NIS2 설명: 유럽 전역의 요구 사항, 마감일, 및 LogTotal 사용 사례

NIS2란 무엇인가?

NIS2는 지침 (EU) 2022/2555로, 에너지망, 수자원 시스템, 병원, 물류 체인, 식품 공급 및 디지털 인프라 운영을 유지하는 조직을 위한 EU의 기본 사이버 보안 법입니다. 이는 원래 NIS 지침 (EU) 2016/1148을 대체하고 부분적으로 적용된 부문별 체제를 공통적인 의무, 보고 일정 및 실질적인 집행 권한을 갖춘 단일 프레임워크로 바꾸었습니다.

그래서, NIS2는 보안 팀에게 실질적인 측면에서 무엇을 의미하나요? 세 가지입니다. 첫째, 수용 범위를 크기 기준과 두 가지 부문 부록을 통해 정의하여 커버되는 조직을 필수 및 중요한 엔티티로 나눕니다. 둘째, Article 21에서 사건 처리 및 로깅에서 공급망 보안 및 암호화에 이르는 최소한의 위험 관리 통제를 규정합니다. 세 번째로, Article 23에서 단계적 사고 통지 절차를 부과하며, 이는 중대한 사고를 인지한 지 24시간 이내에 국가 CSIRT 또는 권한에 대한 첫 번째 신호를 요구합니다.

NIS2는 규정이 아닌 지침이기 때문에, 모든 회원국은 자체 국법을 작성합니다. 핵심 의무는 공유되지만, 등록 포털, 감독 당국 및 보고 양식은 로마에서 바르샤바까지 다르며, 이는 바로 국가별 관점이 중요한 이유입니다.

LogTotal을 무료로 사용해 보세요

NIS2 출시일 및 준수까지의 경로

이 지침은 2022년 12월 27일 공보에 게재되어 2023년 1월 16일 발효되었습니다. 회원국들은 2024년 10월 17일까지 이를 전환해야 했으며, 국가 조치는 2024년 10월 18일부터 적용됩니다. 대부분이 이를 이행하지 못했지만, 이탈리아와 벨기에가 제때 법을 시행한 소수였습니다.

위원회는 2024년 11월에 공식 통지서, 2025년 5월에 합리적 의견서, 2026년 7월 8일에 EU 법원에 남은 지연자를 회부하여 대응했습니다. 2026년 10월 16일 기준으로 nisd2.eu 전환 추적기에 따르면 27개 회원국 중 24개의 국가 법이 시행되고 있습니다. 프랑스, 아일랜드, 스페인은 여전히 없습니다.

NIS2 준수를 위해 중요한 점은 시계가 유럽이 아니라 국가 차원이라는 것입니다. 독일의 BSIG 개정안은 2025년 12월 6일부터 적용되었고, 폴란드의 수정된 KSC 법은 2026년 4월 3일부터, 네덜란드의 Cyberbeveiligingswet는 2026년 8월 15일부터, 오스트리아의 NISG 2026은 2026년 10월 1일부터 적용됩니다. 각자는 자체 등록 창을 가져, 다국적 운영자는 밀라노에서 준수하면서도 그단스크에서는 늦을 수 있습니다.

NIS2 지침이 요구하는 것

NIS2 지침은 의무를 세 가지로 나눕니다: 거버넌스, 기술 통제 및 보고.

거버넌스는 Article 20에 있습니다. 경영진은 사이버 보안 위험 관리 조치를 승인하고, 그 이행을 감독하며, 정기적인 훈련을 완료해야 합니다. 책임은 더 이상 CISO에서 멈추지 않습니다.

