cm/controlmapping
한국어
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
출처
실무 가이드 · ISO 27001 · NIS2

ISO 27001에서 NIS2로: 실질적인 격차 해소 계획

이미 ISO 27001 ISMS를 운영 중이라면 NIS2는 새로운 프로그램이 아니라 기존 체계의 확장입니다. ISO가 다루지 않는 부분을 중심으로 한 실질적인 작업 순서는 다음과 같습니다.

기준 · · 읽는 시간 2분

아래쪽 계단은 채워져 있고 위쪽 몇 개는 윤곽선만 있는 가벼운 계단으로 그려진, 리소그래프(Risograph) 스타일의 계단 인쇄 이미지
대부분의 계단은 이미 완성되어 있습니다.

ISO 27001을 이미 보유한 조직이라면 NIS2는 대부분 기존 체계의 확장입니다. ENISA의 매핑은 NIS2 이행규정(Implementing Regulation)의 모든 기술적 조치를 ISO 27001과 연결하며, 항목별 분석에서 그 방법을 자세히 보여 줍니다. 하지만 '매핑됨'이 '완료됨'을 뜻하지는 않으며, ISO가 다루지 않는 부분이야말로 규제 기관이 가장 먼저 점검하는 영역입니다. 아래는 저희가 권장하는 작업 순서입니다.

NIS2의 요구사항 항목 49개 중 49개(100%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 0개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

1단계: 확인 및 등록(1~4주차)

  1. 적용 범위 및 분류 확인: 서비스를 제공하는 각 EU 회원국의 국내법에 따라 부문, 규모, 필수 또는 중요 기관 여부를 확인합니다.
  2. 등록: 필요한 경우 관할 당국에 등록합니다. 기한과 양식은 국가마다 다릅니다.
  3. 적용 범위 비교: ISO 인증은 조직의 일부만 포함할 수 있지만, NIS2는 법인(entity) 전체를 대상으로 합니다. ISMS 적용 범위를 확대할 계획을 세우십시오.

2단계: 거버넌스(1~2개월차)

  1. 경영진 교육: 제20조에 따른 경영진의 의무를 설명합니다. 즉 조치를 승인하고 감독하며 교육을 이수하도록 합니다. 승인과 교육 이력을 기록하십시오.
  2. ISMS에 NIS2 반영: 법적 요구사항 목록에 NIS2를 포함하고(A.5.31), 위험 평가에 포함하며, 적용성 선언서(Statement of Applicability)에 NIS2 참조를 추가합니다.

3단계: 보고(1~3개월차)

  1. 중대 사고 보고 절차 수립: 중대성을 누가 판단하고, 누가 CSIRT 또는 당국에 통지하며, 24시간 이내 조기 경보, 72시간 이내 통지, 1개월 이내 최종 보고를 어떻게 충족할지 정합니다. 이 절차 구축에 관한 저희 글에서 단계별로 다룹니다.
  2. 절차 테스트: 업무 시간 외 상황을 포함하여 테스트합니다.
코르크 보드에 색색의 압정과 빈 포스트잇이 붙어 있는 빈 벽걸이 플래너 달력 사진
순서가 중요합니다. 거버넌스와 보고를 먼저 하고, 그다음 기술적 세부사항을 다루십시오.

4단계: 기술적 조치 심화(2~6개월차)

  1. 요구사항별 비교 수행: ISO 27001 → NIS2 격차 보고서를 활용해 각 항목을 충족, 부분 충족, 미충족으로 표시합니다.
  2. 일반적인 격차 우선순위 설정: 공급망 보안(공급업체 기준 및 계약 조건), 취약점 처리 및 조정된 공개(coordinated disclosure), 암호화 정책, 효과성 평가(제21조 제2항 (f)호)를 다룹니다.
  3. 별도 통제 대신 기존 ISO 통제에 NIS2 세부사항 반영: 병렬 통제를 새로 만들기보다 기존 통제를 보완합니다.

5단계: 실효성 입증(지속적)

  1. 내부 감사 및 경영검토에 NIS2 포함.
  2. 효과성 증거 유지: 측정 지표, 테스트 결과, 감사 발견사항을 보관합니다. 감독 기관은 조치가 존재하는지뿐 아니라 실제로 작동하는지에 대한 증거를 요구하기 때문입니다.
  3. 국가별 지침 모니터링: 당국은 여전히 기대 수준과 템플릿을 발표하고 있습니다.

역할 분담

이런 계획에는 ISMS 관리자 이상의 참여가 필요합니다.

  • 경영진: 조치를 승인하고, 교육을 이수하며, 정기 보고를 받습니다.
  • 법무 또는 컴플라이언스: 국내법에 따른 적용 범위를 확인하고, 등록을 처리하며, 국가별 지침을 추적합니다.
  • 보안 운영: 보고 절차, 중대성 판단, 훈련을 담당합니다.
  • 구매: 공급업체 선정 기준과 보안 조항을 계약에 반영합니다.
  • 엔지니어링 및 IT: 취약점 공개, 암호화, 효과성 지표 등 기술적 격차를 해소합니다.
  • ISMS 관리자: 전체를 조율하고, 매핑과 증거를 최신 상태로 유지하며, 내부 감사를 수행합니다.

처음부터 역할을 명확히 정하면 가장 흔한 실패를 피할 수 있습니다. 바로 보안팀만 NIS2 프로그램을 전담하면서 조치를 스스로 승인하거나 구매 계약을 고칠 수 없는 상황입니다.

핵심 요약

  • ISO 인증 조직에게 NIS2는 새로운 프로그램이 아니라 확장입니다.
  • 적용 범위, 등록, 경영진 의무, 보고부터 시작하십시오.
  • 그다음 공급망, 취약점 처리, 암호화를 심화하십시오.

피해야 할 함정

NIS2를 문서 작업으로만 취급하는 것입니다. ISO 인증 조직은 이미 정책을 갖추고 있는 경우가 많지만, 감독 기관은 보고 절차가 새벽 2시에도 작동하는지, 경영진이 실제로 교육을 받았는지, 공급업체 요구사항이 실제 계약에 반영되어 있는지를 물을 것입니다. 노력을 먼저 이 부분에 쏟으십시오.

전체 내용은 NIS2 가이드와 ISO 27001 vs NIS2 비교를 참고하십시오.

질문

ISO 27001에서 NIS2까지 가는 데 얼마나 걸립니까?

적용 범위와 확인된 격차에 따라 다르지만, 대부분의 기술적 조치가 매핑되므로 작업은 주로 거버넌스, 보고, 공급업체 보안, 특정 통제의 심화로 이루어집니다. 새로운 다년 프로그램이 아니라 보통 수개월 규모의 작업입니다.

NIS2를 위해 ISO 27001을 재인증해야 합니까?

아닙니다. NIS2 준수는 인증 기관이 아니라 국가 관할 당국이 판단합니다. NIS2 요구사항을 ISMS에 반영하면 기존 감사에서 해당 요구사항도 함께 점검됩니다.

ENISA의 매핑은 구속력이 있습니까?

아닙니다. 이행규정을 ISO 27001 및 NIST CSF 2.0에 매핑한 ENISA 자료는 지침입니다. 준수 여부는 국내법에 따라 각국 관할 당국이 결정합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

관련 게시물

분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.