연구 읽는 시간 10분

NIS2 규정 준수 체크리스트: 기한 전에 준비할 10단계

적용 범위와 위험 평가부터 사고 보고, 지속적 개선까지 조직의 NIS2 규정 준수를 준비하는 실무형 10단계 체크리스트입니다.

NIS2 규정 준수 체크리스트: 기한 전에 준비할 10단계

유럽 전역의 사이버 보안 의무를 재편하는 NIS2 지침의 시행 시계가 빠르게 돌아가고 있습니다. 회원국이 지침을 국내법으로 전환하고 집행 시점이 다가오는 만큼, 조직에는 규정 준수를 달성할 명확하고 실행 가능한 로드맵이 필요합니다.

이 체크리스트는 NIS2 준비 과정을 구체적인 10단계로 나누고 각 단계에서 오늘 바로 실행할 조치를 제시합니다. 처음부터 시작하든 기존 보안 프로그램을 확장하든, 격차를 찾고 업무 우선순위를 정하는 데 도움이 됩니다.

1단계: 적용 대상인지 확인

중요한 이유: NIS2는 사이버 보안 의무가 적용되는 조직의 범위를 크게 넓혔습니다. 대상이 아니라고 단정했다가는 잘못 판단할 수 있습니다.

실행 항목:

업종 확인: NIS2는 두 부속서에 걸쳐 18개 업종을 다룹니다. 부속서 I의 필수 기관에는 에너지, 운송, 은행, 보건, 디지털 인프라, ICT 서비스가 포함됩니다. 부속서 II의 중요 기관에는 우편, 폐기물 관리, 화학, 식품, 제조, 디지털 제공업체가 포함됩니다.
조직 규모 확인: 적용 업종의 중견 조직(직원 50명 이상 또는 매출 1천만 유로 이상)과 대규모 조직(직원 250명 이상 또는 매출 5천만 유로 이상)에 지침이 적용됩니다.
예외 확인: DNS 제공업체, TLD 등록기관, 공중 통신망, 신뢰 서비스 제공업체 등 일부 기관 유형은 규모와 관계없이 적용됩니다.
공급망 노출 평가: 직접 적용 대상이 아니더라도 대상 업종의 고객이 공급업체에 NIS2 수준의 보안을 요구할 수 있습니다.

KENSAI의 지원 방식: KENSAI 플랫폼은 NIS2 적용 조직을 위해 지침이 요구하는 지속적 취약점 관리와 보고를 제공합니다. 먼저 무료 스캔을 실행하면 현재 보안 태세를 즉시 파악할 수 있습니다.

2단계: 기관 유형 분류

중요한 이유: 필수 기관에는 중요 기관보다 엄격한 감독과 높은 과징금이 적용됩니다. 분류 결과에 따라 의무가 달라집니다.

실행 항목:

필수 기관 (부속서 I 업종의 대규모 조직): 현장 조사와 정기 감사를 포함한 선제적 규제 감독을 받습니다. 최대 과징금은 1천만 유로 또는 전 세계 매출의 2%입니다.
중요 기관 (부속서 II 업종의 중견 조직): 사고나 미준수 증거가 발생한 뒤 사후 감독을 받습니다. 최대 과징금은 700만 유로 또는 전 세계 매출의 1.4%입니다.
분류 결과와 그 판단 근거를 문서화합니다.
국내법 전환 내용 확인 : 일부 회원국은 더 엄격한 기준을 둘 수 있습니다. 예를 들어 독일의 NIS2UmsuCG는 추가 범주를 도입합니다.

KENSAI의 지원 방식: KENSAI의 규정 준수 보고서는 발견 사항을 기관 분류에 적용되는 구체적 요구사항과 연결해, 보안 증거가 실제 의무와 일치하도록 합니다.

3단계: 경영진의 지지와 책임 확보

중요한 이유: NIS2 제20조는 경영 기관에 사이버 보안에 대한 개인적 책임을 부과합니다. 권고가 아니라 개인 책임의 여지가 있는 법적 의무입니다.

실행 항목:

이사회와 최고경영진에 NIS2 요구사항과 개인 책임을 설명합니다.
사이버 보안 감독을 맡을 책임 임원을 CISO, CTO 또는 이에 준하는 직책으로 지정합니다.
경영진이 사이버 보안 정책을 공식 승인하고 위험 평가를 검토하는 거버넌스 체계를 수립합니다.
모든 경영 기관 구성원을 대상으로 의무적인 사이버 보안 교육을 계획합니다. NIS2가 이를 명시적으로 요구합니다.
감사에 대비해 사이버 보안 의사결정에 대한 경영진의 관여를 문서화합니다.
사이버 보안을 이사회 회의의 상시 안건으로 지정합니다.

