2026.10.15

美 BIS, 소프트웨어 자동 업데이트도 수출통제 위반으로 제재

I. 개요

미국 상무부 산업안보국(Bureau of Industry and Security, “BIS”)은 2026년 10월 2일 광학·조명 설계 소프트웨어 업체 Lambda Research Corporation(“Lambda”)와의 행정 집행 합의를 승인하는 명령을 발표하였습니다.1 BIS는 Lambda가 2021년 4월부터 2025년 8월까지 Entity List에 등재된 Huawei Technologies Japan K.K.(“Huawei Japan”)와 Shenzhen SiCarrier Technologies Co., Ltd.(“SiCarrier”)에 BIS 허가 없이 소프트웨어를 수출·전송하고 관련 서비스를 제공하였으며, Unverified List(“UVL”) 등재 기관에 소프트웨어 라이선스를 수출하면서 UVL Statement(UVL 등재자로부터 거래 전에 받아야 하는 확인서)를 받지 않았다고 보아 총 66건의 미국 수출관리규정(Export Administration Regulations, “EAR”) 위반 혐의를 제기하였고, Lambda는 해당 행위를 인정하였습니다. 민사제재금은 200만 달러(약 26억 원)로 정해졌으나, Lambda의 제한적인 지급 능력을 고려해 1년간 전액 유예되었으며 합의 조건을 이행하면 면제됩니다.

본 뉴스레터에서는 BIS가 제기한 주요 혐의를 살펴보고, 실무상 고려해야 할 시사점을 정리합니다.

II. 주요 내용

1. 사건 개요

Lambda는 미국 매사추세츠주에 소재한 민간 기업으로, 광학·조명 설계 소프트웨어와 엔지니어링 서비스를 제공합니다. BIS가 제기한 2021년 4월부터 2025년 8월까지 66건의 위반 혐의는 크게 세 가지로 나뉩니다.2

Huawei Japan에 TracePro, OSLO, IGES 및 STEM 소프트웨어의 라이선스를 인증·관리하기 위한 USB 형태의 하드웨어 라이선스 키인 CodeMeter dongle(이하 “동글”) 수출과 유지보수·지원 구독 판매 11건(EAR §764.2(e) - ‘위반 사실을 알면서 거래’ 관련 조항 – 적용)
Huawei Japan에 47회, SiCarrier에 7회 등 모두 54회에 걸쳐 소프트웨어 자동 업데이트를 전송(EAR §764.2(a) – ‘금지된 행위에 관여’ 관련 조항 – 적용)
Unverified List (UVL)에 등재된 중산대학(Sun Yat-Sen University) 소속 연구소(“SMSEL”)에 소프트웨어 라이선스를 공급하면서 UVL statement를 받지 않은 1건(EAR §764.2(a) – ‘금지된 행위에 관여’ 관련 조항 – 적용)

2. 혐의 (1): 라이선스 동글의 이전과 접근정보

Huawei Japan은 2019년 5월 16일 Entity List에 추가되었습니다. Lambda는 이후 일본 유통업체를 통해 TracePro, OSLO, IGES 및 STEM 소프트웨어의 라이선스가 저장된 CodeMeter USB 동글을 Huawei Japan에 수출하였습니다.

BIS는 이 동글의 이전이 위반 당시 시행되던 EAR §734.19가 규율하는 ‘접근정보(access information)’의 이전에 해당한다고 보았습니다(해당 조항은 현행 EAR에서는 §734.19(a)에 규정되어 있음). 이 조항은 소프트웨어 이전에 허가가 필요한 경우, 그 이전으로 소프트웨어가 허가 없이 제공된다는 점을 알면서 접근정보를 이전하면 이에 상응하는 허가를 받아야 한다는 취지입니다.3 여기서 접근정보는 일반적으로 암호화된 소프트웨어·기술을 사용할 수 있게 해 주는 복호화 키, 접속 코드, 비밀번호 등을 의미합니다.4 즉, 소프트웨어 파일 자체가 아니라 이를 쓸 수 있게 하는 정보를 넘기더라도 소프트웨어를 넘긴 것과 같이 허가가 필요할 수 있다는 취지입니다.

