팔로우 NIS2란 무엇인가?
NIS2는 지령 (EU) 2022/2555로, 에너지 그리드, 수도 시스템, 병원, 물류 체인, 식품 공급 및 디지털 인프라를 운영하는 조직을 위한 EU의 기본 사이버 보안 법입니다. 2016년의 초기 NIS 지령 (EU) 2016/1148를 대체하고, 부문별로 적용되던 느슨한 시스템을 공통의 의무, 공통 보고 시간표 및 실제 집행 권한을 가진 단일 프레임워크로 전환했습니다.
그렇다면, 보안 팀에게 NIS2는 실질적으로 무엇을 의미할까요? 세 가지입니다. 첫째, 범위를 정의하기 위해 크기 기준과 두 개의 부문 별 부록이 있으며, 커버되는 조직을 필수 및 중요 기관으로 나눕니다. 둘째, 사건 처리 및 로깅부터 공급망 보안 및 암호화까지 기사의 21에서 최소한의 위험 관리 통제를 규정합니다. 셋째, 중요한 사건을 인지한 후 24시간 이내에 국가 CSIRT 또는 해당 당국에 첫 신호를 보내야 하는 단계적 사건 통보 절차를 기사의 23에 부과합니다.
NIS2는 규정이 아닌 지령이기 때문에, 각 회원국은 자국의 법을 작성합니다. 핵심 의무는 공유되지만, 등록 포털, 감독 당국 및 보고 양식은 로마에서 바르샤바까지 다르기 때문에 국가 수준의 관점이 중요합니다.
NIS2 출시일과 준수를 위한 길
지령은 2022년 12월 27일 공식 저널에 게시되어 2023년 1월 16일 발효되었습니다. 회원국은 2024년 10월 17일까지 이를 전환해야 하며, 2024년 10월 18일부터 국법이 적용됩니다. 몇몇만이 이를 달성했습니다: 이탈리아와 벨기에는 제시간에 법을 발효한 몇 안 되는 국가입니다.
위원회는 2024년 11월에 공식 통지 서한, 2025년 5월에 서명된 의견, 그리고 2026년 7월 8일 EU의 사법 재판소에 남은 지연국을 회부하여 대응했습니다. nisd2.eu 전환 추적기, 2026년 10월 16일 기준으로 27개 회원국 중 24곳에서 국법이 시행되고 있습니다. 프랑스, 아일랜드, 스페인은 아직 없습니다.
NIS2 준수를 위해 알아야 할 점은 시계가 유럽이 아닌 국가적이라는 것입니다. 독일의 BSIG 개정안은 2025년 12월 6일부터 적용되며, 폴란드의 개정 KSC 법은 2026년 4월 3일부터, 네덜란드의 Cyberbeveiligingswet은 2026년 8월 15일부터, 오스트리아의 NISG 2026은 2026년 10월 1일부터 적용됩니다. 각국은 자국의 등록 기간을 제공하므로, 다국가 사업자는 밀라노에서는 준수하지만 그단스크에서는 이미 늦어질 수 있습니다.
NIS2 지령의 요구 사항
NIS2 지령은 의무를 세 가지로 나눕니다: 관리, 기술 통제 및 보고.
관리는 제 20조에 명시되어 있습니다. 관리 기관은 사이버 보안 위험 관리 조치를 승인하고, 이를 감독하며 정기적인 훈련을 완료해야 합니다. 책임감은 더 이상 CISO에서 멈추지 않습니다.
기술 통제는 제 21조 (2)에 있으며, 10가지 최소 조치를 나열합니다: 위험 분석 및 정보 시스템 보안 정책; 사건 처리; 비즈니스 연속성, 백업 및 위기 관리; 공급망 보안; 안전한 획득, 개발 및 유지 보수, 취약점 처리 포함; 통제의 효과성 평가; 사이버 위생 및 훈련; 암호화; HR 보안, 접근 제어 및 자산 관리; MFA 및 안전한 통신. 디지털 인프라 및 ICT 서비스 제공자의 경우, (EU) 2024/2690 시행 규정은 명시적 모니터링 및 로깅 요구 사항을 포함한 세부 사항을 규정합니다.
