네덜란드의 NIS2: 사이버보안법상 의무

네덜란드의 NIS2 지침 이행법인 사이버보안법( Cyberbeveiligingswet , Cbw)이 2026년 8월 15일부터 시행되었습니다. 이 법은 기존의 네트워크 및 정보 시스템 보안법( Wet beveiliging netwerk- en informatiesystemen , Wbni)을 대체하며, 에너지, 식수, 디지털 인프라, 의료, 교통, 공공 행정, 제조업, 폐기물 및 우편 서비스를 포함한 18개 부문에서 필수 또는 중요 기관으로 지정된 조직에 적용됩니다. 네덜란드에서는 약 8천 개의 조직이 이 법의 적용을 받는 것으로 추산됩니다.

세 가지 의무가 이를 규정합니다. 첫째는 주의 의무( zorgplicht )입니다. 적용 대상 기관은 네트워크 및 정보 시스템에 대한 위험을 관리하고 사고 발생 시 그 결과를 최소화하기 위해 적절하고 비례적인 기술적, 운영적, 조직적 조치를 취해야 합니다. 둘째는 보고 의무( meldplicht )입니다. 중대한 사고는 법정 기한 내에 관할 컴퓨터 보안 사고 대응팀과 해당 분야 감독기관에 보고해야 합니다. 초기 경고는 24시간 이내, 상세 보고는 72시간 이내, 최종 보고는 한 달 이내에 제출해야 합니다. 셋째는 국가 사이버 보안 센터(NCSC)에 등록 의무( registratieplicht )를 이행해야 합니다.

NIS2가 이전 사이버보안 규정과 구별되는 점은 책임 소재입니다. 관리 기관은 위험 관리 조치를 승인하고 이행을 감독해야 하며, 실패 시 책임을 져야 하고, 교육을 이수해야 합니다. 이러한 관리 의무는 공급망까지 확대되어 공급업체 및 서비스 제공업체와의 계약을 통해 이행되어야 합니다.

이 글에서는 귀하의 조직이 규제 대상에 해당하는지 여부를 판단하는 방법, 실제적인 주의 의무의 내용, 보고 기한, 그리고 우선 준비해야 할 사항들을 설명합니다.

NIS2 개요


주제	네덜란드에서 적용되는 사항
법제정 담당	사이버보안법 (사이버 보안 스웨트), 2026년 8월 15일부터 시행되는 지침(EU) 2022/2555(NIS2)를 시행합니다.
누가 보장되나요?	직원 수가 50명 이상이거나, 직원 수는 50명 미만이지만 연간 매출액과 총자산이 모두 1,000만 유로를 넘는 18개 업종의 조직이 대상입니다. DNS 서비스 제공업체나 정부 기관과 같은 일부 사업자는 규모와 관계없이 대상에 포함됩니다.
핵심 의무	주의 의무, 중대한 사건 보고 의무(24시간, 72시간, 1개월) 및 NCSC 등록.
벌금	필수 사업체의 경우 전 세계 연간 매출액의 2% 또는 10만 유로까지, 중요 사업체의 경우 7만 유로 또는 1.4만 유로 중 더 높은 금액까지 지원됩니다.
책임	관리 기구는 해당 조치를 승인하고, 실행을 감독하며, 교육을 이수하고, 책임을 질 수 있습니다.

귀 기관에 NIS2가 적용됩니까?

NIS2는 조직이 명시된 18개 업종 중 하나에서 운영되고 규모 기준을 충족하거나, 규모와 관계없이 적용 대상 범주에 속하는 경우에 적용됩니다. 사이버보안법은 2026년 8월 15일부터 시행되었으며, 일반적인 전환 기간은 없습니다. 관련 의무는 즉시 적용됩니다.

네덜란드는 유럽 연합의 시한보다 늦게 해당 지침을 시행했습니다. 많은 이전 기사에서는 여전히 "2025년 시한"을 언급하고 있지만, 그 날짜는 더 이상 의미가 없습니다. 중요한 것은 네덜란드의 규정이 시행 중이며 감독 기관이 이를 집행할 수 있다는 점입니다. 고등 교육 기관과 같은 일부 기관에만 준수 기한이 연장되었습니다.

