스페인의 NIS2 지침 구현: 상황, 의무 및 과제

인포마텍 디지털 » 자료 » 스페인의 NIS2 지침 이행: 현황, 의무 및 과제

유럽 ​​NIS2 지침은 유럽, 특히 스페인의 사이버 보안 환경을 완전히 바꿔놓았습니다 . 이는 단순한 규정의 추가가 아니라, 기업과 공공기관이 디지털 위험을 관리하고, 사고를 보고하며, 당국과 협력하는 방식을 근본적으로 변화시키는 계기가 되었습니다.

한편, 스페인은 해당 지침의 국내법 제정에 있어 꾸준히 진전을 보이고 있지만, 그 속도는 분명히 지연되고 있습니다 . 공식 마감일은 2024년 10월이었지만, 현재까지도 차기 사이버보안 조정 및 거버넌스 법안은 의회 심의 절차를 거치고 있습니다. 이러한 상황은 다소 특이한 양상을 낳고 있습니다. 지침 자체는 이미 유럽 차원에서 구속력을 갖지만, 확정적인 국내 법적 틀은 아직 승인되지 않아 많은 조직들이 대비 및 상황 평가를 해야 하는 도덕적·전략적 의무 와 완전히 적용 가능한 법률의 부재 사이에서 난처한 입장에 놓여 있습니다.

NIS2 지침이란 무엇이고, 왜 게임의 규칙을 바꾸나요?

NIS2로 알려진 EU 지침 2022/2555는 기존 NIS 지침을 대체하여 유럽 연합 전역의 네트워크 및 정보 시스템에 대한 높은 수준의 공통 사이버 보안을 확립하는 것을 목표로 합니다. 이 지침의 목적은 필수 서비스와 사회 및 경제의 정상적인 기능에 영향을 미칠 수 있는 사이버 사고에 대한 복원력을 강화하는 것입니다.

이전 버전과 달리 NIS2는 영향을 받는 부문과 주체의 수를 크게 확대하여 기존의 핵심 기반 시설(에너지, 교통, 물, 금융 또는 의료)뿐만 아니라 공공 행정, 디지털 기반 시설, 우편 및 택배 서비스, 폐기물 관리, 첨단 제조 또는 식품 생산 및 유통과 같은 분야까지 포함합니다.

본 지침은 위험 관리, 거버넌스, 공급망 보호, 사업 연속성 및 조기 사고 보고 조치를 포함하여 EU 전체에 적용되는 최소 사이버 보안 요구 사항에 대한 조화로운 프레임워크를 구축합니다 . 또한, 모니터링 및 제재 체제를 강화하고 고위 경영진의 책임을 명시적으로 높입니다.

또 다른 중요한 진전은 회원국 간 협력 에 대한 확고한 의지 와 심각한 위기 상황 발생 시 유럽 차원에서 조율할 수 있는 국가별 컴퓨터 보안 사고 대응팀 (CSIRT) 의 창설 또는 강화입니다 . 유럽연합 사이버보안청(ENISA)은 이러한 생태계에서 핵심적인 역할을 수행하며, 국가 사이버보안 전략 개발을 지원하고 모범 사례를 홍보합니다.

금융 부문은 DORA 규정이 특별법으로 우선 적용되기 때문에 NIS2의 적용 범위에서 사실상 제외됩니다. 그럼에도 불구하고 DORA의 핵심 원칙인 디지털 운영 복원력은 NIS2의 기본 철학과 완전히 일치합니다.

스페인의 NIS2 전환 현황

NIS2 지침은 2023년 1월 16일에 발효되었으며 , 국내법 도입 시한은 2024년 10월 17일로 정해졌습니다. 그러나 그 시한으로부터 1년이 지난 후에도 스페인은 해당 지침을 국내법에 공식적으로 통합하지 못하여, 도입이 지연되는 국가 대열에 합류하게 되었습니다.

이러한 지연으로 인해 유럽 위원회는 여러 회원국을 상대로 위반 소송 절차를 개시했습니다. 2025년 5월 7일, 위원회는 스페인을 포함한 19개국에 서면 의견서를 보내 2개월 이내에 지침의 완전한 이행을 통보할 것을 ​​요구했으며, 필요한 조치가 취해지지 않을 경우 유럽 사법 재판소에 제소할 수 있다고 경고했습니다.

