NIS2 준수: 2026년 감사 전 IAM·접근통제 정비
EU NIS2 준수 위해 2026년 이전 신원·접근통제 증거 확보 압박 심화
- NIS2 지침은 공급망 위험 관리, 사고보고, 이사회 책임을 직접 규제하며 2026년까지 각 회원국 법 집행으로 전환된다. 오스트리아·폴란드 등은 자국 법과 자가등록 마감일을 앞세워 집행을 시작한다.
- NIS2 비준수 시 필수 서비스 기관은 최대 €10,000,000 또는 글로벌 매출 2% 벌금을, 중요 기관은 최대 €7,000,000 또는 1.4%를 부담하며 경영진은 임원직 일시 금지 등 개인 책임까지 진다.
- 조직은 모든 요구사항을 동시에 충족할 수 없어 초기 투자 우선순위가 관건이며, 접근관리와 인증정보 관리가 단기간에 구현·증빙이 가능하고 핵심 공격 경로를 차단하는 실용적 출발점으로 제시된다.
- 2026 Verizon DBIR는 초기 침투에서 취약점 악용이 31%로 탈취 인증정보를 추월했지만, 전체 공격 단계에서는 인증정보 악용이 39%를 차지해 규제기관이 이를 ‘완화 목표 병목지점’으로 인정하는 수치적 근거를 제공한다.
- Article 21은 사람 계정뿐 아니라 서비스 계정·API 키 등 비인간 신원을 모두 포함해 수명주기 관리와 다단계 인증 적용을 요구하며, ENISA와 NIST SP 800-63B는 SMS OTP를 제한된 수단으로 분류해 FIDO2·WebAuthn 등 피싱 저항형 MFA를 사실상 기준으로 삼는다.
- NIS2 Article 32는 당국이 기술·정책·로그로 구성된 증빙 제출을 요구하며, Passwork 같은 중앙 관리 시스템이 없으면 선제 감사에서 통제 부재가 아니라 증거 부재로 탈락하기 쉽고 한국 조직도 인증정보 자산·로그 통합 체계를 서둘러 갖춰야 한다.
한국 정책 담당자는 NIS2 수준의 접근통제·증빙 요구를 선제 벤치마크로 삼아, 서비스 계정과 특권계정 중심의 중앙 신원·로그 관리 체계를 의무화하고 국내 클라우드·IAM 산업 지원과 연계한 인센티브 구조를 설계할 필요가 있다.
주요 용어: NIS2 Directive(EU 네트워크·정보보안 강화 지침), IAM(신원 및 접근 관리), MFA(다단계 인증), FIDO2/WebAuthn(피싱 저항형 웹 인증 표준), Verizon DBIR(Verizon 데이터 침해 조사 보고서)
