NIS2 네트워크·정보시스템 보안 지침
NIS2 Directive의 정의부터 필수·중요 엔터티 분류, 경영진 책임, 사이버보안 위험관리와 필수 보안조치, 공급망 보안, 사고대응·보고·복구, 감독·집행·벌금, 다른 EU법·국내법·시행규정과의 관계까지 차례로 소개합니다.
구성
NIS2란?
규제 개요
| 정식 명칭 | Directive (EU) 2022/2555 (NIS 2 Directive) EU 사이버 보안 지침 |
|---|---|
| 규제 성격 | EU Directive(지침)로, 회원국이 국내법으로 전환해야 하는 의무적 조화 법제입니다. |
| 목적 | EU 전역의 사이버 복원력(Cyber Resilience) 제고 및 공급망 안전성 확보 |
| 대상 | EU 내에서 서비스를 제공하는 중기업 및 대기업 이상 규모의 필수·중요 를 대상으로 합니다. |
어떤 산업에 적용되는가
부속서 I(고위험 필수 분야)과 부속서 II(기타 중요 분야)에 명시된 총 18개 산업군에 적용됩니다.
Annex I · 고위험 부문
- 에너지 (전기·석유·가스·난방·수소)
- 운송 (항공·철도·해상·도로)
- 은행
- 금융시장인프라
- 보건 (의료기관·연구실·제약)
- 상수·하수도
- 디지털 인프라 (DNS·TLD·데이터 센터·CDN·IXP·클라우드)
- 관리 (B2B)
- 공공행정 (중앙·지역)
- 우주 (지상 기반 시설 운영자)
Annex II · 기타 부문
- 우편·택배
- 폐기물 관리
- 화학물질 제조·생산·유통
- 식품 (생산·가공·유통)
- 제조업 (의료기기·컴퓨터·차량·기계 등)
- 디지털 제공자 (·검색 엔진·SNS)
위 산업군에 속하더라도 규모에 따라 적용 여부가 정해집니다.
누가 의무를 가지는가
의무를 부담하는 와 경영진, 그리고 이를 감독·지원하는 회원국 기관으로 구성됩니다.
Annex I의 대기업(직원 250인 이상 또는 연매출 5,000만 유로/자산 4,300만 유로 이상), 특정 디지털 인프라 제공자, 중앙정부 등
Annex I의 중기업, Annex II의 해당 기업
Article 20에 따라 조치 승인·감독·교육이수 의무, 위반 시 개인 책임(제재대상)
NIS2 Directive 준수 여부를 감독하기 위해 회원국이 지정한 감독기관
회원국 간·EU 차원 협력을 위해 회원국이 지정하는 단일 연락창구(SPOC)
를 접수·대응하기 위해 회원국이 지정하는 사고대응팀
어떻게 구성되는가
NIS2 Directive는 9개 Chapter, 46개 Article로 구성됩니다. Chapter를 선택하면 아래에 내용이 표시됩니다.
이 법이 누구에게, 어떤 분야에 적용되는지 기준을 정합니다.
Essential / Important 분류
NIS2 Directive 적용 대상은 어떤 엔터티인가
| 기본 적용대상 | Annex I 또는 Annex II에 열거된 유형의 공공·민간 엔터티 중, EU 중기업에 해당하거나 중기업 기준을 초과하고 EU 내에서 서비스·활동을 수행하는 엔터티가 원칙적인 NIS2 Directive 적용대상입니다.Article 2(1) |
|---|---|
| 규모 무관 적용대상 | 일정 통신사업자, (Trust Service Provider), (TLD Name Registry), (DNS Service Provider), 단일 핵심서비스 제공자, 서비스 중단이 공공안전·보건 또는 시스템적 을 초래할 수 있는 , 국가·지역적으로 중요한 및 일정 는 규모와 관계없이 적용될 수 있습니다.Article 2(2) |
| CER 핵심 (Critical Entity) 적용 | Directive (EU) 2022/2557에 따라 핵심 로 식별된 는 규모와 관계없이 NIS2 Directive가 적용됩니다.Article 2(3) |
| 도메인 이름 등록 서비스(Domain Name Registration Service) | 도메인 이름 등록 서비스를 제공하는 는 규모와 관계없이 NIS2 Directive 적용대상입니다.Article 2(4) |
필수 (Essential Entity)는 어떻게 정해지는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
규모 무관 필수
(Qualified Trust Service Provider), (TLD Name Registry), (DNS Service Provider)는 규모와 관계없이 필수 입니다.
