간단 요약: NIS2 (지침 (EU) 2022/2555)는 EU의 중요 부문에 대한 사이버 보안 법률입니다. 보건은 높은 중요도를 가진 부문입니다 (부록 I): 병원 및 기타 의료 서비스 제공업체, EU 참조 실험실, 기초 의약품 제조업체 및 공중 보건 비상 사태 시 중요한 의료 기기 제조업체, 의약품 연구 개발을 수행하는 기관. 보건이 의존하는 디지털 제공업체도 포함됩니다: 클라우드 컴퓨팅, 데이터 센터, 관리형 보안 서비스, 온라인 플랫폼 및 마켓플레이스. 규모 임계값(중소기업: 직원 50명 또는 매출 1천만 유로)을 초과하는 기관은 부문 및 규모에 따라 필수 또는 중요로 분류되며, 10가지 범주의 보안 조치를 구현하고 24시간, 72시간 및 1개월 이내에 중요한 사고를 보고해야 하며, 경영진이 개인적으로 책임을 진다는 점을 받아들여야 합니다. 회원국은 2024년 10월 17일까지 이를 국내법으로 전환해야 했으며, 여러 국가가 늦었고, 귀하에게 적용되는 것은 지침이 아닌 국내법입니다.
적용 대상
NIS2는 병원 및 기타 의료 제공업체, EU 참조 실험실, 공중 보건 비상 사태 시 중요한 의료 기기 및 기본 의약품 제조업체, 의약품 연구 개발 업체, 그리고 의료 서비스가 의존하는 클라우드, 데이터 센터 및 관리 서비스 제공업체를 포함하여 고도의 중요성을 지닌 분야로 보건 분야를 다룹니다. 중간 규모의 업체는 일반적으로 중요하며, 대규모 업체는 필수적입니다.
| 기관 | 부록 | 일반적인 상태 |
|---|---|---|
| 진료를 제공하는 병원, 클리닉, GP 네트워크, 실험실, 약국 (지침 2011/24에 따른 의료 서비스 제공업체) | I, 보건 | 대규모(직원 250명 이상 또는 매출 5천만 유로 이상)인 경우 필수, 중소기업인 경우 중요 |
| EU 참조 실험실 | I, 보건 | 필수 |
| 기초 의약품 및 제제 제조업체 | I, 보건 | 규모에 따라 필수 또는 중요 |
| 공중 보건 비상 사태 시 중요하다고 간주되는 의료 기기 제조업체 (규정 2022/123 목록) | I, 보건 | 규모에 따라 필수 또는 중요 |
| 의약품 연구 개발 수행 기관 | I, 보건 | 규모에 따라 필수 또는 중요 |
| 클라우드 컴퓨팅 서비스 제공업체, 데이터 센터 제공업체, 콘텐츠 전송 네트워크, 관리형 (보안) 서비스 제공업체, DNS, TLD 레지스트리 | I, 디지털 인프라 및 ICT 서비스 관리 | 일부(DNS, TLD, 신뢰 서비스)는 규모에 관계없이 필수; 그렇지 않으면 규모에 따라 결정 |
| 온라인 마켓플레이스, 검색 엔진, 소셜 네트워크 | II, 디지털 제공업체 | 규모에 따라 중요 |
| 기타 의료 기기 및 컴퓨터, 전자 제품, 기계 제조업체 | II, 제조 | 규모에 따라 중요 |
헬스케어 SaaS 공급업체는 의료 서비스 제공업체가 아니지만, 클라우드 컴퓨팅 서비스 제공업체(사업으로 클라우드 서비스를 제공하는 경우)로 적용 대상이 되거나 고객을 통해 적용될 수 있습니다. 제21조(2)(d)항은 필수 및 중요 기관에 공급망 보안을 관리하도록 요구하므로, 병원은 NIS2 수준의 요구 사항을 소프트웨어 공급업체와의 계약에 반영합니다. 일반적으로 소규모 및 마이크로 기업은 회원국이 지정하지 않는 한(예: 중요 서비스의 유일한 제공업체로) 적용 대상에서 제외됩니다.
