NIS2 적용 대상은? 부문, 규모, 기관 유형

무엇인가

NIS2(지침 (EU) 2022/2555)는 적용 부문을 두 개의 부속서에 열거합니다. 부속서 I은 중요도가 높은 부문을 다루며 에너지, 운송, 은행, 금융 시장 인프라, 보건, 식수, 하수, 디지털 인프라, ICT 서비스 관리(기업 간), 공공 행정, 우주가 포함됩니다. 부속서 II는 기타 중요 부문을 다루며 우편 및 택배 서비스, 폐기물 관리, 화학물질 제조 및 유통, 식품 생산 및 유통, 특정 제품 제조(의료기기, 컴퓨터 및 전자제품, 전기 장비, 기계, 차량 등), 디지털 제공업체(온라인 마켓플레이스, 검색 엔진, 소셜 네트워킹 플랫폼), 연구가 포함됩니다. 일반적으로 지침은 이러한 부문의 중견 및 대규모 조직에 적용됩니다. EU 중소기업 정의에 따르면, 직원이 50명 이상이거나 연간 매출액과 대차대조표 총액이 모두 1,000만 유로를 초과하면 대체로 중견 이상의 조직입니다. 일부 공공 전자통신 제공업체, 신뢰 서비스 제공업체, DNS 서비스 제공업체, 최상위 도메인 레지스트리처럼 규모와 관계없이 적용되는 기관도 있으며, 회원국이 다른 기관을 지정할 수도 있습니다. 적용 대상 조직은 필수 기관 또는 중요 기관으로 분류됩니다. 대체로 부속서 I 부문의 대규모 조직은 필수 기관이고, 부속서 I의 중견 조직과 부속서 II의 조직은 중요 기관이며, 규모와 무관한 규정과 국가 지정의 영향을 받습니다. 이 분류는 기대되는 기본 조치보다는 감독과 벌칙에 영향을 줍니다.

누구를 위한 것인가?

이 가이드는 다음과 같은 분들께 유용합니다.

• 제조, 물류, 디지털 서비스, 식품, 화학 또는 보건 관련 공급망에 속한 중견기업의 관리자
• 기업 고객을 위해 일하는 관리형 서비스 및 ICT 제공업체
• 보안 설문을 받고 있는 적용 대상 기관의 공급업체
• 여러 EU 회원국에서 사업을 운영하며 일관된 시각이 필요한 그룹

무엇을 명확히 하는 데 도움이 되는지

적용 범위 구조를 검토하면 다음이 명확해집니다.

• 귀사의 활동 중 부속서 I 또는 부속서 II 부문에 해당하는 것이 있는지
• 규모 기준을 충족하는지, 또는 규모와 무관하게 적용되는 범주에 속하는지
• 어느 회원국의 국내법과 당국이 관련되는지
• 의무가 직접적인지, 아니면 고객 계약을 통해 간접적으로 발생하는지

포함된 내용

• 주요 사업 설명뿐 아니라 모든 활동과 서비스 라인을 목록화
• 각 활동을 부속서 I과 부속서 II의 부문 설명과 대조
• EU 중소기업 정의에 따라 그룹 구조와 파트너 기업 또는 연계 기업을 고려해 직원 수, 매출액, 대차대조표를 확인
• 적용 대상 서비스를 제공하거나 사업장을 둔 모든 회원국을 파악
• 관련된 각 국가의 국내 전환법과 당국 지침을 확인
• 결론, 근거, 날짜를 기록하고 사업이 변경되면 재검토
• 적용 대상이 아니라면, 적용 대상인 고객과 그들이 전달하는 보안 요구 사항을 목록화

포함되지 않은 것

• NIS2가 귀사에 적용되는지에 대한 법적 판단
• 특정 국내 전환법의 해석
• 귀사를 대신한 당국 등록
• 인증 또는 컴플라이언스 승인

선택해야 할 때

대규모 프로그램에 투자하기 전 초기에 이 가이드를 사용하고, 새로운 부문이나 국가에 진출하거나, 사업을 인수하거나, 규모 기준을 넘을 때마다 다시 사용하십시오. 어떤 활동이 부문 설명의 경계에 있는 등 답이 명확하지 않다면, 추측하지 말고 법률 자문을 받으십시오. 직접 적용 대상이 아닌 조직도 대비해 두면 도움이 되는 경우가 많습니다. 적용 대상 고객은 공급망 리스크를 관리해야 하기 때문입니다. 이 글은 일반 정보이며 법률 자문이 아닙니다.

우리의 접근 방식

적용 범위를 빠른 예 또는 아니요가 아니라 문서화된 결정으로 다루십시오. 먼저 사실을 수집하십시오. 활동, 규모 데이터, 그룹 구조, 국가입니다. 그런 다음 그 증거를 가지고 법률 자문가에게 질문하십시오. 동시에 NIS2가 기대하는 보안 조치를 살펴보십시오. 이는 널리 인정된 모범 사례를 반영하므로, 적용 범위 질문의 답이 어느 쪽이든 개선하는 것이 유용합니다. 당사의 Security Baseline Review는 합의된 자산에 대한 서면 견해와 심각도별 관찰 사항을 제공하며, 확정된 범위에 포함된 경우 합의된 기준에 대한 대비 상태 갭 관찰 사항도 제공합니다. 이 증거는 고객, 경영진, 자문가와의 대화를 뒷받침할 수 있습니다. 이는 의사결정 지원 자료이며, 법률 자문가와 필요한 경우 인증 기관에 핵심 질문을 가져갈 수 있도록 돕습니다. 공급업체라면 적용 대상 고객에게 어떤 통제를 구체적으로 입증해야 하는지 묻고, 그것을 우선하십시오.

Security Baseline Review

자주 묻는 질문

관련 기사