BIS는 동글과 함께 발송된 라이선스 서류에 Huawei Japan이 라이선시로 명시되어 있었다는 점을 들어, Lambda가 소프트웨어가 Huawei Japan에 제공된다는 사실을 알고 있었다고 판단하였습니다. 아울러 Lambda는 같은 기간 Huawei Japan에 연간 유지보수·지원 구독을 6회 판매하였는데, 이 구독에는 기술지원·다운로드 영역에 대한 접근, 신규 버전의 제공, 자동 업데이트 수신이 포함된 것으로 기재되어 있었습니다.

3. 혐의 (1)과 관련하여 적시된 ‘인지’ 판단 사실관계

혐의 (1)에는 위반 사실을 알면서 한 행위를 규율하는 §764.2(e)가 적용되었기 때문에, Lambda가 무엇을 알았는지가 쟁점이 되었습니다. EAR §772.1은 ‘인지(knowledge)’에 어떤 상황이 존재하거나 발생할 것이 실질적으로 확실하다는 적극적 인지뿐 아니라 그 존재나 발생의 높은 개연성에 대한 인식도 포함된다고 규정하며, 알려진 사실을 의식적으로 무시하거나 의도적으로 회피한 정황으로부터 인지를 추론할 수 있다고 규정합니다.

기소장에 따르면, Lambda는 2025년 10월 31일 BIS에 자진신고서를 제출하였는데, Lambda의 경영진 등은 2019년 5월 Huawei의 등재 보도를 알고 법적 영향을 검토하였으나 그 검토가 뉴스 기사와 보도자료를 확인하고 경쟁사가 판매를 계속하는지 알아보는 데 그쳤던 것으로 보입니다. 2019년 6월 전직 직원이 BIS에 문의 이메일을 보냈다는 Lambda의 주장은 이를 뒷받침하는 자료가 제출되지 않았고, 해당 직원의 퇴사 이후에는 누구도 BIS에 후속 문의를 하지 않았던 것으로 보입니다. 또한 Lambda는 2024년 9월 경쟁사가 2019년에 Huawei와의 거래를 중단하였다는 사실을 알게 된 후에도 즉시 거래를 종료하지 않았고, 2019년 5월부터 2025년 4월까지 Huawei 관련 수출 제한에 관하여 법률 자문을 구하지 않았으며, 서면 수출통제 절차와 관련 교육, 전담 인력도 갖추고 있지 않았던 것으로 이해됩니다.

4. 혐의 (2): 소프트웨어 자동 업데이트

BIS는 TracePro, OSLO 자동 업데이트 각각이 EAR상 수출에 해당한다고 보았고, 위반 건수도 업데이트 횟수에 따라 산정하였습니다. 소프트웨어는 한 번 판매하면 끝나는 것이 아니라 유효한 라이선스에 따라 새 버전이 반복적으로 제공되는 경우가 많은데, BIS는 이렇게 제공되는 업데이트마다 별도의 수출이 이루어진다고 본 것입니다.

먼저 Huawei Japan에 대해서는 2021년 4월부터 2025년 8월까지 TracePro 업데이트 42회와 OSLO 업데이트 5회, 합계 47회가 전송되었습니다. Huawei Japan은 2019년 5월 이미 등재되어 있었고 이들 거래는 모두 2021년 4월 이후에 이루어졌습니다.