KENSAI의 지원 방식: KENSAI는 깊은 기술 지식 없이도 경영진이 감독 책임을 이행하는 데 필요한 가시성을 제공하는 경영 대시보드와 추세 보고서를 제공합니다.

4단계: 종합 위험 평가 수행

중요한 이유: NIS2 제21조는 위험 평가를토대로 "적절하고 비례적인" 기술·조직 조치를 요구합니다. 문서화된 위험 평가가 없으면 조치가 비례적임을 입증할 수 없습니다.

실행 항목:

핵심 자산 식별: 필수 서비스를 지원하는 모든 네트워크와 정보 시스템을 파악합니다.
위협 평가: 랜섬웨어, 국가 지원 공격, 공급망 침해, 내부자 위협 등 업종과 지역에 관련된 위협 환경을 기록합니다.
취약점 평가: 인프라, 애플리케이션, 프로세스를 대상으로 기술적 취약점 평가를 수행합니다.
영향 판단: 식별한 위험마다 서비스 연속성, 데이터 무결성, 이해관계자에게 미칠 영향을 평가합니다.
위험 수준 산정: 일관된 방법론(발생 가능성 × 영향)을 사용해 위험의 우선순위를 정합니다.
모든 내용 문서화: 위험 평가는 서면으로 작성하고 검토하며 정기적으로 갱신해야 합니다.

KENSAI의 지원 방식: KENSAI의 자동 취약점 스캔은 위험 평가에 필요한 기술적 취약점 데이터를 제공합니다. 특정 시점의 수동 평가에 의존하는 대신 지속적인 취약점 인텔리전스를 제공해 위험 평가를 최신 상태로 유지합니다.

5단계: 공격 표면 매핑

중요한 이유: NIS2는 네트워크와 정보 시스템에 대한 보안 조치를 요구합니다. 존재를 모르는 자산은 보호할 수 없습니다.

실행 항목:

외부 노출 자산 전수 조사: 웹 애플리케이션, API, 메일 서버, VPN 엔드포인트, 클라우드 서비스, 서브도메인을 확인합니다.
섀도 IT 식별: 승인되지 않은 클라우드 서비스, 잊힌 테스트 환경, 레거시 시스템을 찾아냅니다.
서드파티 연결 매핑: 공급업체·파트너와의 외부 통합, API 연결, 데이터 흐름을 모두 문서화합니다.
클라우드 노출 평가: IaaS, PaaS, SaaS 구성에서 잘못된 설정과 과도한 권한을 검토합니다.
발견 사항 문서화: 계속 갱신되는 공격 표면 자산 목록을 유지합니다.

KENSAI의 지원 방식: KENSAI의 공격 표면 탐지는 내부 자산 목록에서 빠지기 쉬운 잊힌 서브도메인과 노출 서비스를 포함해 외부 자산을 자동으로 식별합니다. 무료 스캔으로 공격자의 관점에서 공격 표면을 확인하십시오.

6단계: 10가지 최소 보안 조치 구현

중요한 이유: NIS2 제21조 제2항은 모든 적용 기관이 구현해야 할 보안 조치 10개 범주를 명시합니다. 선택 사항이 아닙니다.

조치별 실행 항목:

a) 위험 분석 및 정보 보안 정책

정보 보안 정책을 수립하고 문서화합니다.
정기 검토 주기를 갖춘 위험 관리 체계를 구축합니다.

b) 사고 대응

명확한 역할, 책임, 상향 보고 절차를 포함한 사고 대응 계획을 수립합니다.
사고 탐지와 모니터링 역량을 구현합니다.
정기적으로 사고 대응 훈련을 실시합니다.

c) 사업 연속성 및 위기 관리

핵심 서비스의 사업 연속성 계획을 수립합니다.
백업 및 재해 복구 절차를 구현하고 시험합니다.
랜섬웨어 대응에 중요한 오프라인 또는 변경 불가능 백업을 확보합니다.

d) 공급망 보안

핵심 공급업체의 사이버 보안 관행을 평가합니다.
조달과 계약에 보안 요구사항을 포함합니다.
공급업체 보안을 지속적으로 모니터링합니다.

e) 도입·개발·유지보수 보안

안전한 개발 수명주기(SDLC)를 구현합니다.
취약점 처리와 정기 보안 테스트를 수행합니다.
패치 관리 절차를 수립합니다.

f) 효과성 평가

정기 보안 감사와 평가를 계획합니다.
보안 지표와 KPI를 도입합니다.
평가 결과에 따라 조치를 검토하고 갱신합니다.

g) 사이버 위생 및 교육

모든 직원을 대상으로 보안 인식 교육을 실시합니다.
피싱 모의훈련 프로그램을 운영합니다.
비밀번호 정책, 정리된 업무 공간 등 기본 사이버 위생 기준을 수립합니다.