스페인의 경우, 주요 전환점은 2025년 1월 14일 각료회의에서 사이버보안 조정 및 거버넌스에 관한 법안이 승인된 시점 이었습니다 . 이 법은 NIS2를 국내법으로 전환하고 국가 사이버보안 거버넌스 모델을 재편하는 데 핵심적인 역할을 할 것입니다.

최초 승인 후, 해당 법안 초안은 2025년 1월 16일부터 2월 10일까지 공개 의견 수렴 및 검토를 위해 공개되었으며 , 시민, 기업, 협회 및 기타 단체들이 개선을 위한 의견과 제안을 제출할 수 있도록 했습니다. 이후, 부처 간 기술 실무 그룹에서 초안을 검토하여 ISMS 포럼과 같은 전문가 집단의 의견을 포함한 접수된 피드백을 반영하여 최종 수정안을 마련했습니다.

그럼에도 불구하고, 정치적 추진력에도 불구하고 해당 법안은 여전히 ​​의회 심의 단계에 머물러 있습니다 . 11월경 각료회의에 법안으로 제출되어 승인을 받을 것이라는 이야기가 나오고 있으며, 다음 해 1월 말이나 2월 초에 의회에서 통과될 가능성이 있다는 이야기도 있지만, 현실은 2025년 말까지 스페인은 NIS2를 국내법으로 완전히 이행하는 법안을 마련하지 못할 것이라는 점입니다.

사이버 보안 조정 및 거버넌스에 관한 법률 초안

스페인 정부가 승인한 이 법안 초안은 내무부, 국방부, 디지털 전환 및 공공행정부의 공동 발의안입니다 . 이 법안의 목적은 두 가지입니다. 첫째, NIS2 지침을 국내법으로 전환하는 것이고, 둘째, 국가 차원에서 사이버 보안의 조정 및 관리를 체계화하여 중요 기반 시설과 필수 서비스에 영향을 미칠 수 있는 사이버 위협으로부터 네트워크와 정보 시스템을 보호하는 것을 강화하는 것입니다.

향후 제정될 법률은 에너지, 교통, 은행 및 금융 시장 인프라, 의료, 수자원 관리, 디지털 인프라, 기술 서비스 및 기타 중요 분야에서 운영되는 공공 및 민간 기관 에 적용될 것입니다. 특히, 디지털 생태계의 안정에 있어 전략적 역할을 수행하는 도메인 등록 기관 (예: Red.es가 관리하는 Dominios.es) 도 명시적으로 포함되며 , 이들은 새로운 사이버 보안 의무를 준수해야 합니다.

전반적으로 이 초안은 NIS2 지침의 주요 의무 사항과 일치하며 , 거버넌스 및 고위 경영진의 책임 강화, 일반적인 보안 위험 관리 조치, 정보 보안 책임자 지정, 명확한 사고 보고 의무라는 네 가지 핵심 축을 명시하고 있습니다.

또한 스페인 법은 중요한 조직적 요소인 국가 사이버보안센터(CNC) 설립을 도입했습니다 . 이 기관은 네트워크 및 정보 시스템 보호를 위한 조정 기구 역할을 하며, 다양한 규제 기관(내무부, 국방부, 디지털 전환부) 간의 기준을 조화시키고, 컴퓨터 보안 사고 대응팀(CSIRT)을 육성하며, 국가 사이버보안 생태계에 대한 보다 통합적인 비전을 제시할 것입니다.

공개 의견 수렴 단계에서 ISMS 포럼과 같은 단체들은 정보 보안 책임자의 역할을 강화하고, 이 직책을 민간 보안법과 분리하며, 본질적으로 재정적 처벌이 불가능한 공공기관이 법규를 준수하지 않을 경우 구체적인 대응 메커니즘을 마련하는 등 중요한 기여를 했습니다. 또한, 개인정보 보호 및 디지털 권리 보장에 관한 유기법(LOPDGDD)의 규정에 따라 공개 경고를 도입하는 방안도 제안되었습니다.