어떤 분야와 조직이 대상입니까?

이 법은 두 개의 부록에 나열된 18개 분야를 포괄합니다. 첫 번째 부록에는 에너지, 운송, 은행, 금융 시장 인프라, 의료, 식수, 폐수, 디지털 인프라, 공공 행정 및 우주와 같은 중요도가 높은 분야가 포함되어 있습니다. 두 번째 부록에는 우편 및 택배 서비스, 폐기물 관리, 화학, 식품, 제조업, 디지털 서비스 제공업체 및 연구와 같은 기타 중요 분야가 포함되어 있습니다.

이러한 분야 내에서는 규모에 따라 적용 대상이 결정됩니다. NCSC에 따르면, 조직이 다음 기준 중 하나 이상을 충족하는 경우 적용 대상이 됩니다.

직원: 정규직 환산 인원 기준으로 50명 이상을 고용하고 있습니다.
매출액 및 재무상태표이 회사는 직원 수가 50명 미만이지만 연간 매출액과 총자산이 모두 10천만 유로를 넘습니다.
그룹파트너사 및 계열사도 이 수치에 포함되므로 대기업의 소규모 자회사도 포함될 수 있습니다.

일부 조직은 규모와 관계없이 적용 대상입니다. 여기에는 DNS 서비스 제공업체, 공공 전자 통신망 또는 서비스 제공업체, 신뢰 서비스 제공업체, 최상위 도메인 등록 기관 및 정부 기관이 포함됩니다.

법률은 적용 범위 내에서 필수 기관과 중요 기관을 구분합니다. 일반적으로 중요도가 높은 분야의 대규모 조직은 필수 기관으로 간주되며, 그 외의 조직은 중요 기관으로 간주됩니다. 이러한 구분은 감독 및 최대 벌금 부과에 중요한 영향을 미칩니다. 네덜란드 디지털 인프라 관리청(RDI)은 regelhulpenvoorbedrijven.nl 웹사이트에서 자체 평가 도구(NIS2-Zelfevaluatie)를 제공하여 귀사의 입장을 파악하는 데 도움을 드립니다. 그룹 구조나 다양한 사업 활동 등으로 인해 판단이 불분명한 경우에는 전문가의 평가를 받고 그 근거를 기록해 두시기 바랍니다.

주의의무란 무엇을 요구하는가?

주의 의무는 네트워크 및 정보 시스템에 대한 위험을 관리하기 위해 적절하고 비례적인 조치를 취할 것을 요구합니다. "비례적"이라는 것은 해당 조치가 회사의 규모, 위험 노출 정도, 그리고 사고 발생 시 사회 및 경제에 미칠 수 있는 잠재적 영향에 부합해야 함을 의미합니다.

이 지침은 NIS2 지침 제21조(2)항에서 최소 기준을 설정합니다. 간단히 말해, 귀하의 조치는 다음 사항을 포함해야 합니다.

위험도 분석위험 분석 및 정보 시스템 보안에 관한 정책
사고 처리사고 감지, 처리 및 복구 절차
연속성비즈니스 연속성, 백업, 복구 및 위기 관리
공급망: 공급업체 및 서비스 제공업체와의 관계에서 보안을 확보하세요
개발 및 유지 관리시스템 획득, 개발 및 유지 관리 시 보안을 확보하고, 취약점을 처리하는 것을 포함합니다.
지원: 조치의 효과성을 평가하기 위한 절차
위생 및 교육: 직원 대상 기본 사이버 위생 및 사이버 보안 교육
암호화 및 접근암호화, 인적 자원 보안, 접근 제어 및 자산 관리(보안 인증 포함)의 활용

법률은 특정 기준을 규정하지 않습니다. 많은 조직들이 기존의 정보 보안 프레임워크를 활용하여 보안 조치를 구성합니다. 감독자가 중요하게 생각하는 것은 해당 조치가 위험 평가에 기반하고 있으며 실제로 효과가 있음을 입증할 수 있는지 여부입니다.

