← 블로그로 돌아가기

NIS2 준수 위기: 독일 조직의 60%가 기한을 놓치는 이유

독일의 NIS2 BSI 등록 기한을 닷새 앞두고 새로운 데이터가 준수 위기를 드러냈습니다. 약 1만 8천 개 조직이 아직 등록하지 않았으며, 준비가 안 됐거나 자신이 지침 적용 대상이라는 사실조차 모릅니다. 앞으로 벌어질 일과 120시간 안에 따라잡는 방법을 알아봅니다.

---

📊 위기를 보여 주는 수치

독일 연방정보보안청(BSI)은 약 3만 개 조직이 NIS2 적용 대상이라고 추산합니다. 2026년 3월 1일 기준:

세 번째 범주가 가장 우려스럽습니다. 18개월 동안 안내했는데도 대상 기관의 3분의 1은 NIS2가 자신에게 적용된다는 사실을 모릅니다— 그 이유는 다음과 같습니다.

• 새로 포함된 부문(식품 공급, 제조, 디지털 인프라 제공업체)에서 사업함
• 최근 규모 기준(직원 50명 이상 또는 매출 1,000만 유로 이상)을 넘음
• 핵심 인프라에 간접적으로 서비스를 제공함(공급망 포함)
• 적용 범위 정의, 특히 "중요 기관"과 "필수 기관"의 차이를 잘못 이해함

🚨 3월 6일 이후에는 어떻게 되나?

BSI는 유예 기간을 발표하지 않았습니다. 지침과 독일의 집행 이력을 바탕으로 예상되는 일정은 다음과 같습니다.

1단계: 즉시 제재(2026년 3월 6~31일)

위반	제재
등록하지 않음	최대 150만 유로 또는 전 세계 연간 매출의 1%
불완전한 등록	최대 50만 유로(시정하지 않으면 가중)
사고 대응 계획 없음	최대 200만 유로 또는 전 세계 연간 매출의 1.4%
24시간 내 침해 통지 없음	최대 1,000만 유로 또는 전 세계 연간 매출의 2%

2단계: 감사 및 공개(2026년 4~6월)

BSI는 다음 대상을 집중 감사하기 시작할 것입니다.

• 제3자 신고를 통해 확인된 모든 미등록 기관
• 이전 KRITIS 의무를 이행하지 않은 조직
• 미준수율이 높은 부문(식품, 제조, 폐기물 관리)

미준수 기관은 BSI 웹사이트에 공개되며 — 심각한 평판 피해를 입고 공격자에게 취약한 표적이라는 신호를 줄 수 있습니다.

3단계: 개인 책임(상시)

NIS2의 가장 파격적인 조항은 임원과 이사회 구성원에게 미준수의 개인 책임을 물을 수 있다는 것입니다 이는 다음을 의미합니다.

• CEO, CISO 및 대표이사가 개인 과징금에 처할 수 있음
• Criminal liability for gross negligence (e.g., ignoring breach for >24시간) [원문에 불완전하게 남은 문구]
• D&O 보험은 규제 과징금 면책 조항 때문에 NIS2 제재를 보장하지 않을 수 있음

🔍 왜 이렇게 많은 조직이 준비되지 않았나?

이유 1: 적용 범위에 대한 혼란

NIS2는 기존 NIS 지침보다 적용 범위를 크게 넓혔습니다. 새로 포함된 부문은 다음과 같습니다.

부문(신규 추가)	해당 조직의 예
식품 공급	지역 제과 체인, 육류 가공 공장, 냉장 물류
제조	직원 250명 이상 또는 매출 5,000만 유로 이상이거나 핵심 인프라에 납품하는 제조업체
디지털 인프라	DNS 제공업체, TLD 등록기관, 클라우드 서비스 제공업체, 데이터센터 운영업체
폐기물 관리	지자체 폐기물 수거, 유해 폐기물 처리
우편 및 택배	지역 배송 서비스(DHL/UPS만 해당하는 것이 아님)

이 부문의 많은 조직은 자신을 "사이버보안 핵심"으로 여기지 않지만 NIS2의 판단은 다릅니다.

이유 2: 기술 요건 과소평가

등록은 첫 단계에 불과합니다. NIS2 준수에는 다음이 필요합니다.

1. 위험 관리: 문서화된 사이버보안 위험 평가(매년 갱신)
2. 사고 처리: BSI에 24시간 내 침해 조기 경보, 72시간 내 상세 보고
3. 업무 연속성: 검증된 백업 및 재해 복구 절차
4. 공급망 보안: 모든 공급업체에 대한 보안 요건(계약상 의무 및 감사)
5. 암호화 및 접근 통제: 다중 인증, 저장 및 전송 데이터 암호화
6. 취약점 관리: 지속적인 스캔과 정해진 SLA 내 패치
7. 보안 테스트: 정기적인 침투 테스트와 레드팀 훈련
8. 교육: 모든 직원을 위한 사이버보안 인식 교육

직원 50~250명의 중소·중견 조직은 이러한 조치를 구현할 내부 전문성이 부족한 경우가 많고, 외부 컨설턴트는 2026년 2분기까지 예약이 꽉 찼습니다.