NIS2의 영향을 받는 부문 및 엔터티 유형

NIS2는 지침의 적용을 받는 조직을 필수 또는 중요 기관으로 분류하는데 , 주로 운영 분야와 규모(중대형 기업, 중요도에 따라 예외 적용)를 기준으로 합니다. 이 기준은 일반적으로 EU 내에서 운영되는 공공 또는 민간 기관에 적용되며, 회원국이 관련성을 이유로 소규모 조직을 필수 또는 중요 기관으로 지정하는 경우 해당 조직도 포함될 수 있습니다.

NIS2의 부록 I 에는 중요도가 높은 분야들이 , 부록 II 에는 그 외 중요 분야들이 나열되어 있습니다 . 스페인의 경우, 기존 NIS를 국가별 중요 기반시설 보호에 관한 법률(2011년 8호)에 맞춰 개정했기 때문에 분야 수 증가폭이 다른 국가들에 비해 다소 작습니다. 그럼에도 불구하고, NIS2는 우편 및 택배 서비스, 폐기물 관리, 여러 제조업 분야와 같은 새로운 분야를 포함하고 있으며 , 식수와 폐수를 구분하는 등 기존 분야들을 세분화했습니다.

다양한 분야 및 기관 사례 중에서 다음과 같은 것들이 두드러집니다.

• 에너지전기 공급 회사, 운송 및 배전 네트워크 관리자, 생산자, NEMO 운영자, 전기 시장 참여자, 충전소 운영자, 가스, 석유 및 수소 네트워크 운영자 및 관리자.
• 운송: 항공사, 공항 운영자, 항공 교통 관제, 철도 인프라 관리자, 철도 회사, 해상 및 하천 운송 기관, 항만 운영자, 선박 교통 서비스, 도로 당국 및 지능형 교통 시스템 운영자.
• 은행 및 금융 시장 인프라: 신용 기관과 거래 센터 관리자, 중앙 상대방, DORA가 특정 부문 표준으로 작용한다는 점이 다릅니다.
• 헬스케어 부문: 의료 서비스 제공자, EU 표준 실험실, 의약품 연구개발 기관, 기본 및 특수 의약품 제조업체, 공중 보건 비상사태 시 필수 의료 기기 제조업체.
• 음용수 및 폐수음용수 공급업체와 유통업체, 그리고 도시, 가정 또는 산업 폐수의 수집, 폐기 및 처리를 담당하는 회사입니다.
• 디지털 인프라인터넷 교환 지점(IXP) 제공자, DNS 서비스, 최상위 도메인 레지스트리, 클라우드 컴퓨팅 서비스 제공자, 데이터 센터, 콘텐츠 전송 네트워크(CDN), 신뢰할 수 있는 서비스 제공자, 공공 전자 통신 네트워크 제공자, 공공 전자 통신 서비스.
• 기업 간 ICT 서비스 관리: 전체 기술 공급망에 직접적인 영향을 미치는 관리 서비스 제공업체와 관리 보안 서비스 제공업체입니다.
• 공공행정: 국가 행정부의 기관, 그리고 특정한 경우에는 지역 및 지방 기관이 서비스 중단으로 인해 중요한 사회 또는 경제 활동에 심각한 영향을 받을 수 있는 경우.
• 우편 및 택배 서비스: 우편물 수집, 분류, 운송 및 배포를 수행하는 공급업체입니다.
• 잔류물: 매립을 포함한 폐기물의 수집, 운송, 회수 및 처리를 전문으로 하는 회사입니다.
• 화학: 화학물질 및 혼합물을 제조, 생산, 유통하고 이를 이용하여 제품을 생산하는 회사입니다.
• 식품의 생산, 가공 및 유통: 도매 유통과 대규모 산업 생산 및 가공에 전념하는 식품 회사입니다.
• 첨단 제조: 건강 제품 및 체외 진단 제품 제조업체, 컴퓨터, 전자 및 광학 제품, 전기 장비, 기계 및 장비, 자동차 및 기타 운송 장비 제조업체.
• 우주 부문: 우주 서비스 제공을 지원하는 지상 인프라 운영자. 단, EU 또는 EU 우주 프로그램의 틀 내에서 제3자가 소유 또는 관리를 담당하는 경우는 제외.