신고 의무와 집행은 어떻게 이루어지나요?

중대한 사고는 세 단계에 걸쳐 보고해야 합니다. 24시간 이내에 조기 경보를 발령하고, 72시간 이내에 사고를 통보하며, 한 달 이내에 최종 보고서를 제출해야 합니다. 보고는 담당 컴퓨터 보안 사고 대응팀(CSIRT)과 소속 부서의 관리자에게 해야 합니다.

24시간 경고는 짧고 모든 내용을 포함할 필요는 없습니다. 주로 어떤 일이 발생하고 있으며 악의적인 의도나 국경을 넘는 영향이 있을 가능성이 있는지를 알리는 데 목적이 있습니다. 72시간 통보는 심각성과 영향에 대한 초기 평가를 제공합니다. 최종 보고서에는 원인, 취해진 조치 및 국경을 넘는 결과가 기술됩니다.

감독은 부문별로 구분됩니다. 귀하의 활동에 따라 감독 기관은 예를 들어 인간환경교통감독청(ILT), 네덜란드 중앙은행(DNB), 네덜란드 금융시장감독청(AFM), 보건청소년감독청(IGJ), 네덜란드 식품소비자안전청(NVWA) 또는 연구개발청(RDI)이 될 수 있습니다. 감독 기관은 행정 벌금 부과를 포함한 집행 권한을 가지고 있습니다.

경영진, 직원 및 회사에 어떤 변화가 있을까요?

가장 중요한 변화는 사이버 보안이 더 이상 IT 부서만의 문제가 아니라는 점입니다. NIS2는 경영진에게 책임을 부여하고 직원과 협력업체를 포함한 조직 전체의 기여를 기대합니다.

이는 모든 직원이 새로운 법적 의무를 지게 된다는 의미는 아닙니다. 의무는 조직에 있습니다. 하지만 조직은 직원들이 자신에게 기대되는 바를 명확히 알고 있을 때에만 이러한 의무를 이행할 수 있으며, 바로 이러한 이유로 교육과 명확한 내부 규정이 조직의 책임의 일부입니다.

NIS2는 직원들에게 어떤 의미가 있습니까?

NIS2는 직원 개인에게 직접적으로 새로운 권리나 의무를 부여하지 않습니다. 의무는 조직에 있습니다. 하지만 실제로 고용주는 이러한 주의 의무를 직원 교육 및 규칙으로 구체화해야 합니다.

기본적인 사이버 위생 수칙과 사이버 보안 교육은 최소한의 조치에 포함됩니다. 즉, 직원들은 다음과 같은 사항을 준수해야 합니다.

Awareness피싱, 비밀번호 및 안전한 업무 환경에 대한 교육에 참여하세요.
내부 보고의심되는 사건이나 취약점을 어떻게, 누구에게 보고해야 하는지 알아두면 24시간 기한을 준수할 수 있습니다.
오시는 길안전한 인증을 사용하고 업무에 필요한 시스템에만 접근 권한을 부여합니다.

이러한 규칙을 회사 정책이나 직원 핸드북에 기록하십시오. 직원의 시스템이나 행동에 대한 새로운 모니터링을 도입하는 경우, 개인정보 보호 규칙과 관련이 있는 경우 노사협의회( ondernemingsraad )의 역할에 대해 확인하십시오.

운영진은 무엇을 해야 할까요?

경영진은 사이버 보안 위험 관리 조치를 승인하고 그 이행을 감독해야 합니다. 경영진 구성원들은 위험 평가 및 대응 방안 마련에 필요한 충분한 지식을 갖추도록 교육을 이수해야 합니다. 조직이 이러한 규정을 준수하지 않을 경우, 경영진은 책임을 져야 합니다.

실제로 이는 이사회가 더 이상 사이버 보안 책임을 단순히 위임할 수 없다는 것을 의미합니다. 이사들은 다음과 같은 조치를 취해야 합니다.