Article 3(1)(b)전자통신 필수
(Public Electronic Communications Network) 또는 공중 이용 (Publicly Available Electronic Communications Service) 제공자 중 중기업에 해당하는 는 필수 입니다.
Article 3(1)(c)회원국 지정 필수
Annex I 또는 II 유형 중 Article 2(2)(b)~(e)의 중요성 기준에 따라 회원국이 필수 로 식별한 는 필수 로 분류됩니다.
Article 3(1)(e)기존 NIS1 중요사업자
회원국이 그렇게 정하는 경우, 2023년 1월 16일 이전 NIS1 또는 국내법상 필수서비스 운영자(Operator of Essential Services)로 지정된 를 필수 로 볼 수 있습니다.
Article 3(1)(g)중요 (Important Entity)는 어떻게 정해지는가
분류할 때 주의할 점
부속서와 분류의 관계
Annex I=필수 , Annex II=중요 라는 단순 대응은 부정확합니다. 필수 여부는 Article 3(1)의 기준으로 판단하며, 그 기준에 해당하지 않는 Annex I·II 유형의 가 중요 로 분류됩니다.
Article 3(1)Article 3(2)NIS2 Directive가 적용되는 산업 부문(Sector)은 어떻게 나뉘는가
NIS2 Directive는 적용 대상 가 속한 산업 부문을 부속서(Annex) I과 Annex II로 나누어 열거합니다.
Annex I의 성격
Annex I은 “고위험 부문(Sectors of High Criticality)”으로 에너지, 운송, 은행, 금융시장 인프라, 보건, 식수, 폐수, 디지털 인프라, 관리, 공공행정, 우주 등을 다룹니다.
Annex IAnnex II의 성격
Annex II는 “기타 중요 부문(Other Critical Sectors)”으로 우편·택배, 폐기물관리, 화학, 식품, 제조업, 디지털 제공자, 등을 포함합니다.
Annex II제조업 범위
Annex II point 5는 의료기기·체외진단 의료기기, 컴퓨터·전자·광학제품, 전기장비, 기타 기계·장비, 자동차·트레일러·세미트레일러, 기타 운송장비 제조를 포함합니다.
Annex II point 5필수·중요 (Essential·Important Entity) 목록은 어떻게 관리되는가
회원국은 NIS2 Directive 적용 대상인 필수·중요 를 목록으로 작성해 관리하고, 해당 는 목록 작성에 필요한 기업 정보를 회원국에 제출합니다.
| 필수·중요 목록 관리 | 회원국은 필수·중요 와 (Domain Name Registration Service Entity) 목록을 작성하고 정기적으로, 최소 2년마다 검토·갱신해야 합니다.Article 3(3) |
|---|---|
| 기업 정보 제출 및 변경통지 | 목록 작성 대상 는 명칭, 주소·연락처, 관련 부문·하위 부문(Sector·Subsector), 서비스 제공 회원국 등을 제출해야 하며 변경은 지체 없이, 어떠한 경우에도 변경일부터 2주 이내 통지해야 합니다.Article 3(4) |
경영진 책임·Governance
경영진은 무엇을 해야 하는가
필수 및 중요 (Essential·Important Entity)의 경영진(Management Body)이 위험관리조치의 승인과 이행감독에 직접 관여하도록 요구합니다.
경영진은 어디까지 책임을 지는가
| Article 21 위반 책임 가능성 | 회원국은 경영진이 해당 의 Article 21 위반에 대해 책임을 질 수 있는 구조를 마련해야 합니다.Article 20(1) |
|---|---|
| 책임범위의 한계 | Article 20(1)의 직접적 책임 연결대상은 Article 21의 사이버보안 위험관리조치 위반입니다.Article 20(1) |
| 공공부문 책임과 국내법 | 공공기관, 공무원, 선출·임명 공직자의 책임에는 회원국 국내법상 책임규칙이 적용됩니다.Article 20(1) |
책임을 해석할 때 주의할 점
경영진 책임의 성격
CEO에게 EU 차원의 개인 벌금이 자동 부과된다고 해석해서는 안 됩니다. Article 20(1)은 회원국이 경영진의 Article 21 위반 책임 구조를 마련하도록 정한 규정입니다.
Article 20(1)다른 EU 법령이 우선 적용되는 경우
금융 부문의 디지털 운영 복원력법(Digital Operational Resilience Act, DORA)처럼 특정 산업에 적용되는 EU 법령이 NIS2 Directive와 적어도 동등한 수준의 위험관리 의무를 정하고 있으면, 그 범위에서는 해당 법령이 NIS2 Directive 대신 적용됩니다. 집행위원회 가이드라인(Commission Guidelines)은 Article 20의 경영진 의무가 Article 21과 본질적으로 연결되어 있으므로, 이 경우 Article 20도 그 관련 범위에서 적용되지 않는다고 봅니다.
Article 4Article 4(3)경영진 교육은 어떻게 이루어지는가
경영진이 승인하는 위험관리조치는 무엇인가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
최소 위험관리영역
위험분석, , 업무연속성, 공급망 보안, 취약점관리, 효과성 평가, 사이버위생·교육, 암호화, 인사·접근·자산관리, 인증·보안통신 등이 최소 포함영역입니다.
Article 21(2)(a)Article 21(2)(b)Article 21(2)(c)Article 21(2)(d)Article 21(2)(e)Article 21(2)(f)Article 21(2)(g)Article 21(2)(h)Article 21(2)(i)Article 21(2)(j)사이버보안 위험관리
위험관리는 무엇을 위한 것인가
| 위험관리 기본의무 | 필수·중요 는 자신이 운영 또는 서비스 제공에 사용하는 의 보안위험을 관리해야 합니다.Article 21(1) |
|---|---|
| 위험관리 목적 | 의 영향을 서비스 수신자 및 다른 서비스에 대해 예방하거나 최소화해야 합니다.Article 21(1) |
보안수준은 어떻게 정하는가
보안수준은 식별된 에 맞춰 정합니다
네트워크·정보시스템 보안수준은 제기되는 에 적합해야 합니다. 그 수준을 정할 때 아래 기준을 함께 고려합니다.
Article 21(1)보안조치의 수준은 의 위험노출도, 규모, 발생 가능성·심각성 및 사회·경제적 영향을 고려해 결정합니다.
Article 21(1)최신기술, 적용 가능한 유럽·국제표준, 구현비용을 고려해야 합니다.
Article 21(1)보안조치는 모든 유형의 에 기반해야 하며 시스템의 물리적 환경까지 보호해야 합니다.
Article 21(2)위험관리조치에 무엇을 포함해야 하는가
Article 21(2)는 위험관리조치에 최소한 포함해야 할 10개 영역을 정합니다.
위험관리조치를 지키지 못하면 어떻게 하는가
조치 미준수 시, 는 Article 21(2)의 조치를 지키지 못하고 있음을 확인한 즉시 필요한 시정조치를 취해야 합니다.
Article 21(4)경영진은 위험관리에 어떻게 관여하는가
| 경영진 승인·감독 | 경영진은 Article 21에 따른 조치를 승인하고 이행을 감독하며, 위반에 대해 책임을 질 수 있습니다.Article 20(1) |
|---|---|
| 경영진 교육 | 경영진은 을 식별하고 위험관리 관행을 평가할 수 있도록 교육받아야 합니다.Article 20(2) |
필수 보안조치
필수 보안조치는 어떤 원칙에 따라 마련하는가
| 기본 의무 | 필수·중요 는 을 관리하기 위해 적절하고 비례적인 기술적·운영적·조직적 조치를 취해야 합니다.Article 21(1) |
|---|---|
| 위험기반 원칙 | 보안수준은 에 적합해야 하며 최신기술, 관련 유럽·국제표준, 구현비용 등을 고려합니다.Article 21(1) |
| 비례성 판단 | 위험노출도, 조직규모, 가능성·심각성 및 사회·경제적 영향을 고려합니다.Article 21(1) |
| 모든 유형 고려(All-hazards) | 사이버공격뿐 아니라 의 물리적 환경까지 보호합니다.Article 21(2) |
필수 보안조치에 최소한 무엇을 포함해야 하는가
최소 요구사항
보안조치에는 Article 21(2)(a)~(j)의 10개 영역이 최소한 포함되어야 합니다.
