DORA vs NIS2: 기존 NIS2 작업이 이미 다루는 내용

EU 금융기관의 경우 DORA가 NIS2의 보안 규정을 대체합니다. 작업의 대부분은 동일하며, 차이는 제3자 위험, 테스트, 보고에 있습니다.

EU 금융기관에 근무한다면, 핵심 질문은 보안 프로그램에 DORA나 NIS2가 적용되는지가 아닙니다. NIS2는 최소한 동등한 사이버보안 요구사항을 갖춘 부문별 EU 법령이 우선 적용되도록 허용하며, 금융 부문에서 그 법령은 디지털 운영 회복탄력성법(Digital Operational Resilience Act), 규정 (EU) 2022/2554이고 2025년 1월 17일부터 적용되고 있습니다.

실질적인 질문은 다릅니다. 이미 NIS2 프로그램을 구축했거나 그룹의 나머지 계열사를 위해 운영하고 있다면, 그중 얼마나 많은 부분이 그대로 이어질 수 있을까요? 저희 데이터는 조항별로 이 질문에 답합니다.

핵심 수치

DORA의 조항 22개 중 20개(91%)는 NIS2의 항목에 대응되고, 1개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

이 수치는 “완료”가 아니라 “기존 NIS2 작업이 이미 가리키는 지점”으로 읽어야 합니다. DORA와 NIS2를 직접 잇는 공개된 대응표는 없으므로, 여기의 모든 연결은 ControlMapping 편집 콘텐츠입니다. DORA를 단락 및 항 수준에서 NIS2 이행규정과 동일한 보안 주제에 매핑했으며, 각 연결의 근거는 요구사항 페이지에 표시되어 있습니다.

DORA 조항별 분석

DORA	요구사항	일치	NIS2
Art.5(2)(a)	Governance and organisation	편집 콘텐츠	2.1 7.1 1.2 2.2
Art.6(1)	ICT risk management framework	편집 콘텐츠	2.1 7.1 13.1 13.2
Art.7	ICT systems, protocols and tools	보유 데이터에 매핑 없음	—
Art.8(1)	Identification	편집 콘텐츠	12.1 12.4 2.1 6.5
Art.9(1)	Protection and prevention	편집 콘텐츠	3.2 12.2 12.3 1.1
Art.10(1)	Detection	편집 콘텐츠	3.2 3.4 10.2 10.4
Art.11(1)	Response and recovery	편집 콘텐츠	4.1 4.3 3.1 3.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	편집 콘텐츠	4.2 4.1
Art.13(1)	Learning and evolving	편집 콘텐츠	3.5 3.6 8.1 8.2
Art.14(1)	Communication	편집 콘텐츠	4.3
Art.16(1)	Simplified ICT risk management framework	편집 콘텐츠	2.1 7.1
Art.17(1)	ICT-related incident management process	편집 콘텐츠	3.1 3.5 4.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	편집 콘텐츠	3.1 3.3 3.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	편집 콘텐츠	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	편집 콘텐츠	2.1 7.1
Art.25(1)	Testing of ICT tools and systems	편집 콘텐츠	6.5 6.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	편집 콘텐츠	6.5 6.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	편집 콘텐츠	6.5 6.10
Art.28(2)	General principles	편집 콘텐츠	5.1 6.1 5.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	편집 콘텐츠	5.1 6.1
Art.30(2)	Key contractual provisions	편집 콘텐츠	5.1 5.2 6.1 12.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	느슨하게 관련됨	2.1 4.3 6.10

겹치는 범위가 넓은 이유는 두 법령이 같은 프로그램을 설명하기 때문입니다. 문서화된 위험 관리 프레임워크, 자산 식별, 보호 및 탐지, 사고 처리, 업무 연속성, 공급업체 보안이 그렇습니다. DORA에 이행규정의 직접적인 대응 조항이 있는 경우 주제는 일치하지만, 세부 내용은 종종 다릅니다.

사무실 책상 위에 바인더 클립과 색깔 인덱스 탭이 달린 두꺼운 인쇄 계약서 더미 사진 — DORA는 공급업체 계약을 규제 대상 문서 묶음으로 바꿉니다.