10가지 조치, 제21조
NIS2 제21조는 적용 대상인 모든 업체가 10가지 영역에서 비례적인 조치를 취하도록 요구합니다. 여기에는 위험 분석 및 보안 정책, 사고 처리, 비즈니스 연속성 및 위기 관리, 공급망 보안, 취약점 처리 포함 보안 인수 및 개발, 효과성 평가, 사이버 위생 및 교육, 암호화 및 암호화, 인사 보안 및 접근 제어, 그리고 보안 통신을 통한 다중 인증이 포함됩니다.
적용 대상인 모든 기관은 다음을 포함하는 적절하고 비례적인 기술적, 운영적, 조직적 조치를 취해야 합니다.
- 위험 분석 및 정보 시스템 보안 정책;
- 사고 처리;
- 업무 연속성 (백업, 재해 복구) 및 위기 관리;
- 직접적인 공급업체와의 관계 보안을 포함한 공급망 보안;
- 취약점 처리 및 공개를 포함한 시스템 인수, 개발 및 유지보수 보안;
- 조치의 효과성을 평가하기 위한 정책;
- 기본 사이버 위생 관행 및 교육;
- 암호화 정책 및 적절한 경우 암호화;
- 인사 보안, 접근 제어 및 자산 관리;
- 다단계 또는 지속적인 인증, 보안 통신 및 보안 비상 통신.
2024년 10월의 시행 규정(2024/2690)은 디지털 인프라 및 ICT 제공업체에 대한 이러한 세부 사항을 명시하고 있으며, 각국 당국은 보건 부문에 대한 자체 목록을 발표합니다. 이 목록은 ISO/IEC 27001 부록 A와 밀접하게 일치합니다. 관련 시스템에 대해 인증된 ISMS를 보유한 조직은 이미 상당 부분 준비된 것입니다. ISO 27001 대 ISO 27799를 참조하십시오.
사고 시계, 제23조
NIS2 제23조에 따라 중대한 사고는 3단계로 국가 CSIRT 또는 관할 당국에 보고해야 합니다. 사고 발생 인지 후 24시간 이내 초기 경고, 초기 평가를 포함한 72시간 이내 사고 통지, 그리고 요청 시 중간 보고와 함께 근본 원인 및 완화 조치를 포함하는 최종 보고서를 1개월 이내에 제출해야 합니다.
중요 사고(운영 중단 또는 재정적 손실을 심각하게 야기하거나 야기할 수 있는 사고, 또는 상당한 피해를 입히는 사고)는 국가 CSIRT 또는 관할 당국에 보고해야 합니다.
- 24시간 이내 초기 경고: 악의적인 행위가 의심되는지 여부와 국경 간 영향이 있는지 여부를 알립니다.
- 72시간 이내 사고 통지: 심각도 및 영향에 대한 초기 평가와 침해 지표를 포함합니다.
- 요청 시 중간 보고서;
- 1개월 이내 최종 보고서: 근본 원인, 완화 조치 및 국경 간 영향을 포함합니다.
개인 데이터가 포함된 경우, 데이터 보호 당국에 대한 GDPR의 72시간 통지는 병행하여 진행됩니다. 병원 랜섬웨어 공격은 두 가지 모두를 트리거합니다. 서비스 수신자는 사고가 자신에게 영향을 미칠 수 있을 때 통지받아야 합니다.
거버넌스, 책임, 벌금
NIS2는 경영진에게 개인적인 책임을 부여합니다. 경영진은 사이버 보안 조치를 승인하고, 이행을 감독하며, 교육을 받아야 하며, 위반 시 책임을 질 수 있습니다. 필수 업체에 대해서는 당국이 관리자를 일시적으로 정지시킬 수 있습니다. 벌금은 필수 업체에 대해 1천만 유로 또는 전 세계 매출의 2%, 중요 업체에 대해 7백만 유로 또는 1.4%에 달합니다.
당국은 감사하고 증거를 요구할 수 있으며, 일부 회원국에서는 업체의 등록 자체가 의무 사항입니다.
