NIS2 지침 2026년 파일 전송 서비스에 미치는 영향

NIS2 지침(EU 2022/2555)은 2024년 10월 17일까지 회원국 국내법으로 전환되어 2026년 현재 활발히 집행되고 있다. 이 지침은 파일 전송 서비스가 필수 또는 중요 기관에 서비스를 제공할 때 '디지털 인프라' 및 '디지털 공급자' 범주에 포함시킨다. 파일 전송 벤더에게는 Article 21에 따른 문서화된 사이버 보안 위험 관리, 공급망 보안 검토, Article 23에 따른 중대 사고 24시간 이내 조기 경보, 경영진 책임이 요구되며, 최대 1,000만 유로 또는 전 세계 매출액 2%의 과징금이 부과될 수 있다.

NIS2가 실제로 적용되는 대상

NIS2는 기존 NIS 범위를 크게 확대했다. 필수 기관에는 에너지, 운송, 은행, 의료, 상수도, 디지털 인프라(DNS, TLD 레지스트리, 클라우드 공급자, 데이터 센터, 콘텐츠 전달 네트워크)가 포함된다. 중요 기관에는 우편 서비스, 폐기물 관리, 화학, 식품, 제조, 검색 엔진, 온라인 마켓플레이스, 소셜 네트워크 같은 디지털 공급자가 추가된다. 파일 전송 서비스 자체는 종종 Annex II의 '관리 서비스 공급자(MSP)' 또는 '관리 보안 서비스 공급자(MSSP)' 정의에 해당해 중요 기관이 된다.

Article 21 위험 관리 조치

Article 21(2)의 10가지 조치는 기본 보안 통제 세트다. 파일 전송 벤더는 위험 분석 및 정보 시스템 보안 정책, 사고 처리, 비즈니스 연속성 및 위기 관리, 공급망 보안, 네트워크 및 정보 시스템 획득·개발 보안, 효과성 평가 정책, 기본 사이버 위생 및 교육, 암호화 및 AES-256-GCM 적용, HR 보안 및 접근 통제, 다중 인증을 구현해야 한다. 전송 서비스에서의 구체적 산출물은 문서화된 ISMS, TLS 1.3 전송, 관리자 접근에 MFA, 연간 침투 테스트, 개발자 및 지원 직원 교육 프로그램이다.

사고 보고 일정

Article 23은 디지털 서비스에 규제 기관이 부과한 가장 촉박한 시간표를 설정한다. 중대 사고의 경우 24시간 이내 조기 경보, 72시간 이내 전체 사고 통보, 1개월 이내 최종 보고서를 제출해야 한다. 고객 파일을 노출하는 파일 전송 침해는 많은 사용자에게 영향을 미치거나 서비스를 중단시키는 경우 중대 사고에 해당한다. 벤더의 사고 대응 런북에는 명명된 역할, 24/7 에스컬레이션 체계, 국가 CSIRT용 사전 작성 템플릿이 포함되어야 한다.

공급망 의무는 양방향

NIS2 Article 21(2)(d)는 공급망 보안을 명시적으로 규정한다. 필수 및 중요 기관은 직접 공급업체의 사이버 보안을 평가해야 한다. 파일 전송 벤더를 사용하는 병원은 해당 벤더의 보안 관행을 평가하고, 보안 통제 및 사고 고지에 대한 계약 의무를 확보하며, 규정 준수를 모니터링해야 한다. 동시에 벤더는 자체 공급업체인 AWS, OVHcloud, Scaleway, Hetzner 같은 클라우드 호스트와 CDN, 관찰 플랫폼, 아이덴티티 공급자를 평가한다.

경영진 책임

Article 20은 고위 경영진에게 개인적 책임을 부여한다. 적용 대상 기관의 이사와 임원은 사이버 보안 위험 관리 조치를 승인하고, 이행을 감독하며, 정기 교육을 이수해야 한다. 독일(NIS2UmsuCG)과 프랑스(LOI PROPRE 전환)에서는 심각한 과실에 대해 개인 제재와 이사 결격이 가능하다. 주요 인프라 고객을 대상으로 하는 클라우드 및 SaaS 벤더 이사회는 이제 사이버 보안을 정기 안건으로 포함하며, 종종 CISO가 감사 위원회를 통해 직접 보고한다.

인증과 보증

NIS2는 사이버 보안법(EU 2019/881)에 따른 유럽 사이버 보안 인증 체계 사용을 장려한다. ICT 제품을 위한 EUCC 체계와 클라우드 서비스를 위한 EUCS 체계는 '기본', '실질적', '높음' 세 가지 수준의 보증 마크를 제공한다. 규제 구매자를 대상으로 하는 파일 전송 서비스는 SOC 2 Type II, ISO 27001, 개인정보를 위한 ISO 27701, 프랑스의 SecNumCloud나 독일의 C5 같은 국가 인증을 추진하고 있다. 실질적 효과는 ISO 27001 이상이 없는 벤더가 EU 전역 규제 구매자의 조달 후보 목록에서 제외되고 있다는 것이다.

관할권과 국경 간 조율

아일랜드에 본사를 둔 파일 전송 서비스가 EU 전역 고객에게 서비스를 제공하는 경우, 디지털 공급자를 위한 NIS2 '주요 사업장' 규칙에 따라 아일랜드에 주 감독 기관이 생긴다. 그러나 중대한 영향이 발생한 국가의 기관에도 사고 통보가 필요할 수 있다. 협력 그룹과 CSIRT 네트워크가 국경 간 사고를 조율한다. 벤더는 국가 CSIRT와 사전에 관계를 구축해야 한다. 첫 사고 보고 시에 연락 채널을 파악하는 것은 늦다.

전송 벤더와 구매자를 위한 실용적 조치

2026년 벤더의 필수 사항은 다음과 같다. 이사회 검토를 거친 문서화된 Article 21 격차 평가, 24/7 로테이션을 포함한 지정 사고 대응 책임자, 보안 조항이 포함된 검증된 공급업체 목록, NIS2 준비 상태를 참조하는 공개 신뢰 및 규정 준수 페이지, 지난 12개월 이내 자격을 갖춘 공급업체의 침투 테스트 보고서. 구매자는 벤더에게 요청해야 한다. NIS2 자가 평가, 국가 CSIRT 연락처, 하위 처리자 목록, 침해 고지 SLA, 제품의 암호화 사양.

HexaTransfer는 클라이언트 측에서 AES-256-GCM으로 파일을 암호화하고, EU 인프라에서 호스팅하며, 사고 대응 정책을 공개한다. hexatransfer.com에서 무료로 사용해 보세요. 계정 불필요, 최대 10GB.

NIS2는 새로운 보안 관행을 만들지 않았다. 이를 의무화하고, 이사 책임을 추가하며, 일정을 단축했다. 이미 체계적인 보안 프로그램을 운영하던 파일 전송 서비스는 주로 하고 있던 일을 문서화하면 됐다. 그렇지 않았던 곳은 2년간의 긴급 엔지니어링이 필요했다. 2026년 구매자에게 있어 질문은 벤더가 NIS2를 인식하고 있느냐가 아니라, 규제 기관이 물어볼 때 이를 서면으로 증명할 수 있느냐다.