이러한 모든 분야에서 대기업은 일반적으로 필수 기업으로 분류되는 반면, 중소기업은 특별히 달리 지정되지 않는 한 중요 기업으로 분류됩니다. 소규모 및 영세 기업은 규모 때문에 일반적으로 제외되지만, 중요성이 입증될 경우 포함될 수 있습니다.

거버넌스 및 고위 경영진의 책임

NIS2와 스페인 법안 초안에서 가장 중요한 변화 중 하나는 사이버 보안 거버넌스와 관련 기관의 직접적인 책임 에 대한 강조입니다 . 법안 초안 제14조는 이러한 취지를 더욱 강화하며, 사이버 보안은 더 이상 순전히 기술적인 문제가 아니라 최고 수준의 전략적 과제임을 분명히 합니다.

최고 경영진은 사이버 보안 위험 관리 조치의 승인 및 이행 감독을 담당 해야 하며 , 해당 조치가 조직의 상황 및 식별된 위험에 비례하는지 확인해야 합니다. 또한, 이사회는 모든 규정 미준수에 대한 최종 책임을 지며, 이는 강화된 제재 조치와 연계됩니다.

또 다른 핵심 사항은 경영진을 위한 정기적인 사이버 보안 교육 입니다 . 단순히 업무를 위임하는 것만으로는 충분하지 않습니다. 리더들은 위험을 이해하고, 정보에 입각한 결정을 내리고, 조직 전체에 강력한 보안 문화를 확산시키는 데 필요한 교육을 받아야 합니다. 그렇게 되면 리더들은 나머지 직원들을 위한 정기적인 교육 프로그램을 추진할 책임도 지게 될 것입니다.

NIS2 제20조는 통치 기관이 의무를 인지하고, 조치를 승인하고, 조치의 이행을 보장하고, 극단적인 상황에서는 개인적 결과(특정 사례에서 기능 분리 가능성 등)를 감수하더라도 대응할 수 있어야 한다고 명시적으로 요구함으로써 이러한 견해를 강화합니다.

이러한 맥락에서 경영진과 정보 보안 책임자(CISO 또는 그에 준하는 직책) 간의 관계는 매우 중요해집니다. 객관적인 위험 및 규정 준수 기준에 기반한 유동적이고 지속적인 대화가 요구됩니다.

NIS2에서 요구하는 위험 관리 조치

스페인 법안 제15조는 사이버 보안 위험 관리 조치가 국가, 유럽 및 국제 기술 표준을 기반으로 해야 하며 , 최소한 NIS2 제21조에 명시된 요건과 시행규정(EU) 2024/2690에서 개발된 요건을 통합해야 한다고 규정하고 있습니다.

필수적이고 중요한 기관들이 반드시 시행해야 할 조치 들 중에는 다음과 같은 사항들이 특히 중요합니다.

• 보안 정책 및 위험 분석 정보 시스템의 정기적 검토를 통해.
• 사고 관리여기에는 명확한 감지, 대응 및 복구 절차가 포함됩니다.
• 비즈니스 연속성, 백업, 재해 복구 및 위기 관리운영 회복력을 보장합니다.
• 공급망 보안 공급업체 및 직접 서비스 제공자와의 관계에는 계약 요건과 승인 및 감사 통제를 부과하는 것이 포함됩니다.
• 취약점 관리 패치와 업데이트를 포함한 네트워크 및 정보 시스템의 인수, 개발 및 유지 관리.
• 사이버 보안 조치의 효과성 평가를 위한 정책감사, 측정, 정기적 검토를 통해.
• 기본 사이버 위생 관행 및 교육 다양한 프로필에 맞게 조정된 직원.
• 암호화 및 암호화 정책 정보의 기밀성과 무결성을 보장합니다.
• 인적자원 보안접근 제어 및 자산 관리 정책.
• 다중 인증 또는 연속 인증음성 통신 및 비상 통신의 보호.

