NIS 2·REC·DORA, 프랑스 사이버 규제 유예 끝난다

프랑스에서 EU의 NIS 2·REC 지침 국내법 전환과 DORA 규정 이행을 둘러싼 유예 기간이 끝나가고 있습니다. 약 2년 동안 이 사안은 기술적인 문서 정도로 취급됐습니다. 법안은 발표됐다가 연기됐고, EU의 기한도 조금씩 밀렸습니다.

하원 특별위원회 청문회에 출석한 디지털 담당 장관 Anne Le Hénanff는 위협이 입법을 기다려 주지 않는다고 짚었습니다. 최근 몇 달 사이 ANTS와 DGFIP 등 여러 핵심 행정기관이 공격을 받았습니다. 위험은 이제 중요 기반시설 운영자에 그치지 않고, 디지털에 의존하는 모든 조직에 해당합니다. 작은 시골 지자체부터 국제 그룹까지 예외가 없습니다.

"법이 없다"는 변명은 통하지 않는다

많은 조직이 확정된 법이 없다는 이유로 예산 편성과 규정 준수 프로그램을 미뤄 왔습니다. 그러나 NIS 2, REC, DORA의 지침은 수년 전부터 알려져 있고, EU 법문은 공표됐으며 주요 의무도 정리돼 있습니다. 프랑스 사이버보안청 ANSSI도 준비에 필요한 기준 문서 상당수를 제공하고 있습니다. 부족했던 것은 규정에 대한 가시성이 아니라 어려운 결정을 내릴 의지였습니다.

사이버 보안은 경영의 문제

이들 규정의 핵심 메시지는 사이버 보안이 IT 부서만의 일이 아니라 거버넌스 문제라는 점입니다. 재무, 규정 준수, 인사와 함께 경영진이 직접 책임지는 영역이 됩니다.

요구 수준도 달라집니다. 예전에는 백신 프로그램, 비밀번호 정책, 몇 차례의 감사를 보여 주면 충분했습니다. 앞으로는 위험을 파악하고 관리하며, 사고를 탐지해 신고하고, 위기 뒤 신속히 업무를 복구할 수 있음을 실제로 입증해야 합니다. 핵심어는 복원력이며, 시간과 방법론, 문서화, 정기 훈련이 필요합니다.

지자체가 최전선

의회 논의에서는 인력과 예산이 부족한 지자체의 우려가 많이 나왔습니다. 하지만 지자체는 민감한 데이터를 보유하고 필수 서비스를 운영해 공격 표적이 되기 쉽습니다. EU가 적용 대상을 크게 넓힌 이유입니다. 위험 매핑, 감사, 증빙, 사고 신고 등 업무량이 방대해 수작업 관리는 곧 한계에 이릅니다. 행정기관에는 2022-513호 데크레에 따른 보안 인증 요건도 적용됩니다.