탈린 매뉴얼: 사이버 작전에 국제법을 적용하는 기준
탈린 매뉴얼의 성립 배경과 국제법 적용 범위, 무력 사용·국가 책임·주권 판단 기준 및 주요 사례를 정리한다.
2026-08-14 · 최초 발행 2025-06-28
사이버 작전에 국제법을 대입하는 출발점
탈린 매뉴얼(Tallinn Manual)은 사이버 공간에서 벌어지는 행위에 국제법을 어떻게 적용할 수 있는지 다룬 최초의 포괄적 연구 결과물이다. NATO 협력사이버방위센터(CCDCOE: Cooperative Cyber Defence Centre of Excellence)가 개발을 주도했으며, 명칭은 센터가 위치한 에스토니아 수도 탈린에서 나왔다.
이 문서는 새로운 국제법을 제정한 조약이 아니다. 국제법 전문가들이 기존 국제법을 사이버 공간의 분쟁과 작전에 적용하는 방식을 분석한 비구속적 지침서다.
에스토니아 공격 이후 시작된 논의
2007년 에스토니아에서는 러시아 해커로 추정되는 공격자들의 DDoS 공격으로 정부, 은행, 언론사 웹사이트가 마비됐다. 러시아계 주민 관련 동상 이전 문제를 계기로 발생한 이 사건은 국가를 대상으로 한 최초의 대규모 사이버 공격으로 기록됐다.
당시 국제법 체계는 사이버 공격에 대응할 법적 틀을 충분히 갖추지 못했다. NATO는 2009년 탈린에 CCDCOE를 설립했고, 이후 2013년에는 Tallinn Manual on the International Law Applicable to Cyber Warfare를 발간했다. 2017년에는 적용 범위를 넓힌 Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations가 나왔다.
전쟁 상황을 다룬 탈린 매뉴얼 1.0
탈린 매뉴얼 1.0은 사이버 전쟁에 적용할 국제법 프레임워크를 제시한다. 95개의 규칙(Rules)과 해설로 구성됐으며, 주권과 국가 책임, 국제인도법, 무력 사용 금지 원칙, 자위권, 사이버 무력 충돌법을 다룬다.
평시 작전까지 넓힌 탈린 매뉴얼 2.0
2.0은 사이버 전쟁에 한정하지 않고 일상적인 사이버 작전에도 적용할 수 있는 국제법 규범을 포함했다. 규칙 수는 총 154개로 늘었다.
여기에는 평시 사이버 작전에 적용되는 국제법, 국가의 사이버 기반시설 보호 의무, 국제인권법의 사이버 공간 적용이 포함된다. 외교법·통신법·우주법·해양법의 적용 가능성, 국제조직의 사이버 활동 관련 책임, 제한적 반격(Countermeasures)의 법적 기준도 추가로 다뤄진다.
무력 사용을 판단하는 규모와 효과
규칙 69는 다음과 같이 설명한다. “사이버 작전이 그 규모와 효과에서 비사이버 작전에 의한 무력 사용과 유사하다면 무력 사용에 해당한다.”
판단의 중심에는 “규모와 효과(scale and effects)”가 있다. 인명 및 재산 피해의 정도인 심각성(Severity), 피해가 발생하는 속도인 즉시성(Immediacy), 공격과 결과의 인과관계인 직접성(Directness)을 함께 본다. 방어 시스템 침투 수준인 침투성(Invasiveness), 피해를 정량적으로 측정할 수 있는지에 관한 측정가능성(Measurability), 군사 목적과의 관계인 군사적 성격(Military Character), 국가 관여 수준인 국가 개입(State Involvement), 행위의 국제법적 적법성 추정 여부인 추정적 합법성(Presumptive Legality)도 판단 요소다.
자위권으로 이어지는 사이버 무력 공격
규칙 71은 “사이버 작전이 그 규모와 효과에서 비사이버 무력 공격과 유사하다면 무력 공격에 해당한다.”고 본다. 이는 무력 사용보다 더 높은 기준이다.
사이버 작전이 무력 공격으로 인정되면 UN헌장 제51조에 따른 자위권 행사가 가능해진다. 원자력 발전소 제어 시스템 공격으로 방사능 유출이 발생하거나, 항공 관제 시스템 공격으로 대규모 항공기 충돌이 유발되는 사례는 이 기준을 검토할 수 있는 상황으로 제시된다.
국가 책임은 누구의 행위인가에서 시작된다
규칙 14는 “국가는 자국에 귀속되는 국제적 의무에 위반하는 사이버 작전에 대해 국제적 책임을 진다.”고 정한다. 따라서 공격이 일어났다는 사실만으로 국가 책임이 곧바로 성립하는 것은 아니다.
국가 귀속성(State Attribution)은 국가 기관이 직접 수행했는지, 국가의 지시·통제·승인 아래 이뤄졌는지, 비국가 행위자가 국가를 대신해 행동했는지를 기준으로 판단한다.
