NIS2 컴플라이언스: 실무 가이드
Paul Gillet 기준 · 2026-10-17 업데이트
NIS2는 EU의 핵심 사이버보안 법률인 지침 (EU) 2022/2555입니다. 이 지침은 회원국별 국내법을 통해 이행되며, 회원국의 이행 기한은 2024년 10월 17일이었습니다. 핵심 의무는 어디서나 동일하지만, 등록, 감독, 제재 및 세부 사항은 국가마다 다르므로 운영하는 국가의 국내법을 반드시 확인하십시오.
적용 대상인가요?
NIS2는 18개 부문의 기관을 대상으로 합니다. 부속서 I은 중요도가 높은 부문을 나열하며, 에너지, 운송, 은행, 금융시장 인프라, 보건, 식수, 폐수, 디지털 인프라, B2B ICT 서비스 관리, 공공행정, 우주가 여기에 해당합니다. 부속서 II는 그 밖의 주요 부문을 나열하며, 우편 및 택배 서비스, 폐기물 관리, 화학, 식품, 제조(의료기기, 전자, 기계, 자동차 포함), 디지털 제공자, 연구가 여기에 해당합니다.
원칙적으로 기관이 EU 내에서 위 부문 중 하나에서 운영되고 중견기업 이상의 규모(직원 50명 이상, 또는 연매출 및 대차대조표 총액이 1,000만 유로 초과)인 경우 적용 대상입니다. DNS 서비스 제공자, 최상위 도메인 등록기관, 신뢰 서비스 제공자, 공중 전자통신망 제공자처럼 규모와 관계없이 적용되는 경우도 있습니다. 기관은 필수 기관 또는 중요 기관으로 분류되며, 두 유형 모두 동일한 조치를 충족해야 하지만 감독 방식과 최대 과징금은 다릅니다.
NIS2의 요구사항
- 거버넌스(제20조): 경영진은 위험 관리 조치를 승인하고 이를 감독하며 사이버보안 교육을 받아야 합니다. 조치가 미흡할 경우 경영진에게 책임이 부과될 수 있습니다.
- 위험 관리 조치(제21조): 모든 위험에 대응하는 접근 방식으로서 (a) 위험 분석 및 보안 정책, (b) 사고 처리, (c) 업무 연속성, 백업, 재해 복구 및 위기 관리, (d) 공급망 보안, (e) 획득, 개발 및 유지보수 과정의 보안(취약점 처리 및 공개 포함), (f) 이러한 조치의 효과성 평가, (g) 기본적인 사이버 위생 및 교육, (h) 암호화 기술 및 암호화, (i) 인적 자원 보안, 접근 통제 및 자산 관리, (j) 다중 요소 인증 또는 지속적 인증 및 보안 통신을 포함합니다.
- 사고 보고(제23조): 중대한 사고의 경우 인지 시점으로부터 24시간 이내에 CSIRT 또는 관할 당국에 조기 경보를 제출하고, 72시간 이내에 사고 통지를 제출하며, 1개월 이내에 최종 보고서를 제출해야 합니다.
- 등록: 대부분의 기관은 국가 당국에 등록해야 합니다.
이행 규정
일부 디지털 제공자에 대해 집행위원회는 이행규정 (EU) 2024/2690에서 제21조 조치를 구체적으로 규정했습니다. 대상은 DNS 서비스 제공자, TLD 등록기관, 클라우드 컴퓨팅 및 데이터센터 서비스, 콘텐츠 전송 네트워크, 관리형 서비스 및 관리형 보안 서비스 제공자, 온라인 마켓플레이스, 검색엔진, 소셜 네트워킹 플랫폼, 신뢰 서비스 제공자입니다. 이 부속서는 제21조 자체보다 훨씬 구체적입니다. ControlMapping의 NIS2 요구사항은 ENISA의 명칭과 ENISA가 공식 제시한 ISO 27001 및 NIST CSF 2.0 대응 관계를 바탕으로 한 해당 부속서의 항목들입니다. 그 밖의 기관은 국내법을 따르지만, 이 부속서와 ENISA의 이행 지침은 모든 기관에 신뢰할 만한 참고 자료가 됩니다.
단계별 절차
- 운영하는 각 국가의 국내법에 따라 적용 범위와 분류를 확인하고, 필요한 경우 등록합니다.
- 경영진에게 보고합니다: 경영진은 조치를 승인하고 교육을 이수해야 하므로 여기서부터 시작하십시오.
- 제21조, 또는 해당되는 경우 이행규정 부속서를 기준으로 격차 평가를 실시합니다. ISO 27001을 보유하고 있다면 ISO 27001 → NIS2 비교부터 시작하십시오.
- 누락된 조치를 구현합니다. 일반적으로 공급망 보안과 취약점 처리에 가장 많은 신규 작업이 필요합니다.