결정하다위험 평가 및 조치를 공식적으로 승인하고 해당 결정을 기록합니다.
감독조치의 진행 상황 및 발생한 사건에 대한 정기적인 보고서를 받습니다.
자료실교육을 이수하고 지식을 최신 상태로 유지하세요.
할당예산, 인력, 그리고 명확한 역할 분담이 충분한지 확인하십시오.

이사가 손해에 대해 개인적인 책임을 질 수 있는지 여부는 네덜란드 회사법의 일반 규칙과 해당 사건의 사실 관계에 따라 결정됩니다. 명확한 의사 결정 과정과 문서화는 이사회가 자신의 역할을 진지하게 수행했음을 보여주는 데 도움이 됩니다.

벌금 및 기타 제재 조치는 무엇인가요?

감독 당국은 필수 기업에 대해 최대 10만 유로 또는 전 세계 연간 매출액의 2%, 중요 기업에 대해서는 최대 7만 유로 또는 1.4% 중 더 높은 금액의 벌금을 부과할 수 있습니다. 이는 최대 금액이며, 실제 벌금액은 위반 행위의 심각성과 관련 상황에 따라 달라집니다.

벌금만이 유일한 위험은 아닙니다. 관리자는 규정 준수를 위해 다른 강제 조치를 취할 수도 있습니다. 심각한 사건은 고객이나 사업 파트너의 소송, 공급업체와의 계약 불이행, 그리고 기업 이미지 손상으로 이어질 수 있습니다. 따라서 철저한 대비는 여러 면에서 당신을 보호해 줍니다.

NIS2 규정을 준수하는 방법은 무엇인가요? (단계별 안내)

먼저 해당 법률이 자신에게 적용되는지 여부와 적용 방식을 파악한 후, 등록하고 운영 체계를 구축하며 위험 평가에 따른 조치를 취하십시오. 법률이 이미 시행 중이므로 기본적인 의무 사항부터 먼저 이행하고 단계적으로 개선해 나가는 것이 합리적입니다.

아래 단계는 실질적인 절차를 제시합니다. 이 단계들은 그 자체로 법적 의무 사항은 아니지만, 의무 사항의 구조를 따르는 것입니다.

1단계: 범위 설정 및 등록

먼저 소속 기관이 연구개발기구(RDI)의 지원 대상에 해당하는지, 그리고 필수적인 기관 또는 중요한 기관인지 확인하십시오. RDI 자가 평가 도구를 사용하여 소속 업종, 규모 및 그룹과의 관계를 확인하십시오.

이 단계에서 기록할 사항:

부문귀하의 활동 중 어떤 활동이 18개 분야 중 하나에 속합니까?
중량귀사의 직원 수, 매출액 및 총자산(파트너사 및 계열사 포함)
분류당신이 필수적인 존재인지, 중요한 존재인지, 그리고 어떤 관리자가 유능한지 여부입니다.
등록NCSC에 등록하고 해당 등록 정보를 최신 상태로 유지하는 것

2단계: 거버넌스 체계 구축 및 위험 평가

다음으로, 책임 소재를 명확히 하고 위험 평가를 실시하십시오. 경영진은 평가 결과와 조치를 승인하므로, 처음부터 경영진을 참여시키는 것이 중요합니다.

실제적인 단계는 다음과 같습니다.

역할사이버 보안 책임자를 임명하고 이사회에 보고하는 사람을 정의하십시오.
목록핵심 프로세스, 시스템, 데이터 및 공급업체를 파악하세요.
위험 평가위협과 취약점을 파악하고 그 영향 가능성을 평가합니다.
트레이닝경영진과 직원들을 위한 교육 계획을 수립합니다.

3단계: 사고 발생 및 보고에 대비하기

마지막으로, 사고 발생 시 이를 감지하고 처리하여 적시에 보고할 수 있도록 해야 합니다. 24시간이라는 시간적 제약은 위기 상황 중에 절차를 마련할 여지를 남기지 않습니다.

다음을 확인하십시오.