전환 현황
NIS2는 2024년 10월 17일까지 각국 법률로 전환되어야 했습니다. 2025년 중반까지 대략 절반의 회원국이 법률을 시행했으며, 위반 절차를 진행 중인 국가에 대해 위반 절차를 개시했고, 독일의 시행법은 2025년 말에 발효되었습니다. 등록 마감일, 관할 당국 및 건강 부문 관련 목록은 지침이 아닌 각국 법률에 의해 설정됩니다.
전환 마감일은 2024년 10월 17일이었습니다. 2025년 중반까지 약 절반의 회원국이 법률을 시행했습니다(벨기에, 크로아티아, 헝가리, 이탈리아, 라트비아, 리투아니아, 루마니아, 슬로바키아가 초기 국가 중 하나). 위원회는 늦은 국가들에 대해 절차를 개시했으며, 독일의 NIS2 이행법은 2025년 말에 발효되었습니다. 등록 마감일, 담당 기관(종종 보건 부문의 국가 사이버 보안 기관, 때로는 보건 부문 규제 기관) 및 부문별 목록을 확인하려면 해당 국가의 법률을 확인하십시오. EU 외부에서는 영국이 사이버 보안 및 복원력 법안으로 이를 따르고 있습니다.
헬스케어 기술 공급업체를 위한 실질적인 조언
헬스케어 기술 공급업체의 경우, NIS2는 주로 병원 계약을 통해 적용됩니다. 적용 대상인 고객은 공급망 보안을 관리해야 하므로, 몇 시간 이내의 사고 통지, 제21조 10가지 조치에 대한 증거, 취약점 공개, 하청업체 목록 및 종료 및 연속성 계획을 요구합니다. 이러한 요소를 문서화한 하나의 정보 보안 관리 시스템을 갖추는 것이 가장 저렴한 방법입니다.
Anpheros는 개발자 사이트(security, reliability)에 보안 관행을 게시하고, NIS2 및 GDPR 규정에 따라 동일한 실행 계획으로 사고 대응을 진행합니다.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처 아래 링크된 텍스트가 권위 있으며, 귀하의 데이터 보호 책임자, 통지 기관 또는 변호사가 귀하의 사례를 결정합니다. 마지막 검토: 2026년 10월.
관련 페이지
출처
- 지침 (EU) 2022/2555 (NIS2), EUR-Lex
- 집행 규정 (EU) 2024/2690 (디지털 제공업체에 대한 NIS2 기술 요구 사항), EUR-Lex
- 유럽 위원회: NIS2 지침 개요
- 규정 (EU) 2022/123 (EMA의 강화된 역할; 중요 의료 기기 목록), EUR-Lex
자주 묻는 질문
제 30명 규모의 보건 소프트웨어 회사가 적용 대상인가요?
일반적으로 직접적으로는 아닙니다. 귀하의 국가 법률에서 귀하를 지정하거나 규모에 관계없이 부록 I에 나열된 서비스를 제공하는 경우가 아니라면 말입니다. 귀하는 여전히 병원 고객의 공급망 의무를 통해 NIS2를 충족하게 될 것이며, 이는 계약으로 이어집니다.
중요한 사고란 무엇인가요?
해당 기관에 심각한 운영 중단 또는 재정적 손실을 야기하거나 야기할 수 있는 사고, 또는 상당한 물질적 또는 비물질적 피해를 입히는 다른 사람이나 조직에 영향을 미치는 사고입니다. 병원에 대한 랜섬웨어 공격은 교과서적인 사례이며, 데이터 영향이 없는 짧은 중단은 일반적으로 그렇지 않습니다.
NIS2는 GDPR 위반 통지를 대체하나요?
아니요. 두 가지는 서로 다른 수신자(CSIRT 또는 사이버 보안 당국 대 데이터 보호 당국), 서로 다른 트리거(서비스 중단 대 개인 데이터 침해) 및 중첩되는 마감일을 가지고 병행하여 진행됩니다.
ISO 27001 인증은 NIS2 준수의 증거인가요?
공식적으로는 아니지만, 여러 회원국과 ENISA는 관련 범위에 대한 인증된 ISMS를 강력한 증거로 간주하며, 일부 국가 제도는 대부분의 조치에 대해 이를 추정치로 받아들입니다. 사고 보고 및 경영진 교육 의무는 여전히 별도로 입증되어야 합니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →