CISA가 치명적인 Ivanti 및 SolarWinds 취약점의 의무 패치 기한을 앞당겼습니다. NIS2가 요구하는 긴급 대응 수준과 맞닿아 있는 조치입니다. 백악관은 규제 부담을 덜면서도 적대 세력에는 대가를 치르게 하겠다는 새 국가 사이버 전략을 공개했습니다. Microsoft의 2026년 3월 패치 화요일에는 수정 사항 83개가 포함됐습니다. 핀란드 정보 당국은 EU 회원국을 겨냥한 러시아와 중국의 사이버 첩보 활동이 끊이지 않고 있다고 경고했습니다.
CISA가 Ivanti 및 SolarWinds 제품의 치명적인 취약점에 적용되는 의무 패치 기한을 단축했습니다. 미국 연방기관 전체에 영향을 미치는 조치이며, NIS2 규제를 받는 EU 조직도 따라야 할 대응 기준을 제시합니다.
미국 사이버보안 및 인프라 보안국(CISA)은 이례적으로 새로 추가된 Ivanti 및 SolarWinds 결함에 대한 알려진 악용 취약점(KEV) 카탈로그의 복구 기한을 단축했습니다 . Ivanti 및 SolarWinds 결함에는 표준 기한인 21일 대신 훨씬 짧은 패치 기한이 적용됩니다. 실제 악용이 임박했거나 이미 진행 중이라는 신호입니다.
유럽 조직이 이 사안을 주목해야 하는 이유는 CISA KEV 카탈로그가 사실상 세계적인 기준으로 자리 잡았기 때문입니다 . 취약점 대응 우선순위를 정할 때 널리 쓰이는 이 카탈로그의 기한을 CISA가 앞당긴다면, 실제 환경의 위험이 커지고 있다는 선행 지표로 봐야 합니다.
| CISA 요구 사항 | NIS2의 대응 조항(제21조) | 권고 조치 |
|---|---|---|
| KEV 등재 항목의 패치 기한 단축 | 취약점 처리 및 공개 의무 | CISA KEV 기한을 내부 SLA 기준으로 채택 |
| 연방기관의 의무 복구 | 필수 중요 조직은 위험 관리 조치를 구현해야 함 | KEV에 등재된 CVE가 악용되면 NIS2 보고 대상 사건으로 취급 |
| 실제 악용 확인 | 24시간 이내 사고 보고(제23조) | Ivanti 및 SolarWinds 환경의 사고 대응을 사전 준비 |
백악관이 정책 방향을 크게 전환한 새 국가 사이버보안 전략을 공개했습니다. 민간 부문의 규제 부담을 줄이는 동시에 악의적인 사이버 행위자에게 적극적으로 대가를 치르게 하겠다는 구상입니다. 이 전략은 서로 겹치는 컴플라이언스 요건을 간소화하고 사고 보고 체계를 통합하겠다고 명시했습니다.
미국에서 사업하거나 미국 조직과 거래하는 유럽 기업에는 서로 다른 방향으로 움직이는 규제 환경이 형성됩니다. EU가 NIS2, DORA, EU AI Act를 통해 의무 준수를 강화하는 동안 미국은 자율 체계와 업계 자율 규제로 무게를 옮기고 있습니다.
| 영역 | 미국 전략(2026년) | EU 접근법(NIS2/DORA) |
|---|---|---|
| 사고 보고 | 단일 체계로 통합해 중복 축소 | 업종별 요건에 따라 24시간·72시간 내 의무 보고 |
| 컴플라이언스 부담 | 요건을 완화하고 업계 주도 표준을 우선 | 최대 1,000만 유로 또는 매출액의 2%에 이르는 제재와 함께 의무 요건 확대 |
| 집행 방식 | 처벌보다 유인책을 앞세워 보안 투자를 장려 | 의무 감사, 감독기관의 점검, 경영진의 개인 책임 |
| 공세적 태세 | 적대 세력에 적극적으로 '대가 부과' | 복원력과 사고 관리에 초점을 둔 방어 중심 접근 |
두 관할권에서 모두 사업하는 기업은 컴플라이언스의 역설에 직면합니다. 미국은 요건을 완화하지만 EU는 강화하고 있기 때문입니다. 실무적으로는 NIS2와 DORA가 최저 기준을 정합니다 — 조직은 더 엄격한 기준을 따라야 합니다. 미국의 규제 완화 신호 때문에 EU 의무에 대한 경계 수준을 낮춰서는 안 됩니다.
정부와 민간 부문의 정보 공유를 강조한 이번 전략은 GDPR의 국경 간 데이터 이전 적정성에 관한 새로운 의문을 낳습니다. 미국 정부기관이 민간 부문의 사이버보안 데이터에 더 폭넓게 접근하게 되면, 유럽 데이터 보호 당국은 위협 정보 공유에 포함된 개인정보를 EU-U.S. Data Privacy Framework가 충분히 보호하는지 면밀히 살필 수 있습니다.
Microsoft의 2026년 3월 패치 화요일은 Windows 생태계 전반의 취약점 83개 항목을 해결합니다. SAP도 FS-QUO와 NetWeaver의 치명적 취약점 패치를 공개했고, Adobe는 8개 제품에서 결함 80개를 수정했습니다. 방대한 패치 물량은 규제 대상 조직에 시급한 컴플라이언스 과제를 안깁니다.
한 차례의 패치 주기에 Microsoft 취약점 83개, Adobe 취약점 80개, SAP의 치명적 취약점까지 몰렸습니다. NIS2와 DORA 규제 대상 조직은 복잡한 환경 전반에서 패치를 평가하고 테스트해 배포해야 하는 촉박한 일정에 직면했습니다.
SAP의 치명적 패치 해당 패치는 FS-QUO의 코드 인젝션 결함과 NetWeaver의 안전하지 않은 역직렬화 결함을 해결합니다. 두 취약점 모두 임의 코드 실행으로 이어질 수 있습니다. SAP를 운영하는 금융기관에는 DORA 관점에서도 긴급한 패치입니다.
Adobe의 수정 사항 80개 수정 범위는 Commerce, Illustrator, Acrobat Reader, Premiere Pro 등 여러 제품에 걸쳐 있습니다. 규제 대상 문서를 처리하는 조직에는 Acrobat Reader 취약점이 특히 우려됩니다. PDF 리더가 침해되면 GDPR 보호 대상 데이터가 노출될 수 있습니다.
핀란드 보안정보국(Suojelupoliisi)은 러시아와 중국이 지속적으로 벌이는 사이버 첩보 캠페인 이들 캠페인이 핀란드와 유럽 전역의 기반 시설을 겨냥하고 있다고 공식 경고했습니다. 이는 전날 네덜란드 AIVD가 러시아의 메신저 계정 탈취를 경고한 데 이은 발표입니다.
양상은 분명합니다. 국가 지원 공격자들이 EU 회원국을 조직적으로 겨냥하고 있으며, 정보기관도 점점 더 공개적으로 경고하고 있습니다. 위협 수준이 조용한 외교 채널에서 다룰 단계를 넘어섰다는 신호입니다.
| 상황 | NIS2 보고 의무 | 기한 |
|---|---|---|
| APT가 네트워크 기반 시설을 침해한 것으로 의심되는 경우 | 국가 CSIRT에 조기 경보 | 탐지 후 24시간 이내 |
| 국가 지원 공격자의 데이터 유출이 확인된 경우 | 전체 사고 통지와 GDPR 침해 보고 | 72시간 이내(NIS2 및 GDPR) |
| 핵심 기반 시설에서 첩보용 임플란트가 발견된 경우 | 근본 원인 분석을 포함한 중대 사고 보고 | 1개월 이내 최종 보고 |
에너지, 운송, 은행, 의료, 디지털 기반 시설 또는 공공 행정 분야에서 운영하는 조직은 국가 지원 첩보 활동의 주요 표적 공격 대상입니다. NIS2는 사고가 발생한 뒤 대응하는 데 그치지 않고 이러한 캠페인을 탐지할 수 있는 위협 인텔리전스 역량을 갖추도록 요구합니다.
SentinelOne은 FortiGate 차세대 방화벽 장비를 겨냥해 Active Directory와 LDAP에 연결된 서비스 계정 자격 증명이 담긴 구성 파일을 빼내는 캠페인을 발견했습니다. 이 캠페인은 특히 의료, 정부, 관리형 서비스 제공업체를 노립니다.
이는 NIS2와 DORA 체계가 모두 다루는 전형적인 공급망 침해 상황 사례입니다. 환경을 보호하려고 배치한 네트워크 보안 장비가 오히려 자신이 지켜야 할 기반 시설을 무너뜨리는 공격 도구로 바뀌고 있습니다.
KENSAI는 실시간 취약점을 NIS2, DORA, GDPR, EU AI Act 의무와 자동으로 연결합니다. AI 기반 패치 우선순위 지정, 컴플라이언스 공백 분석, 감사 준비가 완료된 보고를 통해 중요한 기한을 놓치지 않도록 지원합니다.
무료 컴플라이언스 스캔 시작규정을 준수하고 안전을 지키십시오,
KENSAI 규제 인텔리전스 팀
AI 위협 인텔리전스를 기반으로 한 일일 규제 및 컴플라이언스 분석입니다. 매일 06:00 CET에 발행됩니다.