보고는 제 23조에 있으며, SOC 팀이 압력을 느끼는 부분입니다:
- 24시간: 초기 경고, 사건이 악의적일 가능성이 있는지 또는 국경 간 영향을 미치는지 여부 포함
- 72시간: 사건 통보와 초기 심각성 및 영향 평가, 사용 가능한 타격 지표
- 한 달: 근본 원인, 해결책 및 국경 간 영향과 함께 최종 보고서
24시간 이내의 초기 경고는 팀이 실제로 로그를 시간 단위로 읽을 수 있을 때만 신뢰할 수 있습니다.
EU가 NIS1을 NIS2로 대체한 이유
NIS1은 일관성에서 실패했습니다. 각 회원국은 필수 서비스 운영자로 간주되는 회사를 스스로 결정했기 때문에 이웃 국가의 같은 크기의 두 병원이 완전히 다른 의무를 맞닥뜨릴 수 있었습니다. 벌금은 낮고 거의 적용되지 않았으며, 사건 보고 기준은 너무도 다양하여 국경 간 상황 인식은 거의 존재하지 않았습니다.
위협 상황은 법보다 빨리 진행되었습니다. 위원회의 2020년 12월 제안과 최종 텍스트 사이에 유럽은 병원 IT를 마비시킨 랜섬웨어와 수천 명의 하류 고객에게 도달한 SolarWinds 및 Kaseya 공급망 침해를 목격했으며, 2022년 2월 Viasat의 KA-SAT 네트워크에 대한 공격은 독일의 약 5,800개의 Enercon 풍력 터빈의 원격 모니터링을 중단시켰습니다. 마지막 경우는 IT 서비스 제공자에 대한 공격이 다른 부문과 국가에서 물리적, OT 수준의 결과를 초래할 수 있음을 명확히 했습니다.
NIS2는 더 넓은 범위, 조화된 최소 통제, 명시적 공급망 의무, 관리자의 개인 책임 및 공통 사건 시계를 대답합니다. 또한 EU-CyCLONe 및 CSIRTs 네트워크를 통해 협력을 공식화하여 리옹에서의 중요한 사고가 더 이상 순수한 프랑스 문제가 아닙니다.
NIS2 벌금과 관리 책임
제 34조는 국가 법이 최소한으로 달성해야 할 최고치를 설정합니다:
| 기관 유형 | 최대 행정 벌금 | 감독 모델 |
| 필수 | 최소 €10백만 또는 전체 전세계 연간 매출의 2%, 두 가지 중 더 높은 것 | 사전: 감사, 현장 검사, 보안 스캔 |
| 중요 | 최소 €7백만 또는 전체 전세계 연간 매출의 1.4%, 두 가지 중 더 높은 것 | 사후: 증거나 사건에 의해 촉발 |
매출 참조는 지역 자회사가 아니라 전체 기업집단으로, 그룹 수준의 CFO들이 이제 NIS2 브리핑을 읽는 이유입니다.
금전은 노출의 일부에 불과합니다. 필수 기관의 경우, 제 32조는 당국이 인증서 또는 권한을 일시 중지하고, 결함이 수정될 때까지 CEO 또는 법적 대리인을 관리 기능에서 임시적으로 배제할 수 있도록 허용합니다. 당국은 또한 기관이 준수를 공개적으로 공개하도록 명령할 수 있습니다.
실제로, 규제 당국은 증거를 찾습니다. 조직이 사건을 감지한 시점, 검토한 로그, 24시간 및 72시간 결론에 도달한 방법을 보여줄 수 있다면, 사실 후에 타임라인을 재구성하는 것보다 훨씬 강력한 위치에 있습니다. 문서화되고 반복 가능한 로그 분석은 이러한 벌금의 상위 끝값에 대한 가장 저렴한 보험입니다.
NIS2 대 DORA: 어떤 것이 적용되나요?
한 줄로 요약한 NIS2 지령: 총 18개의 중요한 부문에 대한 수평적 사이버 보안 규칙, 국가별로 번역됨. DORA, 디지털 운영 복원력 법 (규정 (EU) 2022/2554)은 그 정확한 반대입니다. 부문 특수적으로, 은행, 보험사, 투자 회사, 결제 기관, 암호 자산 서비스 제공업체 및 그들의 중요한 ICT 제3자 제공업체를 커버하며, 규정이므로 모든 회원국에서 2025년 1월 17일부터 직접 적용되었습니다.
두 법은 NIS2의 제 4조를 통해 연결됩니다. 부문 특정 EU 법이 NIS2와 같은 최소한의 요구 사항을 부과할 때, 해당 법이 우선합니다. DORA는 금융 엔티티를 위한 특별법이므로, 은행은 NIS2 버전이 아닌 DORA의 ICT 위험, 테스트 및 보고 규칙을 따릅니다.
| NIS2 | DORA | |
| 법적 형식 | 지령, 국가 번역 | 규정, 직접 적용 가능 |
| 범위 | 18개 부문, 필수 및 중요 기관 | 금융 기관 및 중요한 ICT 제공자 |
| 첫 번째 보고서 | 24시간 이내의 초기 경고 | 주요 사건으로 분류한 후 4시간 이내, 탐지 후 24시간 이전에 초기 통보 |
| 테스팅 | 효과성 평가 | 상당한 기관에 대한 위협 주도 침투 테스트 (TLPT) |
이 겹침은 공급업체에게 중요합니다. 관리 SOC나 클라우드 제공자는 NIS2 아래에서 중요한 엔티티이면서 동시에 DORA 아래의 계약 ICT 제공자일 수 있으며, 두 가지 로그 증거 요청을 받고 있습니다.
NIS2 대 GDPR: 서비스 연속성과 데이터 보호의 만남
GDPR은 개인의 개인 데이터를 보호합니다. NIS2는 사회가 의존하는 서비스의 지속성을 보호합니다. 차이점은 보고를 유발하는 것에 나타납니다: GDPR에서는 개인에게 위험을 초래할 가능성이 있는 개인 데이터 침해가 데이터를 보호하는 기관에 72시간 이내에 보고되는 것이고, NIS2에 따르면, 서비스 전달에 영향을 미치는 중요한 사건이 CSIRT 또는 관련 당국에 24시간 이내에 보고됩니다. 개인 데이터가 다뤄졌는지 여부는 관계없습니다.
병원에 대한 랜섬웨어 공격은 보통 둘 다 트리거합니다. 제 35조 NIS2는 사건이 개인 데이터 침해를 포함할 수 있을 때 사이버 보안 당국이 데이터 보호 당국에 알리도록 요구하며, 동료의 동일한 행동에 대해 GDPR 벌금이 이미 부과된 경우 이중 벌금을 방지합니다. GDPR의 상한선은 여전히 더 높은 쪽입니다: €20백만 또는 전 세계 매출의 4%.
SOC 팀에게 마찰 지점은 로그 자체입니다. 보안 텔레메트리는 개인 데이터로 가득 차 있습니다: 사용자 이름, IP 주소, 이메일 헤더, 이름이 명시된 직원의 호스트 이름 등. NIS2 마감일을 충족시키기 위해 원시 로그를 외부 분석가, MSSP 또는 AI 서비스로 보내는 것은 데이터 최소화 및 전송에 대한 GDPR 질문을 열 수 있습니다. 로그가 조직을 떠나기 전에 식별자를 Pseudonymize하고 키를 내부에 보유함으로써, 팀은 동시에 두 가지 체제를 만족시킵니다.
NIS2가 영향을 미치는 조직
NIS2는 크기 제한 규칙을 사용합니다: 한 부문에서 운영되는 연간 매출이 €10백만 보다 많고 직원이 50명 이상인 중형 및 대형 조직에 적용됩니다.
- 부록 I, 고중요성 섹터 (11): 에너지, 교통, 은행, 금융시장 인프라, 건강, 음용수, 폐수, 디지털 인프라, B2B ICT 서비스 관리, 공공 행정 및 우주.
- 부록 II, 다른 중요 섹터 (7): 우편 및 택배 서비스, 폐기물 관리, 화학, 식품 생산 및 유통, 제조 (의료 기기, 전자기기, 전기 장비, 기계, 자동차 및 기타 운송 장비), 디지털 제공자 및 연구.
부록 I의 대규모 엔터티로서, 직원이 250명 이상이거나 매출이 €50백만 이상인 경우에는 보통 필수적입니다. 나머지 대부분은 중요합니다. 일부 제공자는 크기와 관계없이 커버되며, DNS 서비스 제공자, TLD 등록 기관, 인증된 신뢰 서비스 제공자 및 공공 전자 통신 네트워크가 포함되며, 회원국은 중요한 서비스를 제공하는 경우 단독 제공자로서의 작은 엔터티를 지정할 수 있습니다.
실질적인 영향을 더 넓습니다. 제 21조는 공급망 보안을 의무화하고 있으므로, 범위 내의 엔티티는 공급업체에 계약상 보안 요구를 미룹니다. 독일 자동차 제조업체를 담당하는 30명의 펌웨어 통합업체나 슈퍼마켓 체인을 담당하는 냉장 유지 보수 계약자는 어떤 규제 기관이 호출하기 훨씬 전에 감사 설문지를 통해 NIS2를 느낄 것입니다.
LogTotal 및 OT Logs: 엔진 대 생태계
LogTotal, SOC Prime이 2026년 10월 15일부터 공용 미리보기에서 일반 출시로 전환한 것은 사건-시간 버전의 로그 문제를 해결하려는 것입니다. 로그 세트를 선택하면 @socprime/logtotal-sanitizer 는 자격 증명, IP 주소, 호스트 이름 및 사용자 이름을 브라우저 내부에서 안정적인 HMAC 토큰으로 대체하고, 암호화된 이벤트만이 업로드됩니다. 최대 1.7백만 개의 이벤트를 일반 하드웨어에서 1분 이내에 처리하며, 분석 후에는 아무것도 저장하지 않으며, 조직은 내부적으로 토큰을 다시 매핑할 수 있는 키를 유지합니다.
엔진 자체는 형식에 구애받지 않습니다. EVTX, CEF, JSON/NDJSON 및 syslog를 자동으로 감지하므로 텍스트로 표현될 수 있는 모든 것이 조사될 수 있습니다: 산업 PC syslogs, SCADA historian 및 HMI 이벤트, 공학 워크스테이션 로그 또는 Modbus 및 BACnet 트래픽이 텍스트 기록으로 디코딩된 경우.
국가 매핑: 10개 시장에서의 NIS2 및 LogTotal 사용 사례
NIS2는 EU 법이지만, 유럽 시장에 서비스를 제공하는 공급업체, 인접국 및 후보 국가에 대한 영향력이 확장됩니다. 아래의 10개 시장 모두에서 공통된 실은 시간 단위로 측정된 보고 시계이며, 이는 빠르고 개인정보를 보호하는 로그 분류가 가변이 아닌 실질적인 필요로 만듭니다. 상태는 2026년 10월을 반영합니다.
