ISO 27001과 NIS2: 겹치는 점과 다른 점

NIS2를 준비하는 조직은 ISO/IEC 27001이 이미 이를 다루는지, 아니면 둘 중 하나를 먼저 추진해야 하는지 자주 묻습니다. 둘은 성격이 다릅니다. ISO 27001은 정보보호 관리체계에 관한 자발적 국제 표준입니다. NIS2는 국내법을 통해 시행되는 EU 지침으로, 적용 대상 기관에 법적 의무를 부과합니다. 둘은 상당 부분 겹치지만 어느 것도 다른 것을 대체하지 않습니다. 이 가이드는 둘을 함께 활용하는 방법을 설명합니다. 이 글은 일반 정보이며 법률 자문이 아닙니다.

무엇인가

ISO/IEC 27001:2022는 정보보호 관리체계(ISMS)를 수립, 운영, 개선하기 위한 요구 사항을 규정합니다. 조직의 상황과 범위, 리더십, 리스크 평가와 처리, 지원, 운영, 성과 평가, 개선입니다. 부속서 A는 조직, 인적, 물리적, 기술적 주제로 분류된 93개의 참조 통제를 열거하며, 리스크 평가에 따라 선택합니다. 조직은 인정받은 인증 기관으로부터 ISMS 심사를 받는 것을 선택할 수 있습니다. 반면 NIS2는 적용 대상 기관에 정해진 영역 전반의 리스크 관리 조치를 이행하도록 요구하고, 경영진에게 책임을 지우며, 당국에 대한 엄격한 인시던트 보고, 감독, 벌칙을 추가합니다. 겹치는 부분이 큽니다. 리스크 평가, 정책, 접근 제어, 암호화, 공급업체 보안, 인시던트 관리, 연속성, 교육이 양쪽에 모두 나타납니다. 차이도 중요합니다. NIS2는 법적 보고 기한, 명시적인 경영진 책임과 교육, 국가 감독을 규정합니다. ISO 27001은 범위를 스스로 정할 수 있게 하지만, 그 범위가 NIS2가 중시하는 서비스와 일치하지 않을 수 있습니다.

누구를 위한 것인가?

이 비교는 다음과 같은 분들께 유용합니다.

기존 ISO 27001 프로그램을 보유하고 NIS2 갭을 평가하는 조직
NIS2 적용 대상으로서 ISMS를 프레임워크로 구축할지 결정하는 조직
고객으로부터 ISO 27001 부합 또는 NIS2 관련 확인을 요청받는 공급업체
프레임워크 간 예산을 배분하는 경영진

무엇을 명확히 하는 데 도움이 되는지

둘을 나란히 비교하면 다음이 명확해집니다.

어떤 기존 통제와 기록을 NIS2 증거로 재사용할 수 있는지
ISMS 범위가 NIS2에서 관련된 서비스와 시스템을 포함하는지
보고 일정 등 어떤 NIS2 의무에 추가 절차가 필요한지
공식 ISO 인증이 사업상 요구 사항인지, 아니면 단지 유용한 프레임워크인지

포함된 내용

ISMS 범위를 NIS2에서 관련될 서비스 및 시스템과 비교
구현한 부속서 A 통제를 NIS2 제21조 조치 영역에 매핑
24시간, 72시간, 1개월 보고 단계를 위한 인시던트 절차 추가
경영진의 승인, 감독, 교육을 명시적으로 문서화
공급업체 평가를 핵심 서비스 뒤의 ICT 공급업체까지 확대
국내 전환법에 추가 요구 사항이나 참조된 제도가 있는지 확인
내부 감사와 경영 검토를 활용해 조치가 지속적으로 효과적임을 입증
정책뿐 아니라 기술적 통제의 증거도 보관

포함되지 않은 것

ISO 27001 인증 또는 인증 기관의 심사
ISO 27001 인증이 NIS2 의무를 충족한다는 진술
국내 NIS2 법률에 대한 법적 해석
공식 자격이나 인정

선택해야 할 때

향후 1~2년의 보안 프로그램을 계획할 때 이 비교를 활용하십시오. 고객이 ISO 27001 인증서를 요구한다면, 인정받은 인증 기관의 심사를 별도 단계로 계획하십시오. NIS2 적용 대상이라면 ISMS 구조로 조치를 정리하되 지침 고유의 요소를 추가하십시오. 둘 다 없다면 정책부터 작성하기보다 합의된 기준에 대한 체계적인 갭 검토로 시작하는 것이 더 유용한 경우가 많습니다. 이 글은 일반 정보이며 법률 자문이 아닙니다.

우리의 접근 방식

ISO 27001을 관리 구조로, NIS2를 그 구조가 충족해야 할 법적 요구 사항의 집합으로 다루십시오. 양쪽에 매핑된 단일 통제 세트로 시작해 각 통제에 한 명의 담당자와 한 세트의 증거가 대응하도록 하십시오. 특히 범위에 주의하십시오. 본사 기능만 다루는 ISMS로는 핵심 서비스 뒤의 시스템에 대해 많은 것을 입증할 수 없습니다. 당사의 Security Baseline Review는 기술적 측면을 지원할 수 있습니다. 합의된 자산에 대한 심각도별 서면 견해와, 확정된 범위에 포함된 경우 합의된 기준에 대한 대비 상태 갭 관찰 사항입니다. 이는 대비와 의사결정 지원이며, 인정받은 인증 기관, 감사인, 법률 자문가와의 작업을 준비하도록 돕습니다. 인증이 목표라면 심사는 인정받은 인증 기관을 선택하고, 대비 작업과는 분리하십시오.

Security Baseline Review

Security Baseline Review 서비스 페이지 보기