기술 통제는 Article 21(2)에 있으며, 이는 10개의 최소 조치를 나열합니다: 위험 분석 및 정보 시스템 보안 정책; 사건 처리; 비즈니스 연속성, 백업 및 위기 관리; 공급망 보안; 취약성 처리 포함 취득, 개발 및 유지 보수 보안; 통제 효과성 평가; 사이버 위생 및 교육; 암호화; HR 보안, 액세스 통제 및 자산 관리; MFA와 보안된 통신. 디지털 인프라 및 ICT 서비스 제공자를 위해 Implementing Regulation (EU) 2024/2690는 이를 자세히 설명하며, 명시적인 모니터링 및 로깅 요구 사항을 포함합니다.

보고는 Article 23에 있으며, 이는 SOC 팀이 압박을 느끼는 부분입니다:

• 24시간: 사고가 악의적이거나 국경 간 영향을 미치는지를 포함하여 초기 경고
• 72시간: 처음 심각도 및 영향 평가와 이용 가능한 손상 지표를 포함한 사고 통지
• 한 달: 근본 원인, 완화 및 국경 간 영향을 담은 최종 보고서

24시간 초기 경고는 팀이 실제로 로그를 수시간 내에 읽을 수 있어야만 신뢰할 수 있습니다.

EU가 NIS1을 NIS2로 교체한 이유

NIS1은 일관성에서 실패했습니다. 각 회원국은 어떤 회사가 필수 서비스 운영자로 간주되는지를 스스로 결정했기 때문에, 이웃한 나라의 같은 크기를 가진 두 병원이 완전히 다른 의무를 직면할 수 있었습니다. 벌칙은 낮았고, 거의 적용되지 않았으며, 사건 보고 기준은 너무 다양하여 국경 간 상황 인식이 거의 존재하지 않았습니다.

위협 상황은 법보다 빨리 진행되었습니다. 위원회의 2020년 12월 제안과 최종 텍스트 사이에, 유럽은 병원 IT를 폐쇄한 랜섬웨어를 봤고, SolarWinds와 Kaseya 공급망 타협이 수많은 다운스트림 고객에게 도달했으며, 2022년 2월의 Viasat의 KA-SAT 네트워크에 대한 공격이 독일의 약 5,800개 Enercon 풍력 터빈의 원격 모니터링을 차단했습니다. 이 마지막 사례는 한 가지 명확한 점을 제기했습니다: IT 서비스 제공자에 대한 공격은 다른 부문과 다른 국가에서 물리적, OT 수준의 결과를 초래할 수 있습니다.

NIS2는 더 넓은 범위, 조화된 최소 통제, 명시적인 공급망 의무, 경영진의 개인적 책임, 그리고 공통 사고 시계를 통해 답합니다. 또한 EU-CyCLONe과 CSIRTs 네트워크를 통한 협력을 공식화하여, 리옹에서의 중대한 사고가 더 이상 순수한 프랑스 문제만은 아닙니다.

NIS2 벌금 및 경영 책임

Article 34는 국가 법이 최소한으로 도달해야 하는 상한선을 설정합니다:

엔티티 유형	최대 행정 벌금	감독 모델
필수	적어도 총 전세계 연간 수입의 €10 백만 또는 2%, 둘 중 더 큰 금액	사전: 감사, 현장 검사, 보안 스캔
중요한	적어도 총 전세계 연간 수입의 €7 백만 또는 1.4%, 둘 중 더 큰 금액	사후: 증거나 사고로 촉발됨

매출 참조는 현지 자회사가 아닌 전체 기업이므로, 그룹 수준 CFO가 이제 NIS2 브리핑을 읽습니다.

돈은 노출의 일부에 불과합니다. 필수 엔티티의 경우, Article 32는 당국이 인증서나 승인서를 중지하고 결함이 수정될 때까지 CEO나 법적 대리인을 경영 기능에서 임시로 차단할 수 있도록 허용합니다. 당국은 또한 기업에 불이행을 공개적으로 공개하도록 명령할 수 있습니다.

실질적으로, 규제 당국은 증거를 찾습니다. 사고를 감지한 시점, 조사한 로그, 24시간 및 72시간 결론에 도달한 방식을 보여줄 수 있는 조직이 나중에 타임라인을 재구성하는 조직보다 훨씬 강력한 위치에 있습니다. 문서화되고 반복 가능한 로그 분석은 이 벌금의 상한에 대한 가장 저렴한 보험입니다.