h) 암호화

모든 서비스의 전송 데이터를 TLS 1.2 이상으로 암호화합니다.
민감 정보의 저장 데이터를 암호화합니다.
모범 사례에 따라 암호 키를 관리합니다.

i) 인사 보안 및 접근 제어

모든 핵심 시스템에 다중 요소 인증을 적용합니다.
최소 권한 원칙을 적용합니다.
접근 권한 검토 절차를 수립합니다.

j) 안전한 통신

민감한 논의를 위한 암호화 통신 채널을 배치합니다.
주 시스템이 침해돼도 작동하는 비상 통신 절차를 수립합니다.

KENSAI의 지원 방식: KENSAI는 (e), (f), 그리고 (a)와 (d)의 취약점 처리 부분을 직접 지원합니다. 지속적인 자동 스캔으로 "정기 테스트"와 "취약점 처리" 요구사항을 검증 가능한 증거와 함께 충족할 수 있습니다.

7단계: 사고 보고 역량 구축

중요한 이유: NIS2는 엄격한 다단계 사고 보고 요건을 도입합니다. 24시간 조기 경보 기한을 놓치면 사고 자체와 별도로 제재받을 수 있습니다.

실행 항목:

조직의 "중대한 사고" 기준을 심각한 운영 중단, 재정 손실 또는 타인에 대한 상당한 피해라는 NIS2 정의에 맞춰 정합니다.
중대한 사고를 실시간으로 탐지할 수 있는 연중무휴 모니터링을 구현합니다. 탐지하지 못한 사고는 보고할 수도 없습니다.
국가 CSIRT와 관할 기관을 확인해 어디에 어떤 방식으로 보고할지 정확히 파악합니다.
각 단계의 보고서 서식을 미리 준비합니다.
24시간 조기 경보: 사고의 기본 사실, 불법 또는 악의적 행위 의심 여부, 잠재적인 국경 간 영향을 포함합니다.
72시간 통지: 초기 평가, 심각도, 영향, 침해 지표를 포함합니다.
1개월 최종 보고서: 상세 설명, 근본 원인 분석, 완화 조치, 국경 간 영향을 포함합니다.
사고 보고 담당자를 지정하고 교육해 여러 팀원이 보고서를 제출할 수 있게 합니다.
보고 절차를 연습하고 보고 기한을 포함한 도상 훈련을 실시합니다.

KENSAI의 지원 방식: KENSAI의 지속적 모니터링은 취약점이 사고로 이어지기 전에 이를 탐지하고 보고합니다. 문제가 발견되면 상세 기술 보고서가 신속한 사고 보고에 필요한 침해 지표와 기술 정보를 제공합니다.

8단계: 공급망 보안 대응

중요한 이유: NIS2는 조직이 공급망의 사이버 보안 위험을 관리하도록 명시적으로 요구합니다. 주요 침해 사고가 신뢰받는 공급업체를 통해 시작되는 경우가 많다는 점을 반영한 조항입니다.

실행 항목:

핵심 공급업체 식별: 시스템, 데이터 또는 네트워크에 접근하는 공급업체를 파악합니다.
공급업체 보안 태세 평가: ISO 27001, SOC 2 같은 보안 인증을 요청하고 설문을 실시하거나 서드파티 평가를 요구합니다.
계약에 보안 요구사항 포함: 최소 보안 기준, 사고 통지 의무, 감사 권한, 보안 실패 시 계약 해지 조항을 정합니다.
공급업체 보안 지속 모니터링: 도입 시점의 평가로 끝내지 말고 정기적으로 재검토합니다.
공급업체 사고 대응 절차 수립: 공급업체가 침해됐을 때 취할 조치를 명확히 합니다.
핵심 의존성 다변화: 공급망의 단일 장애 지점을 피합니다.

KENSAI의 지원 방식: KENSAI는 공급업체의 허가를 받아 외부 노출 인프라를 스캔하고 보안 태세를 객관적으로 보여 줄 수 있습니다. 자체 작성 설문에만 의존하지 않고 검증 가능한 데이터를 확보할 수 있습니다.

9단계: 감사 준비를 위한 전면 문서화

중요한 이유: NIS2 감독 권한에는 감사, 조사, 증거 제출 요구가포함됩니다. 문서로 규정 준수를 입증하지 못하면 준수한 것으로 인정받을 수 없습니다.

