유럽연합(EU)의 NIS 2, 즉 네트워크 및 정보 보안 지침 2가 목요일부터 회원국에 의해 시행 가능해졌다. 이 법안은 기업들이 내부 사이버 복원력 전략과 관련된 내부 관행을 강화하는 데 더 엄격한 요건을 부과하고 있다. 그러나 실행 초기부터 많은 EU 회원국들이 NIS 2를 자신의 국가 법률에 통합하지 못해 혼란스러운 시작을 나타내고 있다. 이에 따라 기업들은 사이버 공격과 시스템 장애의 위협을 심각하게 여길 수 있도록 내부 문화 전환을 위해 애쓰고 있다.

NIS 2는 EU 내 기업들이 내부 사이버 보안 시스템과 관행에 대해 높은 기준을 설정하도록 하고 있으며, 사이버 공격 시 위험 관리, 투명성 의무 및 비즈니스 연속성 계획과 같은 tougher한 요건을 부과한다. 이 새로운 규정은 회원국에 의해 시행 가능해졌지만, 대부분의 EU 회원국이 NIS 2를 자신의 법률에 통합하지 않아 법 집행이 불규칙할 것으로 보인다. 포르투갈과 불가리아를 포함한 두 나라는 아직 NIS 2의 전환 절차를 시작하지 않았으며, 이들 정부는 현재 CNBC의 문의에 즉각적으로 응답하지 않았다.

NIS 2는 2020년에 처음 제안된 EU 지침으로, 블록 내 IT 시스템과 네트워크의 보안을 강화하는 것을 목표로 하고 있다. 이전의 NIS 지침을 업데이트한 이 법안은 최근의 사이버 공격 및 위협을 다루기 위해 그 범위를 확장하고 있으며, 은행, 에너지 공급업체, 의료 기관, 인터넷 공급업체, 교통 회사 및 폐기물 처리업체와 같이 필수 서비스를 제공하는 조직에 적용된다.

규정에 따르면 기업은 사이버 취약점이나 해킹 사례에 대해 다른 기업과 정보를 보고하고 공유할 의무를 지며, 사이버 공격을 받을 경우 24시간 이내에 당국에 조기 경고 알림을 제출해야 한다. 이는 EU의 다른 데이터 개인 정보 보호법인 일반 데이터 보호 규정(GDPR)에서 요구하는 72시간의 알림 시간보다 더 엄격한 기준이다. 또한 기업들은 기술 공급업체에 대한 사이버 위협과 취약성을 개별적으로 점검해야 한다.

NIS 2의 효과는 회원국 간의 일관된 시행 및 집행 여부에 달려 있다고 전문가들은 강조하고 있다. 법률이 통합되지 않은 국가들은 범죄자들에게 더 큰 표적이 될 수 있으며, 공급망의 취약점을 이용한 공격에 노출될 위험이 있다. 기업들은 이러한 상황을 대비하기 위해 내부 프로세스와 사이버 보안 문화 구성을 수년 동안 진행해왔다. 그러나 지역 법률의 차별화된 적용은 작은 조직들이 혼란을 겪게 만드는 요인 중 하나로 지적되고 있다.

NIS 2를 준수하지 않을 경우, 운송, 금융, 수도와 같은 '필수' 분야의 기업들은 최대 1천만 유로(약 1천09만 달러)의 벌금 또는 글로벌 연간 수익의 2% 중 더 높은 금액을 부과받을 수 있다. '중요한' 비즈니스의 경우, 식품 기업, 화학 기업 및 폐기물 관리 서비스에 대해 최대 700만 유로 또는 글로벌 연간 수익의 1.4%가 부과될 수 있다. 이외에도 법을 준수하지 않을 경우 서비스 중단 및 더 엄격한 감독을 받을 수 있다.

결론적으로, NIS 2는 사이버 보안 위협과 기업들의 대응을 촉구하기 위해 큰 벌금, 서비스 중단, 준수 모니터링 등을 주요 수단으로 활용하고 있다. 이는 위험 관리 및 완화 조치의 기준을 설정하며, 사건 처리, 직원 교육, 경영진 책임 등 다양한 요소를 포함한다.