사고 대응 계획사건 발생 시 누가 무엇을 하는지 (외부 전문가 포함)
보고 절차사건의 중요도를 판단하는 사람과 CSIRT 및 감독관에게 보고하는 사람은 누구인가?
템플릿조기경보, 통보 및 최종 보고서를 위한 준비된 양식
지원정기적인 테스트와 점검을 통해 백업 및 복구 시스템이 실제로 작동하는지 확인합니다.

사건, 결정 및 보고서를 기록해 두십시오. 이러한 기록은 보고 의무를 이행하는 데 도움이 되며, 상사에게 상황을 어떻게 처리했는지 보여줍니다.

실제로 NIS2를 어떻게 관리하시나요?

NIS2 준수는 일회성 프로젝트가 아닙니다. 위협, 시스템 및 공급업체는 끊임없이 변화하므로 위험 평가 및 대책을 정기적으로 검토해야 합니다. 아래의 실질적인 질문들은 실제 운영에서 준수가 효과적으로 이루어지는지 여부를 판단하는 데 중요한 역할을 합니다.

공급업체 및 계약은 어떻게 처리하시나요?

주의 의무는 공급망 전체에 적용되므로 공급업체 및 서비스 제공업체의 사이버 보안 위험도 관리해야 합니다. 실제로 이는 주로 계약을 통해 이루어집니다.

공급업체 계약서에 포함해야 할 사항은 다음과 같습니다.

보안 요구 사항: 귀사의 위험 평가에 따라 공급업체가 취해야 할 조치
사고 알림공급업체가 사고 발생 사실을 알려야 하는 짧은 기한을 설정하여, 귀사가 자체 보고 기한을 준수할 수 있도록 합니다.
감사 및 정보정보 요청 및 규정 준수 점검을 요청할 권리
하도급하도급업체 사용 및 의무 이전 관련 규칙
책임 및 계약 해지공급업체가 규정을 준수하지 않을 경우 어떻게 되는지, 그리고 거래 관계를 어떻게 종료할 수 있는지에 대한 내용입니다.

가장 중요한 IT 및 서비스 제공업체와의 기존 계약을 먼저 검토하십시오. 새로운 계약에는 처음부터 표준 NIS2 조항을 포함할 수 있습니다.

규정 준수 사항을 어떻게 최신 상태로 유지하시나요?

위험 평가 및 대책에 대한 정기적인 검토 계획을 수립하고, 사고 발생, 시스템의 주요 변경 사항 또는 상사의 새로운 지침이 있을 때마다 이를 업데이트하십시오. 내부 감사, 훈련 또는 기술 테스트 등을 통해 대책의 효과성을 검증하십시오.

실제적인 단계는 다음과 같습니다.

검토주기이사회에서 위험 평가를 검토할 수 있도록 정기적인 시점(예: 1년에 한 번)을 설정하십시오.
교훈모든 사건을 분석하고 필요에 따라 조치를 조정하십시오.
문서정책, 결정 사항 및 테스트 결과를 최신 상태로 유지하여 상사에게 자신이 수행한 업무를 보여줄 수 있도록 하십시오.
모니터링NCSC와 소속 분야 감독관의 지침을 따르십시오.

예산, 직원 및 개인 정보는 어떻게 처리하나요?

규정 준수를 위해서는 인력, 프로세스 및 기술에 대한 투자가 필요합니다. 법률은 투자 금액을 정해놓지 않으므로, 조치는 기업 규모와 위험도에 비례해야 합니다. 위험 평가에 대한 이사회 결정 과정에 예산 편성을 포함시켜 위험과 조치 간의 연관성을 명확히 해야 합니다.

많은 조직은 자체적으로 보유하지 못한 전문 지식이 필요합니다. 외부 지원은 도움이 될 수 있지만, 책임은 여전히 조직과 경영진에게 있습니다.

NIS2는 일반 데이터 보호 규정(GDPR)과 일부 내용이 겹칩니다. 개인 데이터와 관련된 사고가 발생할 경우, 네덜란드 데이터 보호 기관( Autoriteit Persoonsgegevens )에 별도로 신고해야 할 수도 있습니다. 하나의 사고로 인해 두 개의 별개 절차가 비체계적으로 진행되는 것을 방지하기 위해, NIS2 절차와 데이터 유출 대응 절차를 일치시키십시오.