실행 항목:

모든 정책, 절차, 위험 평가, 테스트 결과를 모은 규정 준수 증거 저장소를 유지합니다.
"중대한" 기준 충족 여부와 관계없이 모든 보안 사고와 대응 조치를 기록합니다.
모든 정책 승인, 위험 수용, 예산 결정을 포함한 경영진의 승인을 문서화합니다.
보안 테스트 결과를 타임스탬프와 함께 보관합니다. 지속적 스캔은 연례 보고서보다 강력한 증거를 제공합니다.
모든 직원의 교육 이수를 추적하고 경영진 교육을 특별히 관리합니다.
공급망 평가와 계약의 보안 조항을 기록합니다.
모든 보안 관련 정책과 절차의 변경 이력을 유지합니다.

KENSAI의 지원 방식: KENSAI는 타임스탬프가 포함된 스캔 보고서, 취약점 추적 이력, 개선 일정을 자동 생성합니다. 단 한 번의 연례 침투 테스트 보고서보다 규제기관을 설득하기 좋은 지속적 보안 테스트 감사 추적 기록이 만들어집니다.

10단계: 지속적 개선 구현

중요한 이유: NIS2는 한 번 확인하고 끝내는 체크리스트가 아닙니다. 지속적인 위험 관리와 조치 효과의 정기 평가를 요구하며, 규제기관은 정적인 규정 준수가 아니라 지속적 개선의증거를 찾습니다.

실행 항목:

분기별 보안 검토를 계획해 구현한 조치의 효과를 평가합니다.
취약점 수, 평균 개선 시간, 사고 빈도, 교육 이수율 등보안 지표의 시간별 추세를 추적합니다.
위협 환경이 바뀌거나 중대한 사고가 발생했을 때, 또는 최소 연 1회 위험 평가를 갱신합니다.
성숙도 기준으로 ISO 27001, NIST CSF, CIS Controls 같은프레임워크를 활용합니다.
정보 공유에 참여해업종별 ISAC에 가입하고 국가 CSIRT와 협력합니다.
이 체크리스트를 분기마다 다시 검토해 NIS2 규정 준수 상태를 점검합니다.
규제 변화에 대비합니다.NIS2는 검토와 개정 가능성이 있으므로 보안 프로그램을 유연하게 설계합니다.

KENSAI의 지원 방식: KENSAI의 지속적 스캔 모델은 지속적 개선과 본질적으로 맞닿아 있습니다. 스캔할 때마다 이전 결과를 토대로 수정된 취약점과 새 취약점을 구분하고 전체 보안 태세의 추세를 추적합니다. 감사인과 규제기관에 개선을 입증할 지표와 추세 데이터도 제공합니다.

NIS2 규정 준수 일정

이 체크리스트를 구현할 현실적인 일정은 다음과 같습니다.

1~2개월: 평가 단계 - 1~2단계: 적용 범위 확인 및 분류 - 3단계: 경영진 브리핑 및 지지 확보 - 4단계: 위험 평가 시작 - 5단계: 공격 표면 매핑(KENSAI 무료 스캔으로 시작)

3~4개월: 기반 구축 단계 - 4단계: 위험 평가 완료 - 6단계: 10가지 최소 조치 구현 시작(격차 우선 처리) - 7단계: 사고 보고 역량 구축

5~6개월: 구현 단계 - 6단계: 최소 조치 구현 계속 - 8단계: 공급망 보안 대응 - 9단계: 문서 및 증거 관리 체계 구축

7개월 이후: 지속 단계 - 10단계: 지속적 개선, 모니터링, 평가 - 모든 단계의 정기 검토 및 갱신

피해야 할 흔한 실수

NIS2를 IT만의 프로젝트로 취급: 경영진의 참여와 여러 부서의 협력이 필요합니다.
국내법 전환을 기다림: 요구사항은 명확하므로 지금 시작해야 합니다.
인증에 과도하게 의존: ISO 27001은 탄탄한 기반이지만 NIS2 규정 준수를 자동으로 보장하지 않습니다.
공급망 의무 소홀: 많은 조직이 이 부분에서 준비 부족을 드러낼 것입니다.
일회성 규정 준수: NIS2는 연례 행사가 아니라 지속적인 위험 관리를 요구합니다.
24시간 보고 요건 무시: 정책 문서만으로는 부족하며 실제 모니터링 역량이 필요합니다.

가시성 확보부터 시작하십시오

보이지 않는 문제는 고칠 수 없습니다. NIS2 규정 준수의 첫걸음은 현재 보안 태세를 이해하는 것입니다.

👉 kensai.app/free-scan에서 KENSAI 무료 보안 스캔을 시작하십시오. 몇 분 안에 공격 표면을 파악하고 취약점을 식별할 수 있습니다.

KENSAI 무료로 체험하기

신용카드 없이 몇 분 안에 인프라 취약점을 스캔하십시오.

무료 스캔 시작 →

게시자 KENSAI Security Research — AI 기반 사이버 보안 플랫폼