필수 보안조치는 다른 의무와 어떻게 연결되는가
필수 보안조치(Article 21)는 공급망 보안, 경영진 책임, 시정과 보고 의무와 함께 연결됩니다.
EU 공급망 위험평가
협력그룹(Cooperation Group), 집행위원회(Commission), 유럽연합 사이버보안청(ENISA)이 특정 중요 ICT 공급망에 대해 공동 위험평가를 할 수 있습니다.
Article 22공급망·제3자 보안
공급망 보안은 무엇을 포함해야 하는가
필수·중요 는 공급망 보안조치를 마련할 때 직접 공급자 및 서비스 제공자와의 관계에서 발생하는 보안 측면까지 포함해야 합니다.
Article 21(2)(d)공급자를 평가할 때 무엇을 고려하는가
직접 공급자와 서비스 제공자에 대한 공급망 보안조치를 정할 때 아래 사항을 함께 고려합니다.
EU 차원의 공급망 공동 위험평가는 어떻게 이루어지는가
집행위원회(Commission)는 협력그룹(Cooperation Group) 및 유럽연합 사이버보안청(ENISA)과 협의하여 공동 위험평가 대상이 될 중요 ·시스템·제품을 식별합니다.
Article 22(2)협력그룹은 집행위원회·유럽연합 사이버보안청과 협력해 특정 중요 ·시스템·제품 공급망을 공동 평가할 수 있습니다.
Article 22(1)기술·비기술 위험요인 고려공동 위험평가에서 기술적 과 관련 있는 경우 비기술적 위험요인도 고려합니다.
Article 22(1)공급망 보안조치를 지키지 못한 경우
Article 21(2)의 조치를 준수하지 못한 경우, 는 지체 없이 필요한 시정조치를 취해야 합니다.
Article 21(4)사고대응·보고·복구
사고대응은 무엇을 갖춰야 하는가
| 사고대응 기본의무 | 필수·중요 는 위험관리조치에 (Incident Handling)를 포함해야 합니다.Article 21(2)(b) |
|---|---|
| 복구·업무연속성 | 업무연속성, 백업관리, 재해복구, 위기관리를 포함해야 합니다.Article 21(2)(c) |
보고해야 하는 는 무엇인가
서비스 제공에 중대한 영향을 미치는 를 보고합니다
서비스 제공에 중대한 영향을 미치는 를 CSIRT 또는 관할 당국(Competent Authority)에 보고해야 합니다. 아래 기준 중 하나에 해당하면 중대한 로 봅니다.
Article 23(1)심각한 서비스 운영중단 또는 재정손실을 초래했거나 초래할 수 있는 입니다.
Article 23(3)(a)다른 자연인·법인에게 상당한 물질적 또는 비물질적 피해를 발생시켰거나 발생시킬 수 있는 입니다.
Article 23(3)(b)보고는 언제까지 해야 하는가
중대한 를 인지한 시점부터 정해진 기간 안에 단계별로 보고합니다.
가 계속되는 경우
서비스 수신자에게는 무엇을 알려야 하는가
서비스 제공에 악영향을 미칠 가능성이 있는 중대한 는 필요한 경우 서비스 수신자(Recipients of Services)에게도 지체 없이 알려야 합니다.
Article 23(1)(Significant Cyber Threat)의 영향을 받을 수 있는 서비스 수신자에게 취할 수 있는 조치·구제수단을 알려야 합니다.
Article 23(2)감독·집행·벌금
감독·집행의 기본원칙은 무엇인가
| 감독·집행 기본원칙 | 회원국은 관할 당국이 NIS2 Directive 준수 여부를 효과적으로 감독하고 필요한 조치를 취할 수 있도록 해야 합니다.Article 31(1) |
|---|---|
| 위험기반 감독 우선순위 | 회원국은 감독업무의 우선순위를 위험기반 접근(Risk-based Approach)으로 정할 수 있습니다.Article 31(2) |
필수 와 중요 의 감독 방식은 어떻게 다른가
위반 시 취할 수 있는 집행조치는 무엇인가
항목을 선택하면 오른쪽에 내용이 표시됩니다. 항목 기호는 Article 32(4) 기준입니다.