- 보고 절차를 구축합니다: 사고가 중대한지 판단할 주체를 정하고, 근무 시간 외를 포함하여 24시간 및 72시간 기한을 준수하는 연습을 하십시오.
- 효과성의 증거를 보관합니다(제21조 제2항 (f)): 조치가 작동함을 보여주는 감사, 테스트 및 지표입니다.
ISO 27001을 취득하면 NIS2를 준수하게 되나요?
그것만으로는 충분하지 않지만, 상당 부분 도움이 됩니다. ENISA의 대응표는 이행규정의 모든 항목을 ISO 27001 조항 또는 부속서 A 통제 항목과 연결하므로, ISO 인증을 받은 조직은 대부분의 기술적·조직적 조치를 이미 갖추고 있습니다. 하지만 ISO가 제공하지 않는 것도 있습니다. 바로 보고 기한, 경영진 교육 및 책임, 등록, 그리고 일부 부속서 항목이 부속서 A보다 더 구체적으로 규정하는 특정 기술 요구사항입니다. 준수 여부는 인증기관이 아니라 관할 국가 당국이 판단합니다.
감독 및 제재
국가 당국은 필수 기관을 사전에 감독하고(감사, 점검, 보안 스캔), 중요 기관은 주로 사고나 민원이 발생한 후에 감독합니다. 최대 과징금은 필수 기관의 경우 최소 1,000만 유로 또는 전 세계 연매출의 2% 중 높은 금액이며, 중요 기관의 경우 700만 유로 또는 1.4% 중 높은 금액입니다.
이 사이트의 활용 방법
여기에 있는 모든 NIS2 요구사항 항목은 ENISA의 대응표를 통해 ISO 27001 및 NIST CSF 2.0과 연결되며, 이를 통해 다른 프레임워크로도 연결됩니다. 아래 표는 이미 보유한 각 프레임워크가 NIS2의 얼마나 많은 부분을 다루는지 보여 줍니다.
이미 다른 프레임워크를 사용 중이신가요?
이미 준수하고 있을 수 있는 각 프레임워크의 요구사항 중 NIS2의 요구사항에 몇 개가 매핑되는지 보여줍니다. 요구사항별 전체 목록은 격차 보고서를 열어 확인하세요.
| 이미 보유한 경우 | NIS2 요구사항 매핑 완료 | 느슨하게 관련된 항목만 | 매핑 없음 | |
|---|---|---|---|---|
| ISO 27001 | 49 / 49 | 0 | 0 | 격차 보고서 → · 비교 |
| SOC 2 | 47 / 49 | 1 | 1 | 격차 보고서 → · 비교 |
| NIST CSF 2.0 | 45 / 49 | 3 | 1 | 격차 보고서 → · 비교 |
| PCI DSS | 45 / 49 | 3 | 1 | 격차 보고서 → |
| 800-53 | 45 / 49 | 3 | 1 | 격차 보고서 → |
| DORA | 44 / 49 | 5 | 0 | 격차 보고서 → |
| CMMC | 40 / 49 | 8 | 1 | 격차 보고서 → |
| CIS v8.1 | 34 / 49 | 7 | 8 | 격차 보고서 → |
| HIPAA | 34 / 49 | 13 | 2 | 격차 보고서 → |
| GDPR | 29 / 49 | 9 | 11 | 격차 보고서 → |
| CPS 234 | 21 / 49 | 6 | 22 | 격차 보고서 → |
| Essential Eight | 17 / 49 | 8 | 24 | 격차 보고서 → |
| Cyber Essentials | 16 / 49 | 3 | 30 | 격차 보고서 → |
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 집계는 격차 분석와 동일한 데이터에서 나오며, 매핑은 관련 요구사항을 의미할 뿐 한쪽이 다른 쪽을 충족한다는 증거가 아닙니다.
질문
NIS2는 언제부터 적용되었나요?
회원국은 2024년 10월 18일부터 자국의 NIS2 국내법을 적용해야 했습니다. 일부 회원국은 이행이 늦어졌으므로 운영하는 국가의 현황을 확인하십시오.
NIS2의 사고 보고 기한은 어떻게 되나요?
중대한 사고를 인지한 후 24시간 이내에 조기 경보, 72시간 이내에 사고 통지, 1개월 이내에 최종 보고서를 제출합니다.
NIS2는 EU 외부 기업에도 적용되나요?
적용될 수 있습니다. EU 내에 사업장 없이 EU에서 서비스를 제공하는 일부 디지털 제공자는 회원국에 대리인을 지정해야 합니다.
법률 또는 컴플라이언스 자문이 아닙니다. 의존하기 전에 공식 원문과 감사인, 평가자 또는 규제기관에 확인하세요.