2026년 1월 20일 유럽위원회가 기존 사이버보안법(EU Cybersecurity Act, 2019/881)의 개정안인 CSA2를 공식 제안했다. 핵심 변화는 세 가지이다. 첫째, 기존의 자발적 사이버보안 인증 제도를 주요 부문에서 의무 인증으로 전환한다. 둘째, ICT 공급망 보안에 대한 EU 수준의 리스크 평가를 도입하고 집행 가능한 완화 조치를 마련한다. 셋째, ENISA의 역할을 자문 기관에서 보다 운영적(operational)인 기관으로 재편한다. 특히 NIS 협력그룹은 이미 커넥티드·자율주행 차량(CAV)을 포함한 ICT 공급망 리스크 평가를 채택한 상태여서, CSA2 하에서 자동차 분야의 사이버보안 인증이 의무화될 가능성이 높다. ETSI는 CSA2 제100조 4항(a)에 대해 공식 반대 의견을 표명한 바 있어, 유럽 표준화 기구와 규제 당국 간의 기술적 이견도 존재한다. 유럽의회와 이사회의 정치적 합의는 2026~2027년에 이루어질 것으로 전망된다.