2024년 10월까지 각국 법률로 전환된 NIS2 지침은 EU 회원국 전반의 사이버 보안 의무 적용 범위를 크게 확대했습니다. KENSAI는 필수·중요 기관이 지속적인 취약점 평가를 통해 NIS2 제21조 요건을 충족하도록 지원합니다.
NIS2 평가 시작 → 데모 예약NIS2는 NIS1의 범위를 대폭 확대해 이제 두 가지 기관 범주를 포괄합니다.
| 범주 | 부문 | 감독 |
|---|---|---|
| 필수 기관 | 에너지, 운송, 은행, 금융시장 인프라, 보건, 상하수도, 디지털 인프라, ICT 서비스 관리, 공공행정, 우주 | 선제적 감독 및 의무 감사 |
| 중요 기관 | 우편 서비스, 폐기물 관리, 화학, 식품, 제조, 디지털 제공업체, 연구 | 사후 대응형 감독 및 조사 발생 시 감독 |
규모 기준: 일반적으로 중견 이상 기관(직원 50명 이상 또는 매출 1,000만 유로 이상)에 적용됩니다. 일부 부문(핵심 인프라)에는 규모 기준이 없습니다.
제21조는 “적절하고 비례적인 기술적·운영적·조직적 조치”를 요구합니다. 취약점 관리와 관련된 핵심 요건은 다음과 같습니다.
필수 서비스 제공에 사용되는 시스템의 취약점을 체계적으로 식별하는 절차를 포함한 위험 분석 정책입니다.
취약점 관리와 공개 정책을 포함해 시스템 수명주기 전체에 보안 조치를 적용합니다.
조직은 사이버 보안 위험 관리 조치의 효과를 평가하는 절차를 갖춰야 합니다. 보안 테스트가 핵심 기술 수단입니다.
직접 공급업체와 서비스 제공업체의 보안 관행 평가를 포함해 공급망 취약점을 다루는 보안 조치입니다.
필수 기관에는 1,000만 유로 또는 전 세계 연간 총매출의 2% 중 더 큰 금액까지 과징금이 부과됩니다. 중요 기관은 700만 유로 또는 전 세계 매출의 1.4%까지 부과됩니다. NIS2는 경영진의 개인 책임도 도입해, 고위 임원이 과실로 발생한 위반에 개인적으로 책임질 수 있습니다.
유럽연합 사이버보안청(ENISA)은 NIS2 기술 요건을 명확히 하는 이행 지침을 발표했습니다. 취약점 관리 요구사항은 다음과 같습니다.
필수 서비스 제공에 관여하는 모든 ICT 자산을 자동으로 탐색하고 목록화하여 NIS2 규정 준수의 토대를 마련합니다.
자산 중요도에 비례해 스캔 주기와 깊이를 설정합니다. 필수 서비스 시스템에는 더 빈번하고 심층적인 테스트를 적용합니다.
ICT 공급업체의 외부 공격 표면을 관리해 NIS2 제21조 제2항 (h)의 공급망 보안 요건을 충족합니다.
NIS2는 경영진에게 개인 책임을 부과합니다. KENSAI는 이사회가 취약점 위험을 파악할 수 있는 경영진 대시보드를 제공합니다.
스캔 이력, 개선 기록, 정책 증거 등 국가 관할 당국의 검사에 대비한 감사용 문서를 생성합니다.
취약점을 24시간 사고 통지 요건과 연결해 해당 취약점이 실제 악용되는 즉시 파악합니다.
| 항목 | NIS1(2016) | NIS2(2022) |
|---|---|---|
| 범위 | 필수 서비스 운영자만 해당 | 필수 기관과 중요 기관(대상 조직 약 10배 증가) |
| 보안 조치 | 모호한 “적절한 조치” | 구체적인 10개 보안 조치 목록 |
| 감독 | 국가별 완화된 접근 | EU 전역에서 조화된 선제적 감독 |
| 과징금 | 회원국별 상이 | 통일된 상한(1,000만 유로/매출 2%) |
| 경영진 책임 | 명시되지 않음 | 임원의 개인 책임 |
| 공급망 | 요구되지 않음 | 명시적으로 요구됨 |
경영진의 개인 책임과 전 세계 매출의 최대 2%에 이르는 과징금 때문에 NIS2 규정 준수는 이사회 차원의 사안입니다. KENSAI는 국가 관할 당국에 규정 준수를 입증하는 데 필요한 자동화된 취약점 관리와 문서를 제공합니다.
NIS2 규정 준수 시작 → NIS2 전문가와 상담