EU에 물건 팔려면 왜 보안 '서류'를 내야 하나
식당 문에 붙은 위생등급표처럼, EU는 보안도 말이 아니라 서류로 봅니다. NIS2가 무엇이고 왜 계약 자리에서 '증빙'이라는 말이 나오는지 풀어봅니다. RMF·NIS2 시리즈 1편.
밥집에 들어가기 전에 문 옆을 한 번 보신 적 있을 겁니다. 위생등급표가 붙어 있죠. 사장님이 “우리 주방 깨끗해요”라고 말하는 것과, 누가 와서 직접 보고 등급을 매겨 붙여둔 종이는 무게가 다릅니다. 말은 믿어달라는 부탁이고, 종이는 확인한 기록입니다.
EU에 물건이나 서비스를 파는 자리에서 벌어지는 일이 딱 이겁니다.
사실 NIS2는 EU의 사이버보안 지침입니다. EU 역내 고객과 그 공급망에 보안 조치를 요구합니다. 제21조는 리스크 관리 조치를 문서로 남기고, 감독기관이 감사할 때 그것을 입증하도록 합니다. 즉 “우리 안전합니다”가 아니라 “이렇게 점검했고 결과는 이렇습니다”를 내놓으라는 겁니다.
사실 무엇을 어떻게 볼지는 EU 이행규정 CIR 2024/2690과 ENISA 기술이행지침(2025.6)에 적혀 있습니다. 위생 점검에 항목표가 따로 있는 것과 같습니다.
말하는 것과 보여주는 것
| 말하는 것 | 보여주는 것 | |
|---|---|---|
| 형태 | “보안 잘 하고 있습니다” | 점검 결과 문서 |
| 근거 | 담당자의 기억 | 스캔 데이터·위험 등급 |
| 통하는 자리 | 영업 미팅 | 계약 검토·감독기관 감사 |
EU 고객이 계약 전에 두꺼운 보안 질문지를 보내는 이유가 여기 있습니다. 그쪽도 감사를 받는 처지라, 자기 공급망을 서류로 설명할 수 있어야 합니다. 우리가 답을 못 주면 그 고객이 곤란해집니다.
사실 SecurityHero RMF는 그 서류의 재료를 데이터로 만듭니다. Prowler로 AWS 자산·IAM·네트워크를 점검하고, EPSS로 실제 악용 가능성을 따진 뒤, NIST SP 800-30과 ISO 27005 방법론으로 위험 등급을 매겨 리포트를 냅니다. 고객 환경에는 아무것도 설치하지 않고 읽기 전용 IAM 역할만 연결합니다.
추정 그래서 실무에서는 순서가 뒤집히는 일이 잦습니다. 법률 검토부터 시작해 한참 헤매다가, 정작 막히는 지점이 “기술 조치를 문서로 못 내놓는다”였다는 걸 뒤늦게 발견합니다. 위생등급표부터 손에 쥐고 있으면 대화가 훨씬 빨라집니다.
짚고 넘어갈 것
- 이 글은 법률 자문이 아닙니다. 우리 회사가 NIS2 적용 대상인지, 어느 조항이 어떻게 걸리는지는 법률 전문가가 판단할 일입니다.
- RMF 리포트는 인증서가 아닙니다. 제출과 검토에 쓰는 근거자료입니다. 인증서 발급, 사고 신고(NIS2 제23조 등), 법적 대리는 포함하지 않습니다.
시리즈 목차
- EU에 물건 팔려면 왜 보안 서류를 내야 하나 ← 지금 글
- 리스크 평가라는 말이 어렵게 들리는 이유
- 고칠 게 3천 개인데 뭐부터 하나
- 아무것도 설치하지 않고 어떻게 점검하나
- “데이터가 국경을 넘지 않습니다”가 무슨 뜻인가
- 서류 하나로 여러 나라를 상대하기