NIS2 사고 보고: 24시간 및 72시간 기한 준수

NIS2의 보고 기한은 근무 주가 시작되는 시점이 아니라, 중대 사고를 인지한 시점부터 시작됩니다. 이를 충족하는 절차를 구축하는 방법을 소개합니다.

NIS2 제23조는 중대 사고에 대해 세 가지 보고 기한을 정하고 있습니다. 사고를 인지한 시점부터 24시간 이내의 조기 경보, 72시간 이내의 사고 통지, 그리고 1개월 이내의 최종 보고서입니다. ISO 27001과 대부분의 프레임워크는 사고 관리를 요구하지만, 이 기한에 맞춰 규제기관에 통지하도록 요구하는 프레임워크는 없습니다. 이를 충족하는 절차를 구축하는 방법은 다음과 같습니다.

세 가지 보고서

보고서	기한	내용
조기 경보	인지 시점부터 24시간	사고가 악의적인 것으로 의심되는지, 국경 간 영향을 미칠 수 있는지 여부
사고 통지	인지 시점부터 72시간	업데이트, 심각도 및 영향에 대한 초기 평가, 가능한 경우 침해 지표
최종 보고서	통지 후 1개월	상세 설명, 추정 근본 원인, 적용된 완화 조치 및 진행 중인 조치, 국경 간 영향

당국은 중간 업데이트를 요청할 수도 있습니다. 사고가 1개월 시점에도 계속 진행 중이라면, 진행 상황 보고서를 제출하고 사고 처리가 끝난 후 한 달 이내에 최종 보고서를 제출해야 합니다.

1단계: 자사에 맞는 “중대”의 정의

제23조 3항의 기준은 광범위합니다. 심각한 운영 중단이나 재무적 손실, 또는 타인에 대한 상당한 피해가 해당합니다. 특정 디지털 서비스 제공자의 경우 시행규정(Implementing Regulation)이 더 구체적인 기준을 정하고 있습니다. 이를 온콜 담당자가 몇 분 안에 적용할 수 있도록 예시와 함께 간단한 판단 체크리스트로 만들고, 판단이 불확실하면 조기 경보를 제출한다는 원칙을 명확히 하십시오.

2단계: 담당자 지정

중대성을 판단하는 사람(그리고 시간과 관계없이 이를 대행할 사람).
CSIRT 또는 당국에 제출하는 사람, 사전에 테스트한 보고 포털 접근 권한을 갖춘 사람.
내용을 승인하는 사람, 단 승인이 병목이 되지 않도록 할 것. 조기 경보에는 세부 내용이 거의 필요하지 않습니다.
경영진에 알리는 사람, 제20조에 따라 책임을 지는 경영진에게 알립니다.

어두운 방에서 침대 옆 탁자 위에 램프와 물잔과 함께 엎어져 놓인 휴대폰 사진 — 24시간 시계는 근무 시간을 기다려 주지 않습니다.

3단계: 사고 프로세스와 연계하기

기존 사고 대응 계획에 보고 결정 지점을 추가하십시오. 분류(triage) 단계에서 "이 사고가 중대할 수 있는가?"를 묻고, 그 시점부터 기한 기록을 시작하십시오. 사고 인지 시점은 신중하게 기록하십시오. 모든 기한은 그 시점부터 계산됩니다.

4단계: 다른 기한도 함께 관리하기

중대 사고는 둘 이상의 의무를 유발하는 경우가 많습니다:

GDPR: 개인정보가 침해된 경우 72시간 이내에 감독기관에 통지해야 합니다(제33조).
계약: 고객 통지 조건이며, 보통 24~72시간입니다.
기타 규제: 카드 데이터의 경우 결제 브랜드, 업종 규제기관, 금융기관의 경우 DORA.

한 명의 조정 담당자가 이 목록을 관리하여, 다른 팀이 자신의 책임이라고 생각해 놓치는 기한이 없도록 하십시오.

5단계: 템플릿과 연습

세 가지 보고서 각각에 필수 항목을 갖춘 템플릿을 준비하고, 회사 정보를 미리 채워 두십시오. 그다음 최소 연 1회 훈련을 실시하되, 가급적 금요일 저녁에 시작하여 소요 시간을 측정하십시오.

실습 시나리오

절차를 테스트하려면 가급적 금요일 늦은 시간에 시작하여 다음과 같은 짧은 훈련을 실시하십시오:

0시간: 모니터링 시스템이 고객 대상 서비스를 지원하는 파일 서버에서 비정상적인 암호화 활동을 탐지합니다.
2시간: 온콜 엔지니어가 여러 서버에서 랜섬웨어를 확인하고, 일부 고객의 서비스가 저하된 상태임을 확인합니다.
판단 지점: 중대한 사고인가? 체크리스트를 적용하고 판단 결과와 시각을 기록합니다.
24시간 이전: 템플릿을 사용하여 조기 경보를 제출합니다. 악의적 활동 의심과 가능한 국경 간 영향을 기재합니다.
72시간 이전: 초기 평가와 침해 지표를 포함한 통지를 제출합니다.
병행 기한: 개인정보가 GDPR 통지를 유발하는가? 계약상 고객 통지가 필요한가?

각 단계의 소요 시간을 측정하십시오. 발견된 공백(포털 접근 권한 보유자, 승인 가능자, 템플릿 위치 등)이 이 절차의 실질적인 약점입니다.

기록 보관

중대성을 평가한 모든 사고를 기록하고, 보고하지 않기로 한 사고도 그 근거와 함께 포함하십시오. 감독기관은 무엇을 보고했는지뿐 아니라 어떻게 판단했는지도 물을 것입니다.

사고 대응 및 보고 주제 페이지에서는 프레임워크별 요구사항을 비교하고, NIS2 가이드에서는 규정의 나머지 내용을 다룹니다.

질문

NIS2에서 중대 사고에 해당하는 것은 무엇입니까?

제23조 3항에 따라, 해당 기관에 심각한 운영 중단이나 재무적 손실을 초래했거나 초래할 수 있는 사고, 또는 타인에게 상당한 물질적 또는 비물질적 피해를 입혔거나 입힐 수 있는 사고입니다. 시행규정은 특정 디지털 서비스 제공자에 대해 더 구체적인 기준을 정하고 있습니다.

NIS2에서는 누구에게 보고합니까?

회원국의 NIS2 법률에 따라 지정된 국가 CSIRT 또는 관할 당국입니다. 일부 국가는 단일 보고 창구를 사용합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

NIS2 24시간·72시간 기한에 대응하는 사고 보고 절차 구축