NIS2 vs. DORA: 어떤 법이 적용됩니까?

한 줄 NIS2 지침 요약: 18개 중요 부문에 대한 수평 사이버 보안 규칙, 국가적으로 이행되었습니다. DORA, Digital Operational Resilience Act (Regulation (EU) 2022/2554)는 모든 측면에서 그 반대입니다. 이는 은행, 보험사, 투자 회사, 결제 기관, 암호 자산 서비스 제공자 및 그들의 중요한 ICT 제3자 제공자를 다룬 부문 특정이고, 2025년 1월 17일 이후로 모든 회원국에서 즉시 적용되었습니다.

두 가지는 NIS2의 Article 4를 통해 연결됩니다. 부문별 EU 법이 NIS2와 최소한 동등한 요구 사항을 부과하는 경우, 해당 법이 우선합니다. DORA는 금융 엔티티를 위한 lex specialis이므로, 은행은 DORA의 ICT 위험, 테스트 및 보고 규칙을 따릅니다.

	NIS2	DORA
법적 형식	지침, 국가적 변환	규정, 직접 적용 가능
범위	18개 부문, 기본 및 중요 엔티티	금융 엔티티 및 중요한 ICT 제공자
첫 보고	24시간 이내에 초기 경고	주요한 사건으로 분류한 후 4시간 이내, 발견 후 24시간 이내의 초기 통지
테스트	효과성 평가	중요 엔티티를 위한 위협 주도 침투 테스트 (TLPT)

중복은 벤더에게 중요합니다. 관리되는 SOC 또는 클라우드 제공자는 NIS2 하에서 중요한 엔티티이며, 동시에 DORA 하에서는 계약상 ICT 제공자로, 두 가지 로그 증거 요청 세트를 직면할 수 있습니다.

NIS2 vs. GDPR: 서비스 연속성 대 데이터 보호

GDPR은 개인 데이터를 보호합니다. NIS2는 사회가 의존하는 서비스의 연속성을 보호합니다. 차이는 보고를 트리거하는 것에 드러납니다: GDPR 하에서는 개인 데이터 침해가 개인에게 위험을 초래할 가능성이 있는 경우, 72시간 이내에 데이터 보호 당국에 보고됩니다. NIS2 하에서는 서비스 제공에 영향을 미치는 중대한 사고로, 개인 데이터가 손상되었는지 여부에 관계없이, 24시간 이내에 CSIRT 또는 권한에 보고됩니다.

병원에 대한 랜섬웨어 공격은 일반적으로 둘 다를 트리거합니다. NIS2의 Article 35는 사이버 보안 당국이 개인 데이터 침해를 포함할 수 있는 사고가 있을 경우 데이터 보호 당국에 통보하도록 요구하며, GDPR 벌금이 이미 부과된 경우 같은 행동에 대해 이중 벌금을 방지합니다. GDPR의 상한은 여전히 더 높습니다: €20 백만 또는 전세계 매출의 4%.

SOC 팀에게 마찰점은 로그 자체입니다. 보안 텔레메트리는 개인 데이터로 가득 차 있습니다: 사용자 이름, IP 주소, 이메일 헤더, 직원 이름과 연결된 호스트 네임. 원시 로그를 외부 분석가, MSSP 또는 AI 서비스로 보내서 NIS2 마감일을 맞추는 것은 데이터 최소화 및 전송에 대한 GDPR 질문을 열 수 있습니다. 로그가 조직을 떠나기 전에 식별자를 가명화하면서 키를 내부에 유지하는 것은 두 가지 체제를 동시에 충족시키는 방법입니다.

NIS2가 영향을 미치는 조직

NIS2는 크기-캡 규칙을 사용합니다: 50명 이상의 직원 또는 연간 매출 €10 백만 이상의 중대형 조직이 18개 부문 중 하나에서 운영됩니다.