DORA가 추가하는 사항

정보 등록부. 제28조 제3항은 ICT 서비스를 위한 모든 계약 약정의 등록부를 요구하며, 이는 법인 및 그룹 수준에서 유지되고 관할 당국에 매년 보고되어야 합니다. NIS2는 공급업체 보안 관리를 요구하지만, 규제 대상 등록부를 요구하지는 않습니다.
의무 계약 조건. 제30조는 모든 ICT 서비스 계약에 반드시 포함되어야 할 내용을 규정합니다. 데이터 처리 위치, 데이터 접근 및 반환, 추가 비용 없이 또는 사전에 정한 비용으로 제공되는 사고 지원, 해지 권리가 여기에 포함됩니다. 핵심 또는 중요 기능과 관련된 계약에는 감사권, 위협 기반 테스트 참여, 출구 기간이 추가됩니다.
집중 위험과 출구. 계약 전에 제29조는 공급업체를 대체하기 어려운지, 하도급 체인이 귀사에 어떤 영향을 미치는지 묻습니다. 제28조 제8항은 핵심 또는 중요 기능에 대해 검증된 출구 전략을 요구합니다.
위협 기반 침투 테스트. 관할 당국이 선정한 기관은 최소 3년마다 실제 운영 시스템에서 위협 기반 침투 테스트(TLPT)를 수행해야 하며(제26조), 테스터는 제27조의 요건을 충족해야 합니다. NIS2 이행규정은 조치의 효과성 평가를 요구하지만, TLPT를 규정하지는 않습니다.
사고 분류 및 단계별 보고. 제18조는 사고가 중대한지 결정하는 기준을 정하며, 제19조는 최초 통지, 중간 보고, 최종 보고를 요구합니다. NIS2에는 별도의 기한이 있습니다. 24시간 이내 조기 경보, 72시간 이내 통지, 1개월 이내 최종 보고입니다. 그룹의 서로 다른 부분에서 두 체계에 따라 보고한다면 절차를 두 개로 유지하십시오.
명시된 경영진 책임. 두 법령 모두 경영진에게 책임을 묻습니다. DORA는 디지털 운영 회복탄력성 전략부터 ICT 제3자 서비스 정책까지 경영진이 승인해야 할 사항을 구체적으로 명시합니다(제5조 제2항).

반대 방향

NIS2의 요구사항 항목 49개 중 44개(90%)는 DORA의 항목에 대응되고, 5개는 느슨하게만 관련되며, 0개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

DORA에서 NIS2로 가면, NIS2 이행규정이 실질적으로 새롭게 추가하는 내용은 거의 없습니다. 일부 요구사항 항목은 저희 데이터에서 DORA와 넓은 결과만 공유하는데, 대개 DORA가 이를 저희가 매핑하지 않는 기술 표준에서 다루기 때문입니다. 다음 항목을 확인하십시오.

NIS2	요구사항	일치	DORA
6.2	Secure development life cycle	느슨하게 관련됨	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	느슨하게 관련됨	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	느슨하게 관련됨	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	느슨하게 관련됨	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	느슨하게 관련됨	Art.10(3)

이미 NIS2를 위해 구축했다면

각 법인에 적용되는 법령을 확인하십시오. 금융기관은 DORA를 따르며, 다른 그룹사는 NIS2에 계속 해당될 수 있습니다.
핵심 체계를 재사용하십시오. 위험 평가, 자산 목록, 접근 통제, 로깅, 사고 대응, 연속성 계획은 그대로 이어집니다. 검토 주기는 DORA에 맞게 조정하십시오(예: ICT 위험 관리 프레임워크는 최소 연 1회 검토).
제3자 계층을 구축하십시오. 정보 등록부 작업을 일찍 시작하고, 계약 양식을 제30조에 맞춰 검토하십시오. 보통 이것이 가장 큰 신규 작업입니다.
테스트를 계획하십시오. 관할 당국이 TLPT 대상으로 선정하지 않았더라도 제24조는 테스트 프로그램을 요구하며, 핵심 또는 중요 기능을 지원하는 시스템은 매년 테스트해야 합니다.
두 체계가 모두 적용되는 경우 보고 절차를 분리하십시오.

핵심 요약

NIS2 작업은 DORA 주제의 대부분을 다룹니다. 격차 분석에서 요구사항별로 확인할 수 있습니다.
DORA 고유의 핵심 작업은 제3자 위험입니다. 등록부, 계약 조건, 집중 위험, 출구가 여기에 해당합니다.
위협 기반 침투 테스트와 DORA의 사고 분류에 해당하는 NIS2 항목은 없습니다.

다음으로 볼 자료

DORA 프레임워크 페이지에서 저희가 매핑한 모든 조항과 공식 원문을 확인할 수 있고, NIS2 vs DORA 비교에서 양방향 내용을 전부 볼 수 있으며, NIS2 가이드에서 NIS2 측면을 다룹니다.

질문

금융기관은 DORA와 NIS2를 모두 준수해야 하나요?

DORA의 적용 범위에 있는 금융기관은 ICT 위험 관리와 사고 보고에 대해 DORA를 따릅니다. NIS2는 최소한 동등한 요구사항을 갖춘 부문별 EU 법령이 우선 적용되도록 허용하며, 금융 부문에서는 DORA가 그 법령입니다. 비금융 계열사를 포함하거나 은행에 서비스를 제공하는 ICT 공급업체가 있는 그룹도 두 법령을 모두 충족할 수 있습니다.

DORA와 NIS2 사이에 공식 매핑이 있나요?

두 법령을 연결하는 공개된 대응표는 없습니다. ControlMapping의 연결은 편집 콘텐츠입니다. DORA를 단락 및 항 수준에서 NIS2 이행규정과 동일한 보안 주제에 매핑했으며, 각 연결은 근거를 표시합니다.

NIS2에는 없지만 DORA가 요구하는 사항은 무엇인가요?

주로 모든 ICT 서비스 계약에 대한 정보 등록부, 의무 계약 조건의 상세 목록, ICT 집중 위험 평가, 출구 전략, 그리고 관할 당국이 선정한 기관을 대상으로 최소 3년마다 실시하는 위협 기반 침투 테스트입니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위