SiCarrier 건에서는 거래의 시간 순서가 쟁점이 되었습니다. Lambda는 2024년 5월부터 9월까지 중국 유통업체를 통해 ChinaSoft Technology(Shenzhen) Corporation Limited(“ChinaSoft”)에 TracePro 영구 라이선스 15건을 판매하였습니다. 2024년 5월 7일자 인보이스는 이 중 11건의 최종사용자를 “ChinaSoft (Sicarrier)”로 기재하였고, Lambda는 BIS에 최초로 자진신고한 이후 진행한 조사에서 ChinaSoft가 SiCarrier를 위해서 취득한 라이선스가 3건임을 확인하였습니다. SiCarrier는 2024년 12월 2일 Entity List에 등재되었고, 이후에는 라이선스 예외(license exception)가 적용되지 않으며 허가 신청은 원칙적으로 불허되는 심사정책(presumption of denial)을 따릅니다. BIS는 위 3건의 라이선스 판매가 등재 이전에 이루어졌으므로 허가 의무 위반에 해당하지 않는다고 보았습니다. 그러나 등재 이후인 2025년 2월 6일, 5월 7일 및 8월 12일에 해당 라이선스에 따라 TracePro 자동 업데이트를 전송한 행위를 허가 없는 수출로 판단하여 총 7건의 위반으로 집계하였습니다. 특히 BIS의 위반 목록에 따르면, 같은 날 동일한 버전의 업데이트가 여러 라이선스를 통해 전송된 경우에도 라이선스별로 각각 별도로 위반으로 집계된 것으로 보입니다.

5. 혐의 (3): UVL Statement 미취득

UVL은 BIS가 최종사용자로서의 신뢰성을 확인하지 못한 외국 당사자를 게재한 목록으로, Entity List와 달리 등재자와의 거래에 허가가 일률적으로 요구되지는 않습니다. 다만 허가가 필요 없는 거래라도 UVL 등재자가 관여하는 경우에는 거래 전에 그 당사자로부터 ‘UVL statement’를 받아야 합니다.5 Lambda는 2023년 11월경 중국 유통업체를 통해 TracePro, RayViz 소프트웨어 라이선스를 SMSEL에 공급하면서 UVL statement를 사전에 징구하지 않았습니다. 기소장에 따르면 구매주문서에 다른 명칭의 연구소가 기재되어 있었고, 라이선스 양식상 라이선시가 SMSEL 부교수로서 중산대학 주하이 캠퍼스 주소를 사용하였다는 점이 지적되었습니다.

6. 제재 내용 및 이행 조건

이번 조치에 따라 Lambda에 부과된 200만 달러의 민사제재금은 명령 발령일부터 1년간 전액 유예되었으며, 그 기간에 합의와 명령을 이행하고 다른 위반이 없으면 이후 면제됩니다. 이를 이행하지 못하면 유예된 금액이 즉시 전액 납부 대상이 될 수 있습니다. 나아가 Lambda는 수출통제 담당자를 2인 이상 지정하여 3개월 내에 교육을 이수하게 하고, 9개월 내에 명령 이후 6개월간의 수출통제 준수 프로그램에 대한 내부 감사를 마쳐 그 결과를 BIS 수출집행국(Office of Export Enforcement)에 제출해야 합니다. 교육 이수 확인서와 감사 결과의 적시 제출은 Lambda에 대한 수출허가 등의 부여·회복·유효성 유지의 조건으로도 설정되었습니다.

III. 시사점

이번 사건은 Entity List 등재 기업과의 거래에서 거래 개시 시점의 수출통제 검토만으로는 충분하지 않을 수 있음을 보여줍니다. BIS는 판매 시점에는 허가 문제가 없었던 거래라도 거래상대방이 우려거래자 목록에 등재된 이후에 전송된 자동 업데이트는 별도의 허가 대상으로 보았습니다. 따라서 소프트웨어, SaaS 등을 제공하는 기업은 기존 고객의 우려거래자 목록 등재 여부를 지속적으로 재검토하고, 거래상대방이 등재된 경우 자동 업데이트, 구독, 유지보수를 신속히 중단할 수 있는 체계를 갖출 필요가 있습니다.