• 부록 I, 높은 중요성의 부문 (11): 에너지, 운송, 은행, 금융 시장 인프라, 보건, 식수, 폐수, 디지털 인프라, B2B ICT 서비스 관리, 공공 행정 및 우주.
• 부록 II, 기타 중요한 부문 (7): 우편 및 택배 서비스, 폐기물 관리, 화학, 식품 생산 및 유통, 제조 (의료기기, 전자제품, 전기 장비, 기계, 자동차 및 기타 운송 장비), 디지털 제공자 및 연구.

부록 I의 대형 엔티티는 250명 이상의 직원 또는 €50 백만 이상의 매출을 가지고 있는 경우 일반적으로 필수적입니다. 대부분 나머지는 중요합니다. DNS 서비스 제공자, TLD 레지스트리, 공인 인증 서비스 제공자 및 공공 전자 통신 네트워크를 포함한 일부 제공자는 크기에 관계없이 적용되며, 회원국은 유일한 중요 서비스 제공자인 작은 엔티티를 지정할 수 있습니다.

실질적 범위는 더 넓습니다. Article 21은 공급망 보안을 의무로 만들어, 해당 범위의 엔티티는 공급자에게 계약상의 보안 요구사항을 압박합니다. 독일 자동차 제조사를 섬기는 30인 펌웨어 통합업체나 슈퍼마켓 체인을 섬기는 냉동 유지보수 계약업체는 규제 당국이 통화하기 훨씬 전 감사 설문지를 통해 NIS2를 느낄 것입니다.

LogTotal 및 OT 로그: 엔진 대 생태계

LogTotal, SOC Prime이 2026년 10월 15일에 공개 미리보기에서 일반 출시로 이동한 것은 로그 문제의 사고 시간 버전을 위해 구축되었습니다. 로그 세트를 선택하면, 오픈 소스 @socprime/logtotal-sanitizer 가 브라우저 내에서 자격증, IP 주소, 호스트 이름 및 사용자 이름을 안정적인 HMAC 토큰으로 대체하고, 토큰화된 이벤트만 업로드됩니다. 일반 하드웨어에서 1분 이내에 최대 170만 개의 이벤트를 처리하며, 분석 후에는 아무것도 저장하지 않고, 조직은 내부에서 토큰을 다시 매핑할 수 있는 키를 유지합니다.

엔진 자체는 형식 무관입니다. EVTX, CEF, JSON/NDJSON 및 syslog를 자동 감지 할 수 있어, 텍스트로 표현될 수 있는 모든 것을 조사할 수 있습니다: 산업용 PC syslog, SCADA historian 및 HMI 이벤트, 엔지니어링 워크스테이션 로그 또는 Modbus 및 BACnet 트래픽이 텍스트 기록으로 디코딩된 후.

국가 매핑: 10개 시장에서의 NIS2 및 LogTotal 사용 사례

NIS2는 EU 법이지만, 유럽 시장을 섬기는 공급자, 이웃 및 후보국에 영향을 미칩니다. 아래의 모든 10개 시장 공통 주제는 시간 단위로 측정된 보고 시계이며, 이는 빠르고 개인 정보를 보호하는 로그 분류가 실용적 필요지, 있으면 좋은 요소가 아니라는 점을 의미합니다. 상태는 2026년 10월 기준을 반영합니다.