이유 3: 예산 마비

NIS2 준수에는 큰 비용이 듭니다. 업계가 추산한 초기 구현 비용은 다음과 같습니다.

• 소규모 조직(직원 50~250명): 8만~15만 유로
• 중간 규모 조직(직원 250~1,000명): 20만~50만 유로
• 대규모 조직(직원 1,000명 이상): 100만~500만 유로

많은 CFO가 "등록 예산"은 승인했지만 "준수 예산"은 승인하지 않아 IT팀은 자원 없이 의무만 떠안았습니다.

⚡ 120시간 단기 대응: 따라잡는 방법

아직 등록하지 않았다면 다음이 핵심 대응 경로입니다.

0~4시간: 등록

1. BSI NIS2 포털을 방문합니다 BSI NIS2 포털
2. 기관 등록을 완료합니다(회사 정보, 부문 분류, 담당자)
3. 정보보안책임자(ISB)를 지정합니다. NIS2의 필수 요건입니다.
4. 초기 준수 상태를 제출합니다. "미준수" 상태여도 침묵하는 것보다 솔직하게 신고하는 편이 안전합니다.

4~24시간: 사고 대응 기반 구축

집행의 최우선 항목은 24시간 내 침해 통지입니다. 이것부터 구축하십시오.

1. "보안 사고"를 정의합니다(BSI 기준: 가용성, 무결성 또는 기밀성에 영향을 주는 모든 사건).
2. 통지 양식을 만듭니다(BSI 연락 양식에 기본 정보를 미리 입력).
3. 보고 체계를 문서화합니다(탐지자 → 결정권자 → BSI 보고자).
4. 통지 절차를 시험합니다(침해를 모의하고 BSI 통지까지 걸린 시간을 측정).

24~72시간: 취약점 평가

보안 조치의 증거가 필요합니다. 자동화 스캔을 즉시 실행하십시오.

1. 웹 애플리케이션: OWASP Top 10 취약점(XSS, SQLi, CSRF 등)
2. 네트워크 인프라: 열린 포트, 오래된 서비스, 취약한 자격 증명
3. 종속성: 소프트웨어 공급망 취약점(오래된 라이브러리, 알려진 CVE)
4. 클라우드 환경: 잘못 구성된 S3 버킷, 지나치게 넓은 IAM 권한

KENSAI 같은 자동화 도구는 이를 47분 만에 완료할 수 있어 수동 침투 테스트보다 훨씬 빠릅니다.

72~120시간: 문서화 및 개선 계획

1. 현재 보안 상태를 문서화합니다(스캔 결과, 기존 통제).
2. 치명적 취약점을 우선 처리합니다(CVSS 9.0 이상부터).
3. 개선 일정을 만듭니다(30/60/90일 계획).
4. BSI에 진행 보고서를 제출합니다(성실한 개선 노력을 입증).

🇩🇪 독일에서 특별히 고려할 사항

BSI의 집행 기조

일부 EU 규제기관과 달리 BSI는 전통적으로 자문보다 집행을 우선해 왔습니다. 2023~2024년 KRITIS 감사 결과는 다음과 같습니다.

• 감사 대상 기관의 87%가 공식 경고를 받음
• 23%가 미준수로 과징금을 부과받음
• 6%가 일시적인 사업 제한을 받음

적용 범위가 확대되고 명확한 정치적 권한까지 부여된 만큼 NIS2에서도 비슷한 강도의 집행을 예상해야 합니다.

TÜV와 외부 감사기관

BSI는 공인 기관(TÜV, DQS)의 제3자 감사를 인정합니다. 조직이 감당하기 어렵다면 다음과 같이 대응하십시오.

1. TÜV 인증 NIS2 감사인을 고용합니다(3월 1일 기준 대기 기간 4~8주).
2. 감사인이 기술 평가와 문서화를 수행합니다.
3. 감사 보고서를 BSI에 제출합니다(상당한 주의 의무를 이행했음을 입증).

이 방법이 제재를 면제하지는 않지만 과징금 액수를 줄이는 데 도움이 됩니다(BSI는 "고의적 무시"보다 "준수 노력"을 더 유리하게 평가합니다).

📚 필수 자료

• BSI 공식 NIS2 포털 — 등록 및 지침
• KENSAI NIS2 준수 체크리스트 — 단계별 기술 가이드
• NIS2 지침 공식 원문 (EUR-Lex)
• Bitkom NIS2 자료 (독일 산업 협회)

---