사이버 작전과 주권 침해
규칙 4는 “국가는 자국 영토 내에서 다른 국가의 사이버 기반시설이나 활동에 대한 주권을 존중해야 한다.”고 설명한다.
물리적 피해를 초래하는 작전, 기능 상실을 일으키는 작전, 정부 기능을 방해하는 작전, 동의 없이 국가 기반시설에 침투하는 작전은 주권 침해 사례로 검토된다.
사건에 대입해 본 판단 기준
에스토니아를 겨냥한 2007년 공격
러시아계 주민 관련 동상 이전 문제 이후 대규모 DDoS 공격이 발생했다. 인명 또는 물리적 피해가 없었기 때문에 무력 사용 수준에는 이르지 못한 것으로 분석된다.
다만 러시아 정부의 관여를 입증하기 어려워 국가 귀속성 판단에는 한계가 있었다. 국가 인프라 기능이 손상됐다는 점에서는 주권 침해가 명확한 사안으로 다뤄진다.
이란 시설을 겨냥한 2010년 스턱스넷
스턱스넷(Stuxnet)은 이란 나탄즈 우라늄 농축시설의 원심분리기 제어시스템을 공격했다. 물리적 피해가 발생했다는 점에서 무력 사용으로 평가될 가능성이 높다.
공격의 정교함과 규모를 근거로 이스라엘과 미국의 국가 주도 가능성이 추정됐으며, 이란의 주권 침해도 명확한 것으로 분석된다. 다만 무력 공격에 해당하는지, 따라서 자위권 발동 가능성이 있는지는 논쟁적이다.
2017년 워너크라이 랜섬웨어
워너크라이(WannaCry)는 전 세계 150개국 30만대 이상 컴퓨터를 감염시켰고, 영국 NHS 등을 포함한 중요 인프라에 영향을 줬다. 이 공격은 무력 사용 수준에는 미치지 못한 것으로 분석됐다.
북한 정부 소속 해커그룹 Lazarus와의 연관성이 지적되면서 국가 귀속성 문제가 제기됐다. 다수 국가의 주권 침해와 함께 반격(Countermeasures) 가능성도 검토 대상이 된다.
지침서가 남긴 법적·기술적·정치적 공백
탈린 매뉴얼은 비구속적(Non-binding) 문서여서 법적 강제력이 없다. 전문가 의견이라는 성격 때문에 국가 관행이나 법적 확신(opinio juris)이 부족하고, 각국의 공식 입장과 차이가 있을 수 있다. 사이버 공간에서 귀속성(Attribution)을 입증하기 어렵다는 점도 법적 적용의 제약이다.
기술 변화도 빠르다. 공격의 정확한 출처를 확인하기 어렵고, 비국가 행위자와 국가 행위자를 구별하는 경계도 모호하다. 자율형 AI 기반 사이버 무기의 등장은 새로운 법적 문제를 만든다.
정치적으로는 미국, 러시아, 중국 등 주요 사이버 강국의 이해관계가 충돌한다. 사이버 공간에 국제법을 적용하는 방식에 관한 국가 간 합의가 부족하며, 전략적 모호성(Strategic Ambiguity)을 유지하려는 경향도 있다. UN GGE(Group of Governmental Experts)와의 연계 부족 역시 과제로 남는다.
2025년 발간 예정인 탈린 매뉴얼 3.0
탈린 매뉴얼 3.0은 2025년 발간 예정이다. AI와 자율 시스템을 활용한 사이버 작전의 법적 규제, 양자컴퓨팅 시대의 사이버 보안과 국제법, 국가 기반시설 보호를 위한 국제법상 의무 강화가 예상 주요 내용이다.
우주 자산을 대상으로 한 사이버 공격 관련 규범과 디지털 주권 개념의 확장, 데이터 국경 통제도 다뤄질 것으로 예상된다.
국내 정책에서의 참조
국방부는 2019년 ‘사이버작전 수행지침’을 마련할 때 탈린 매뉴얼을 참조했다. 국가정보원은 2021년 사이버 안보 전략을 수립하면서 탈린 매뉴얼 기준을 반영했다.
2022년에는 국제법학회가 탈린 매뉴얼 연구 분과를 설립했다. 국내 국방 사이버 정책과 전략을 수립하는 과정에서도 이 매뉴얼의 참조가 확대되고 있다.
규범 형성의 참고점으로 남는 이유
탈린 매뉴얼은 사이버 공간에서 국제법을 적용하는 선구적 연구로서 의미를 갖는다. 강제력은 없지만 국제사회의 사이버 안보 규범 형성에 영향을 미쳤고, 사이버 작전의 법적 경계를 검토하는 핵심 참고 자료로 활용된다.
기술과 작전 양상이 바뀌는 만큼 지속적인 업데이트와 보완이 필요하다. 국가 간 합의를 통한 공식적 사이버 국제법 체계를 구축하는 과정에서 정보보안 전문가, 국제법 전문가, 정책 입안자가 함께 이해해야 할 지침서다.