NIS2: 누가 대상이며 어디서부터 시작해야 할까?
유럽의 NIS2 지침은 사이버보안 의무를 지는 조직의 수를 크게 늘립니다. 전문가의 분석을 대신하지 않는 범위에서, 귀사가 대상인지 알아보고 준비하는 데 필요한 기준을 소개합니다.
Kayzen Security 편집팀읽는 데 4분
지침의 주요 내용
2022년 12월 14일 채택된 NIS2 지침은 2016년의 NIS 지침을 대체합니다. 대상 기관에 사이버보안 위험 관리 조치(제21조)와 중대 사고 신고(제23조)를 의무화하고, 경영진에게 책임을 지워 이러한 조치를 승인하고 교육을 받도록 합니다(제20조).
프랑스에서는 법률과 시행 규정을 통해 국내법으로 전환됩니다. 진행 상황과 시행일은 이 가이드를 읽는 시점에 ANSSI 웹사이트에서 확인해야 합니다.
우리 조직도 대상일까? 세 가지 기준
- 업종: 지침은 11개 ‘고위험 핵심’ 업종(부속서 I: 에너지, 운송, 은행, 보건, 수도, 디지털 인프라, 공공 행정, 우주…)과 7개 ‘기타 핵심’ 업종(부속서 II: 우편, 폐기물 관리, 화학, 식품, 특정 제품 제조, 디지털 서비스 제공자, 연구)을 열거합니다. 금융 부문의 경우 위험 관리와 사고 통지에는 DORA 규정(UE) 2022/2554가 우선 적용됩니다.
- 규모: 일반적으로 이들 업종의 중견기업(직원 50명 이상, 또는 매출액과 대차대조표 총액이 각각 1,000만 유로 초과)과 대기업이 대상입니다. 관계사나 협력사의 인원과 금액을 합산해야 할 수 있습니다.
- 규모 예외: 일부 기관은 규모와 관계없이 대상입니다. 특히 공공 전자통신망 또는 서비스 제공자, 신뢰 서비스 제공자, 최상위 도메인 등록 기관과 DNS 서비스 제공자, 그리고 국가 지정에 따라 국내에서 필수 서비스를 유일하게 제공하는 기관 등입니다.
- 지방자치단체와 행정기관은 국내 전환 법률에 따라 대상이 될 수 있습니다.
필수 기관과 중요 기관
두 범주 모두 같은 유형의 조치를 적용해야 하지만 감독 방식이 다릅니다. 필수 기관은 사전 점검이 가능하고, 중요 기관은 사후 점검을 받습니다. 지침은 필수 기관에 대해 더 높은 행정 제재 상한도 정합니다. 프랑스에서 적용되는 금액은 전환 법률에 따릅니다.
제21조 조치 요약
- 위험 분석과 보안 정책.
- 사고 관리.
- 업무 연속성, 백업, 위기 관리.
- 공급망 보안.
- 취약점 관리를 포함한 시스템 획득, 개발, 유지보수의 보안.
- 조치의 효과성 평가.
- 기본 사이버 위생과 교육.
- 암호 기술과 암호화.
- 인적 자원 보안, 접근 통제, 자산 관리.
- 다중 인증과 보안 통신.
중대 사고 신고
지침은 중대 사고를 인지한 후 24시간 이내 조기 경보, 72시간 이내 사고 통지, 그리고 통지 후 늦어도 한 달 이내 최종 보고서를 규정합니다. 이러한 신고는 CSIRT 또는 관할 당국에 제출합니다. 이를 위해서는 사고를 탐지하고 분류할 수 있어야 하며, 적절한 연락처를 미리 알고 있어야 합니다.
어디서부터 시작할까
- ANSSI의 온라인 서비스로 귀사의 상황을 확인하고, 전문가에게 분석을 확인받으세요.
- 시스템, 데이터, 서비스 업체의 목록을 작성하세요.
- 기본 위생 조치를 시행하세요: 업데이트, 2단계 인증, 오프라인 백업, 관리자 계정 통제.
- 사고 관리 및 신고 절차를 문서화하세요.
- 조치를 승인하고 교육을 받아야 하는 경영진을 참여시키세요.
이 가이드는 정보 제공을 위해 directive (UE) 2022/2555를 요약한 것입니다. 법률 자문이 아닙니다. 귀사의 적용 대상 여부와 의무는 시행 중인 전환 법률과 ANSSI의 정보를 바탕으로 전문가의 확인을 받아야 합니다. Kayzen과 같은 도구는 제21조 조치에 기여할 수 있지만, 조직을 규정에 부합하게 만들어 주지는 않습니다.
공식 자료
- ANSSI (새 탭) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (새 탭) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (새 탭) — Agence nationale de la sécurité des systèmes d'information — guides et publications
인용된 자료는 각 작성 기관이 원어로 발행한 것입니다. Kayzen은 이들 기관 중 어느 곳과도 제휴하지 않습니다.
이 가이드는 일반적인 정보 제공용입니다. 법률 자문이나 IT 보안 전문가의 개입을 대체하지 않습니다.