| 국가 | 규제 상태 | LogTotal 적용 가능성 |
| 이탈리아 | 2024년 10월 16일부터 시행된 D.Lgs. 138/2024. 2026년 1월 15일부터 적용된 이탈리아 CSIRT에 대한 사고 통보; ACN의 기본 보안 조치는 2026년 10월 31일까지 적용됩니다. | 중형 식품 및 에너지 엔터티는 24/7 SOC를 자주 운영하지 않습니다. LogTotal은 SIEM 통합 프로젝트 없이 24시간 사전 통보를 지원하는 당일 분류를 제공합니다. |
| 프랑스 | Loi Résilience가 여전히 보류 중입니다; Assemblée nationale는 이를 10월 7일 및 9일 본회의에서 제거했습니다. ANSSI의 ReCyF 프레임워크와 MonEspaceNIS2 사전 등록은 이미 활성화되었습니다. | CERT-FR의 경고 CERTFR-2026-ALE-012 이후, 소매업체와 냉장 계약자는 누가 컨트롤러 관리 인터페이스에 접근했고 어디에서 접근했는지를 추적하기 위해 VPN, 점프 호스트 및 방화벽 로그를 상관할 수 있습니다. |
| 독일 | 2025년 12월 6일부터 적용된 BSIG의 NIS2UmsuCG 개정안; BSI 등록은 2026년 3월 6일까지 해야 했습니다. | 자동차 및 기계 공장은 엔지니어링 워크스테이션에서 막대한 EVTX를 생성합니다. 1분 이내에 1.7백만 이벤트를 처리하면 국경 간 공급업체 조사를 진행하는 데 도움이 됩니다. |
| 우크라이나 | 2025년 4월 20일부터 시행된 법률 4336-IX, SSSCIP 감독 하에 NIS2에 따른 국가 프레임워크를 정렬하고 CISOs를 의무화한다. | 전시 자원 제약 하에서 LogTotal은 일반 하드웨어에서 실행되며, 소독제 CLI는 에너지 및 농업 운영자를 위해 에어갭 환경에서 작동합니다. |
| 영국 | 2018년 NIS 규정이 여전히 적용됨; 2026년 6월 10일에 하원을 통과한 사이버 보안 및 복원성 법안이 상원에 있습니다. | 영국 물류 회사와 EU 고객에게 서비스를 제공하는 MSP는 계약 상 NIS2 공급 체인 조항을 접합니다. LogTotal은 크로스 채널 물류 데이터가 변조되지 않았음을 빠른 증거로 제공합니다. |
| 스페인 | 아직 번역법이 없습니다; 왕령 43/2021 (NIS1)이 여전히 적용되고 있으며, 위원회는 2026년 7월 8일 스페인을 CJEU에 회부했습니다. | Sekoia는 스페인이 냉장고 공격을 받은 국가 중 하나라고 보고했습니다. 냉장 체인 운영자는 네트워크 익스포트를 통해 24시간 워크플로우를 현재 연습할 수 있습니다. |
| 네덜란드 | 2026년 8월 15일부터 시행된 Cyberbeveiligingswet, NCSC-NL 및 RDI 감독. | 로테르담 및 암스테르담 터미널 운영자는 항구 측 OT 침입 패턴과 대조하여 게이트 자동화 및 컨테이너 추적 시스템의 syslog를 감사할 수 있습니다. |
| 벨기에 | 2024년 4월 26일자 NIS2 법은 2024년 10월 18일부터 시행됨; CCB가 감독하며, CyberFundamentals가 참조 프레임워크입니다. | HMAC 토큰화는 식별자를 CERT.be 또는 외부 IR 회사에 로그가 제공되기 전에 스트립하고, 조직은 재 식별 키를 보유합니다. |
| 폴란드 | 2026년 4월 3일부터 시행된 KSC 법 개정; 자체 등록은 2026년 10월 3일에 마감되었습니다. | 운송 및 국방 관련 운영자들은 일상적인 스캐닝을 국가 무역 국가 산업기술에서 분리해야 합니다. 랭크된 공격 체인은 ATT & CK에 설정되어 빠르게 이 분류를 수행합니다. |
| 스위스 | EU 내에 있지 않지만, 2025년 4월 1일부터 시작된 국가 안전 협의회에 24시간 이내에 사이버 공격 보고 의무가 있으며, 2025년 10월 1일부터 CHF 100,000까지 벌금이 부과됩니다. | 유럽 네트워크와 동기화된 그리드 운영자는 14일 후속 보고 전송 및 변전소 로그에서 형식에 구애받지 않는 검사를 실행할 수 있습니다. |
