년 대비 36% 증가한 800억 달러 규모로 성장할 전망이다.

아키텍처 원칙의 수렴점

KubeCon에서 합의된 소버린 클라우드 아키텍처 원칙은 네 가지로 정리된다. 레이어드 소버린티는 글로벌 통합 코드베이스는 유지하되 로컬 운영·규제 정책 배포는 분리하고, 국가별 컴플라이언스 레이어를 오버레이로 얹는 방식이다. 이식성 우선은 특정 공급업체 lock-in을 막는 것 자체를 주권의 핵심 요건으로 보고, Kubernetes 표준으로 클러스터 이동성을, OCI 컨테이너 스펙으로 런타임 독립성을 확보한다. GitOps 기반 감사 가능성은 인프라를 코드로 관리해 재현·감사가 가능하게 하는 것으로, ArgoCD로 선언형 상태를 관리하고 모든 변경 이력을 추적하며 규제 감사 요구사항을 아키텍처 수준에서 내재화한다. 제로 독점 의존성은 하이퍼바이저·데이터베이스·네트워크를 전부 오픈소스로 구성하는 것으로, Sovereign Cloud Stack(SCS)이 레퍼런스 구현을 제공하며 OpenStack과 Kubernetes 기반의 완전 자동화 라이프사이클 관리로 이어진다.

프랑스의 NUBO(부처간 소버린 클라우드)가 이 원칙들의 실사례다. OpenStack 기반에 Kubernetes 서비스 "Kubo"를 얹었고, ANSSI SecNumCloud 인증을 획득했으며, 여러 정부 부처가 공동 운영하며 규모의 경제를 실현하고 있다.

도입 전에 고려할 점

오픈소스 라이선스 비용은 없지만 구축·운영 전문 인력을 확보하는 비용이 만만치 않고, OpenStack 운영 자체가 하이퍼스케일러 매니지드 서비스보다 훨씬 높은 학습 곡선을 요구한다. 국가·기관마다 다른 오픈소스 조합을 채택하면 상호운용성이 떨어질 수 있고, SecNumCloud(프랑스)·C5(독일) 같은 국가별 보안 인증을 받는 데도 상당한 시간과 비용이 든다. 기술 방향성에 영향력을 확보하려면 CNCF·OpenInfra Foundation 참여가 필요하고, 완전한 프라이빗 클라우드 전환 전까지는 하이브리드 운영의 복잡도를 계속 관리해야 한다.