모니터링 담당관(Monitoring Officer)
필수 (Essential Entity)에는 일정기간 준수상태를 감독하는 모니터링 담당관을 지정할 수 있습니다.
Article 32(4)(g)행정벌금(Administrative Fine)
행정벌금은 다른 집행조치에 추가하여 부과할 수 있습니다.
Article 32(4)(i)Article 33(4)(h)Article 34(2)집행조치로 시정되지 않으면 어떻게 하는가
아래 조치는 필수 (Essential Entity)에 적용됩니다.
위반 시 벌금은 얼마인가
필수 (Essential Entity) 위반 시 벌금 상한
Article 21 또는 23 위반 시 최대 행정벌금 상한을 최소 1,000만 € 또는 전세계 연간 총매출액 2% 중 높은 금액 이상으로 두어야 합니다.
Article 34(4)중요 (Important Entity) 위반 시 벌금 상한
Article 21 또는 23 위반 시 최대 행정벌금 상한을 최소 700만 € 또는 전세계 연간 총매출액 1.4% 중 높은 금액 이상으로 두어야 합니다.
Article 34(5)위반 시 벌금과 함께 알아둘 점
| 반복적 이행강제금 | 회원국은 위반 중단을 강제하기 위해 이행강제금(Periodic Penalty Payments) 제도를 둘 수 있습니다.Article 34(6) |
|---|---|
| 일반 개인정보 보호법(GDPR) 중복 행정벌금 조정 | 같은 행위에 일반 개인정보 보호법(General Data Protection Regulation, GDPR) 행정벌금이 이미 부과된 경우 동일 행위에 NIS2 Directive Article 34 벌금을 다시 부과하지 않습니다.Article 35(2) |
다른 EU법·국내법·시행규정과의 관계
특정 산업에 적용되는 EU 법령에 같은 수준의 의무가 있으면 NIS2 Directive는 어떻게 적용되는가
부문별 EU법은 금융 부문의 디지털 운영 복원력법(DORA)처럼 특정 산업에만 적용되는 EU 법령을 말합니다.
| 부문별 EU법과의 관계 | 특정 부문의 EU법이 필수 또는 중요 (Essential·Important Entity)에 대해 위험관리조치 또는 중대한 사고보고 의무를 요구하고, 그 요구가 NIS2 Directive와 효과상 최소 동등하면 해당 범위에서 NIS2 Directive의 관련 조항은 적용되지 않습니다.Article 4(1) |
|---|---|
| 부문별 EU법의 미적용 대상 | 부문별 EU법이 특정 산업의 모든 NIS2 Directive 대상 를 포괄하지 않는 경우, 포괄되지 않는 에는 NIS2 Directive 관련 조항이 계속 적용됩니다.Article 4(1) |
| 감독·집행 규정과의 관계 | Article 4(1)의 동등성 조건이 충족된 경우 해당 범위에서는 NIS2 Directive의 관련 조항뿐 아니라 Chapter VII 감독·집행 규정도 적용되지 않습니다.Article 4(1) |
특정 산업에 적용되는 EU 법령이 NIS2 Directive와 같은 수준인지는 어떤 기준으로 판단하는가
부문별 EU법의 위험관리조치가 NIS2 Directive Article 21(1)·(2)의 조치와 효과상 최소 동등해야 합니다.
Article 4(2)(a)부문별 EU법의 중대한 사고보고 요구가 Article 23(1)~(6)과 효과상 최소 동등해야 하며, NIS2 Directive의 CSIRT·관할 당국·단일 연락창구(Single Point of Contact)가 해당 사고통지에 즉시 접근할 수 있어야 합니다.
Article 4(2)(b)Article 4 가이드라인
집행위원회(Commission)는 Article 4(1)·(2)의 적용을 명확히 하기 위한 가이드라인을 제공하고 정기적으로 검토하도록 되어 있습니다.
Article 4(3)Commission Guidelines 2023/C 328/02NIS2 Directive는 디지털 운영 복원력법(DORA)과 어떻게 연계되는가
디지털 운영 복원력법(Digital Operational Resilience Act, DORA)은 NIS2 Directive 적용 금융기관과 관련하여 Article 4 목적상 대표적인 부문별 EU 법령(Sector-specific Union Legal Act)으로 취급됩니다. DORA의 ICT 위험관리·ICT 사고관리 및 주요 사고보고 등 관련 영역에서는 NIS2 Directive의 대응 규정 대신 DORA가 적용됩니다.