국가	규제 상태	LogTotal이 적합한 곳
이탈리아	D.Lgs. 138/2024는 2024년 10월 16일부터 시행 중입니다. 인시던트 통지는 2026년 1월 15일부터 CSIRT Italia에 라이브로 수행되며, ACN 기본 보안 조치는 2026년 10월 31일까지 제출해야 합니다.	중형 식품 및 에너지 엔티티는 드물게 24/7 SOC를 운영합니다. LogTotal은 SIEM 통합 프로젝트 없이 24시간 사전 통지를 지원하는 같은 날 분류를 제공합니다.
프랑스	Loi Résilience는 여전히 보류 중입니다. Assemblée nationale은 10월 7일과 9일 본회의에서 이를 취소했습니다. ANSSI의 ReCyF 프레임워크와 MonEspaceNIS2 사전 등록은 이미 라이브입니다.	CERT-FR 경보 CERTFR-2026-ALE-012 이후, 소매업체와 냉동 계약자는 VPN, 점프 호스트 및 방화벽 로그를 상관하여 누가 어디에서 제어기 관리 인터페이스에 접근했는지를 추적할 수 있습니다.
독일	NIS2UmsuCG의 BSIG에 대한 수정안은 2025년 12월 6일부터 시행 중이며, BSI 등록은 2026년 3월 6일까지 마쳐야 했습니다.	자동차 및 기계 공장은 엔지니어링 워크스테이션의 막대한 EVTX 볼륨을 생성합니다. 1분 이내에 170만 개 이벤트를 처리하는 것은 국경 간 공급자 조사를 계속 움직이게 합니다.
우크라이나	법률 No. 4336-IX는 2025년 4월 20일부터 시행 중이며, SSSCIP 감독 하의 NIS2에 맞추어 국가 프레임워크를 정렬하고 CISO를 의무화했습니다.	전시 자원 제약 하에서, LogTotal은 일반 하드웨어에서 실행되며, sanitizer CLI는 에어-갭 환경에서 에너지 및 농업 운영자를 위해 작동합니다.
영국	NIS Regulations 2018은 여전히 적용됩니다. Cyber Security and Resilience Bill은 2026년 6월 10일에 하원을 통과하여 상원에 제안되어 있습니다.	EU 고객을 섬기는 UK 물류 회사 및 MSP는 계약에 의해 NIS2의 공급망 조항을 직면합니다. LogTotal은 교차 채널 물류 데이터가 변조되지 않았음을 입증하는 빠르고 공유 가능한 증거를 생성합니다.
스페인	아직 전환법 없음; Royal Decree 43/2021 (NIS1)이 여전히 유효하며, 2026년 7월 8일에 위원회는 스페인을 CJEU에 회부했습니다.	Sekoia는 냉동 공격에 의해 피해를 입은 국가 중 하나로 스페인을 보고했습니다. 콜드 체인 운영자는 이제 원시 네트워크 내보내기를 통해 24시간 워크플로를 미리 여유롭게 연습할 수 있습니다.
네덜란드	Cyberbeveiligingswet는 2026년 8월 15일부터 시행 중이며, NCSC-NL과 RDI가 감독합니다.	로테르담과 암스테르담 터미널 운영자는 포트 측 OT 침입 패턴에 대해 게이트 자동화 및 컨테이너 추적 시스템의 syslog를 감사할 수 있습니다.
벨기에	2024년 4월 26일 NIS2 법이 2024년 10월 18일부터 시행 중입니다. CCB가 감독하며, CyberFundamentals가 기준 프레임워크입니다.	HMAC 토근화는 로그가 CERT.be나 외부 IR 회사로 가기 전에 식별자를 제거하며, 조직은 재식별 키를 유지합니다.
폴란드	수정된 KSC 법은 2026년 4월 3일부터 시행 중이며, 자체 등록은 2026년 10월 3일에 마감되었습니다.	운송 및 방위 인접 운영자는 정기 스캔과 국가 간 무역기술을 분리할 필요가 있습니다. 랭크된 공격 체인은 빠르게 ATT&CK에 매핑된 그 관리를 합니다.
스위스	EU에 속하지 않지만, 중요한 인프라는 사이버 공격을 2025년 4월 1일부터 24시간 이내에 NCSC에 신고해야 하며, 2025년 10월 1일부터 최대 CHF 100,000의 벌금이 있습니다.	유럽 네트워크와 동기화된 전력망 운영자는 14일 후속 보고서 전에 변전소 로그 및 송전 로그에 대해 형식 무관 체크를 실행할 수 있습니다.