예를 들어 설명하자면, 직원 80명의 중견 물류 회사가 금요일 저녁에 계획 시스템에서 랜섬웨어 공격을 발견했습니다. 이 회사의 사고 대응 계획에는 사고의 심각성을 판단하는 담당자가 지정되어 있습니다. 해당 담당자는 24시간 이내에 조기 경고를 발송하고, 72시간 이내에 알림을 보내며, 고객 데이터가 유출되었을 가능성이 있으므로 데이터 유출 알림이 필요한지 여부도 평가합니다. 최종 보고서는 한 달 이내에 작성됩니다.

자주하는 질문

NIS2란 무엇이고 네덜란드 기업에 어떤 영향을 미칩니까?

NIS2는 사이버 보안에 관한 EU 지침으로, 네덜란드에서는 2026년 8월 15일부터 시행된 사이버 보안법( Cyberbeveiligingswet )에 의해 시행되고 있습니다. 해당 지침의 적용을 받는 조직은 네덜란드 사이버보안청(NCSC)에 등록하고, 적절한 보안 조치를 취하며, 중대한 사고를 정해진 기한 내에 보고해야 합니다.

네덜란드에서 NIS2는 어떤 부문에 영향을 미치나요?

에너지, 운송, 은행, 의료, 식수, 디지털 인프라, 공공 행정, 제조업, 폐기물 및 우편 서비스를 포함한 18개 부문이 이 법의 적용을 받습니다. 해당 부문 내에서 이 법은 일반적으로 직원 수가 50명 이상이거나 매출액과 총자산이 모두 1천만 유로를 초과하는 조직에 적용됩니다.

NIS2를 준수하지 않을 경우 어떤 결과가 초래됩니까?

감독 당국은 필수 기업의 경우 최대 10만 유로 또는 전 세계 연간 매출액의 2%, 중요 기업의 경우 최대 7만 유로 또는 1.4% 중 더 높은 금액의 벌금을 부과할 수 있습니다. 또한 다른 강제 조치를 취할 수 있으며, 경영진은 책임을 져야 합니다.

조직은 NIS2 규정 준수를 위해 어떻게 준비할 수 있을까요?

적용 대상인지 여부를 확인하고, NCSC에 등록하고, 경영진의 승인을 받아 위험 평가 및 대책을 수립하고, 직원과 임원을 교육하고, 사고 발생 시 보고 절차를 마련하십시오. 법이 이미 시행 중이므로 지금 바로 이러한 기본 사항들을 시작하십시오.

결론

네덜란드의 NIS2 시행법인 사이버보안법은 2026년 8월 15일부터 18개 업종에 걸쳐 약 8천 개의 조직에 적용됩니다.
일반적으로 귀사의 직원 수가 50명 이상이거나 매출액과 총자산이 모두 10천만 유로를 초과하는 경우 적용 대상이 됩니다. 일부 제공업체는 규모와 관계없이 적용 대상이 될 수 있습니다.
핵심 의무는 주의 의무, 중대한 사건 보고(24시간, 72시간, 1개월) 및 NCSC 등록입니다.
관리 기구는 조치를 승인하고 감독하며, 교육을 이수하고 책임을 질 수 있습니다. 공급망 보안은 주로 계약을 통해 이루어집니다.
필수 기업의 경우 벌금은 최대 10천만 유로 또는 전 세계 매출액의 2%에 달할 수 있으며, 중요 기업의 경우 7백만 유로 또는 1.4%에 달할 수 있습니다.

현재 상황이 어떤지 잘 모르시겠나요? 상황을 알려주시면 영업일 기준 하루 이내에 가능한 해결책을 안내해 드리겠습니다.

방법 Law & More 이에 대해 저희가 어떻게 도움을 드릴 수 있는지 자세히 설명드리겠습니다. IT 변호사 페이지를 확인하시기 바랍니다.