Regulation (EU) 2022/2554 Article 1(2)Article 4NIS2 Directive는 EU 회원국의 국내법과 어떻게 연계되는가
| 회원국 국내법 전환 | NIS2 Directive는 EU 규정(Regulation)이 아니라 지침(Directive)이므로 회원국이 NIS2 Directive에 맞는 국내조치를 채택·공표해야 합니다.Article 41(1) |
|---|---|
| 국내 이행조치 적용시점 | 회원국은 필요한 국내조치를 2024년 10월 17일까지 채택·공표하고 2024년 10월 18일부터 적용해야 했습니다.Article 41(1) |
| 회원국의 강화 규제 가능성 | 회원국은 EU법상 의무와 일치하는 범위에서 NIS2 Directive보다 더 높은 수준의 규정을 채택하거나 유지할 수 있습니다.Article 5 |
NIS2 Directive의 시행규정은 무엇을 구체화하는가
위험관리 시행규정 위임
집행위원회(Commission)는 Article 21(2)의 조치에 대해 특정 대상의 기술적·방법론적 요구사항을 시행규정으로 정하도록 되어 있습니다. 또한 다른 필수·중요 에 대해서도 필요한 경우 기술적·방법론적·부문별 요구사항을 추가 시행규정으로 정할 수 있습니다.
Article 21(5)사고보고 시행규정 위임
집행위원회는 사고통지의 정보 유형·형식·절차와 중대한 (Significant Incident)에 해당하는 경우를 시행규정으로 더 구체화할 수 있습니다.
Article 23(11)2024/2690의 내용
2024/2690은 지정된 ·인프라 에 대해 Article 21(2)의 기술·방법론적 위험관리 요구사항과 Article 23(3)의 중대한 판단기준을 구체화합니다.
Implementing Regulation (EU) 2024/2690 Article 1Implementing Regulation (EU) 2024/2690 Article 22024/2690 적용대상
(DNS Service Provider), (TLD Name Registry), 제공자(Cloud Computing Service Provider), 제공자(Data Centre Service Provider), (Content Delivery Network, CDN) 제공자, (Managed Service Provider, MSP), (Managed Security Service Provider, MSSP), (Online Marketplace), (Online Search Engine), (Social Networking Services Platform), (Trust Service Provider)가 대상입니다.
Implementing Regulation (EU) 2024/2690 Article 1NIS2 Directive는 일반 개인정보 보호법(GDPR)과 어떻게 연계되는가
관할 당국이 감독·집행 과정에서 Article 21·23 위반이 일반 개인정보 보호법(General Data Protection Regulation, GDPR)상 신고대상 개인정보 침해를 수반할 수 있음을 알게 되면 GDPR 감독기관에 지체 없이 알려야 합니다.
Article 35(1)같은 행위에 대해 GDPR 감독기관이 행정벌금을 부과한 경우 NIS2 Directive 관할 당국은 동일 행위에 대해 Article 34 행정벌금을 다시 부과하지 않습니다.
Article 35(2)GDPR 행정벌금이 이미 부과되더라도 Article 32 또는 33의 다른 NIS2 Directive 집행조치는 가능합니다.
Article 35(2)NIS2 Directive로 달라진 기존 법령은 무엇인가
| 기존 NIS Directive와의 관계 | 종전 Directive (EU) 2016/1148은 2024년 10월 18일부터 폐지되고, 해당 Directive에 대한 참조는 NIS2 Directive에 대한 참조로 읽습니다.Article 44 |
|---|---|
| 전자신원확인·신뢰 서비스 규정(eIDAS)과의 관계 | NIS2 Directive는 Regulation (EU) No 910/2014(eIDAS)의 Article 19를 2024년 10월 18일부터 삭제합니다.Article 42 |
| 유럽 전자통신법과의 관계 | NIS2 Directive는 유럽 전자통신법(European Electronic Communications Code, Directive (EU) 2018/1972)의 Articles 40·41을 2024년 10월 18일부터 삭제합니다.Article 43 |