NIS2 지침: CISO 및 컴플라이언스 담당자를 위한 영문 요약

아닙니다. 지침의 구조와 의무 사항을 이해하기 쉽게 하기 위한 비공식 영문 요약본입니다. 법적 구속력 있는 해석은 OJ L 333/80 (2022년 12월 27일) 또는 EUR-Lex (CELEX 32022L2555)의 공식 텍스트를 참조하세요. 회원국의 국내 전환법이 지침 자체보다 더 엄격하거나 다른 범위의 의무를 부과할 수 있습니다.

부속서 I(고중요도) 또는 부속서 II(기타 중요) 섹터에서 운영되며 중소기업 기준(직원 50인 이상 또는 연매출 1,000만 유로 이상, 권고안 2003/361/EC 기준)을 충족하는 기관입니다. TLD 레지스트리, DNS 공급자, 신뢰 서비스 제공자, 중앙 공공 행정 기관 등 일부 기관은 규모와 관계없이 적용 대상입니다. 적용 범위에 대한 자세한 내용은 PDF의 4, 6, 7섹션을 참조하세요.

지침은 2023년 1월 16일에 발효되었습니다. 회원국은 2024년 10월 17일까지 국내법으로 전환해야 했으며, 적용은 2024년 10월 18일(NIS1 폐지일과 동일)부터 시작되었습니다. 기관 목록의 위원회 제출 기한(2025년 4월 17일) 및 정기 검토 일정을 포함한 전체 일정은 섹션 16에 있습니다.

필수 기관의 경우: 1,000만 유로 또는 전 세계 연간 매출의 2% 중 더 높은 금액. 중요 기관의 경우: 700만 유로 또는 전 세계 연간 매출의 1.4% 중 더 높은 금액. 지침은 또한 필수 기관의 고위 경영진에 대한 임시 직무 정지(최후 수단)를 포함한 비금전적 제재도 허용합니다. 제재금 결정 요소는 섹션 15에서 다룹니다.

네, 두 가지 방식으로 적용됩니다. 직접 적용: EU에서 서비스를 제공하는 EU 외 DNS, 클라우드, 데이터센터, CDN, MSP/MSSP, 온라인 마켓플레이스, 검색, 소셜네트워킹 공급자는 EU 대리인을 선임하고 준수해야 합니다. 간접 적용: EU 필수 또는 중요 기관에 제품이나 서비스를 제공하는 EU 외 공급자는 제21조(2)(d)에 따라 EU 고객이 부과하는 공급망 보안 계약 요건을 적용받습니다. 섹션 17에서 두 경우를 다룹니다.

중요 사고를 "인지"한 시점부터 세 가지 기한이 적용됩니다: 24시간 이내 초기 경보, 72시간 이내 전체 사고 신고, 1개월 이내 최종 보고서. 중요 사이버 위협이 예상되는 경우 서비스 수신자에게도 부당한 지연 없이 통지해야 합니다. 전체 보고 매트릭스는 섹션 10에 있습니다.