또한 소프트웨어 거래에서는 수출에 해당하는 행위가 여러 시점에 걸쳐 발생할 수 있다는 점에 유의해야 합니다. 이번 사건에서도 최초 라이선스 제공(동글 포함), 업데이트, 지원 채널 접근이 각각 문제가 되었습니다. 유통업체를 경유하는 거래에서는 인보이스, 발주서 등 거래 서류 전반에 걸쳐 최종사용자 정보가 일관되는지 확인해야 하며, UVL 등재자가 관여하는 거래에서는 UVL statement 취득 여부도 점검 항목에 포함할 필요가 있습니다.

끝으로 이번 사건은 미국 법인의 미국발 수출에 관한 것이지만, 우리 기업이 미국산 소프트웨어·기술 등을 재수출하거나 이전하는 경우에는 EAR이 적용될 수 있으므로, 대상 품목이 EAR 적용 대상인지를 포함하여 개별 거래별로 EAR 위반 가능성을 검토해야 합니다.

한편 Lambda는 2025년 10월 31일 BIS에 자진신고서를 제출한 것으로 보입니다. 이번 제재조치에 자진신고가 어느 정도 유리한 양형요소로 반영되었는지는 문언상 명확하지 않습니다. 다만 회사는 자진신고를 통해 사실관계 확정의 토대가 된 정보를 제공하였고, 여기에는 경영진이 Huawei의 등재 사실을 알고 있었다는 점 등 회사에 불리한 내용까지 포함되어 있었습니다. 이러한 점을 고려하면, BIS가 제재 수준을 결정하는 과정에서 회사의 자진신고를 조사의 협조로 고려하였을 가능성이 높습니다. 따라서 기업이 EAR 위반 가능성을 발견한 경우에는 사안에 따라 BIS 자진신고 여부를 신중히 검토하는 것도 고려해봄 직 합니다.

* * *

법무법인 태평양 수출입규제대응센터는 전략물자 및 해외수출통제(ITAR, EAR 등), 방산물자 및 국방과학기술(방위산업기술 포함) 수출통제, 국가핵심기술(NCT) 및 국가첨단전략기술(NHT), 국가안보심의 및 투자심사, 국내외 수출입규제 대응 컴플라이언스 시스템 구축 및 지원, 관세청 등 수사 및 조사 대응, 외환거래 및 대외투자 관리, 국제분쟁 및 조사대응 등 광범위한 영역을 아우르고 있습니다. 각 분야에서 풍부한 경험과 전문성을 갖춘 다수의 전문가들이 협업하여, 개별 고객의 상황과 필요에 최적화된 맞춤형 자문 서비스를 제공하고자 합니다.

저자: 김지이나 변호사, 황호성 전문위원, 김보찬 외국변호사(미국 New York주), 김소담 변호사

BIS (2026.10.3). “BIS Reaches Administrative Enforcement Settlement with Lambda Research Corporation”.
이 사건에 적용된 처벌 조항은 두 가지입니다. EAR §764.2(a)는 금지된 행위를 한 것 자체(engaging in prohibited conduct)를, EAR §764.2(e)는 위반이라는 점을 알면서 그 행위를 한 경우(acting with knowledge of a violation)를 문제 삼습니다.
EAR §734.19(a). To the extent an authorization would be required to transfer “technology” or “software,” a comparable authorization is required to transfer “access information” if done with “knowledge” that such transfer would result in the release of such “technology” or “software” without a required authorization.
§ 772.1 Definitions of terms as used in the Export Administration Regulations (EAR). Access information. For purposes of § 734.19(a), information that allows access to encrypted technology or encrypted software in an unencrypted form. Examples include decryption keys, network access codes, and passwords.
§ 744.15 Restrictions on exports, reexports and transfers (in-country) to persons listed on the unverified list. UVL statement. Before proceeding with any export, reexport, or transfer (in-country) subject to the EAR that is not subject to a license requirement, involving a person listed on the Unverified List as a party described in § 748.5 of the EAR, an exporter, reexporter, or transferor (in-country) must obtain a UVL statement from such person, according to the provisions set forth in this section. The statement must be retained in accordance with part 762 of the EAR.