네덜란드 사이버보안법(NIS2)

네덜란드 사이버보안법(Cyberbeveiligingswet)은 유럽 NIS2 지침을 시행하는 법률입니다. 이 법은 지정된 18개 분야에서 필수적이거나 중요한 서비스를 제공하는 조직에게 적절한 위험 관리 조치를 취하고, 중대한 사건을 보고하며, 정부에 등록할 것을 요구합니다.

법적 근거

이 법은 지침(EU) 2022/2555를 시행하는 것으로, 중요 시설 복원력 강화법과 함께 2026년 8월 15일에 발효되었습니다. 에너지, 식수, 디지털 인프라, 의료, 교통 및 공공 행정을 포함한 여러 분야의 약 8천 개 조직에 영향을 미칩니다. 이 지침은 단계별 보고 의무를 부과합니다. 인지 후 24시간 이내에 조기 경고를 제출하고, 72시간 이내에 상세한 사고 보고를 하며, 1개월 이내에 최종 보고서를 제출해야 합니다. 이전 제도와 달리 개별 조직을 지정하는 것이 아니라, 해당 업종과 기업 규모를 종합적으로 고려하여 적용 대상이 됩니다. 이사회 구성원은 직접 조치를 승인하고 관련 교육을 이수해야 합니다.

실제로 작동하는 방법

첫 번째 단계는 자체 평가입니다. 조직이 해당 업종 중 하나에 속하는지, 그렇다면 필수적인 업종인지 또는 중요한 업종인지 판단해야 합니다. 이러한 구분은 주로 감독 대상을 결정하는 기준이 되는데, 필수적인 업종의 경우 특별한 사유 없이도 감독이 이루어질 수 있습니다. 그 다음으로는 위험 분석, 사고 처리, 사업 연속성, 공급망 관리, 접근 제어 및 암호화와 같은 주의 의무가 적용됩니다. 공급망 관리 의무는 해당 법률의 적용을 받지 않는 공급업체에게도 적용되는데, 이는 계약을 통해 관련 요건이 전달되기 때문입니다.

무엇이 잘못되는가

많은 조직들이 자신들이 중요 기반 시설이 아니라는 이유로 보고 의무 적용 범위에서 제외된다고 너무 쉽게 생각합니다. 하지만 해당 분야 목록은 광범위하며 폐기물 관리, 우편 서비스, 식품 및 디지털 서비스 제공업체 등을 포함합니다. 두 번째 오류는 보고 의무를 IT 문제로 취급하는 것인데, 24시간 기한을 준수하려면 이사회 차원에서 사전에 합의된 의사 결정 절차가 필수적입니다. 세 번째로, 기존 계약에서 공급업체에 대한 비용 전가 문제는 일반적으로 다뤄지지 않습니다.