스페인에서는 이러한 조치들 중 상당수가 이미 국가 안보 프레임워크(ENS) 에 포함되어 있었으며 , 특히 공공 행정 기관과 그 공급업체에 적용되었습니다. 실제로 국가 디지털 행정청과 국가 암호학 센터는 EU에 ENS와 NIS2의 긴밀한 연계성을 제시하며, ENS가 유럽의 벤치마크가 될 수 있는 잠재력과 국가 디지털 생태계의 회복력 강화에 기여하는 바를 강조했습니다.

하지만 NIS2는 규모나 중요도에 관계없이 중소기업을 포함한 훨씬 더 광범위한 조직에 대한 기준을 높였습니다 . 성숙한 조직의 경우 이러한 요구 사항 중 상당 부분이 기존 관행과 일치하지만, 사이버 보안 경험이 전혀 없는 수많은 기업에게는 성숙도, 자원 및 내부 조직 측면에서 상당한 도약을 의미합니다.

최고정보보안책임자(CISO)와 그들의 기능

법안 초안 제16조는 모든 필수 및 중요 기관이 정보 보안 책임자를 임명해야 한다고 규정하고 있습니다 . 스페인의 기존 NIS(국가정보보안기구) 운영 경험에서 영감을 얻은 이 직책은 시스템 및 데이터 보호와 관련된 모든 사항을 조율하는 중심 역할을 합니다.

주요 기능은 다음과 같습니다.

• 조직의 사이버 보안 전략을 정의하고 구현합니다.위험, 사업 및 규제 의무에 맞춰 조정됩니다.
• 위험을 평가, 완화하고 지속적으로 검토합니다., 엔터티 노출에 대한 최신 관점을 유지합니다.
• 규정 준수를 입증하는 데 필요한 증거, 정책 및 기록을 관리합니다. NIS2 및 국가 규정에서 발생하는 의무.
• 사이버 보안 문화 촉진 고위 경영진과 협력하여 모든 직원을 대상으로 교육을 실시하고 인식을 높입니다.
• 사고 보고 의무 준수를 보장합니다., 해당 당국에 보고서를 조정합니다.

스페인은 기존 NIS(국가정보보안법)를 국내법으로 전환하면서 최고정보보안책임자(CISO) 직책을 명시적으로 도입 한 최초의 국가 중 하나였습니다 . 그러나 실제 경험에 따르면 상당수의 주요 사업자들이 이 직책을 공식적으로 임명하지 않았고, 설령 임명했더라도 처벌받지 않았습니다. NIS2는 향후 제정될 스페인 법률 및 강화된 제재 체계와 함께 이러한 허점을 바로잡고 CISO의 지위를 더욱 확고히 하고 인정받도록 하는 것을 목표로 합니다.

향후 의무 대상 기관의 수가 크게 증가할 것으로 예상됩니다 . 현재 약 400개에 달하는 필수 사업자가 5.000~50.000개로 늘어날 것으로 추정됩니다. 이는 특히 이전에는 사이버 보안 전문가를 고용한 적이 없었던 중소기업을 중심으로, 사내 및 외부 인력을 포함한 사이버 보안 전문가에 대한 수요가 크게 증가할 것임을 의미합니다.

사고 보고 및 취약성 관리 의무

NIS2 지침은 중대한 영향을 미치는 보안 사고의 조기 신고를 최우선 과제로 삼고 있습니다 . 스페인 법안 초안 제18조는 이 의무를 상세히 규정하며, 해당 지침에서 정한 기한 및 내용과 일치하도록 하고 있습니다.

어떤 기관이 서비스 제공에 심각한 차질을 초래하거나 자신 또는 제3자에게 상당한 손해를 입힐 수 있는 사고를 겪은 경우, 다음 보고 체계를 준수해야 합니다.

• 초기 알림: 사고가 감지된 후 최대 24시간 이내에 기본 정보를 제공합니다.
• 중간보고: 감지 후 최대 72시간 이내에 영향과 심각성에 대한 초기 평가를 실시합니다.
• 최종 통보: 최초 통지일로부터 최대 한 달 이내에 사건에 대한 자세한 설명, 영향, 심각도 및 취해진 조치를 포함해야 합니다.

또한 NIS2는 취약점 관리 및 소통을 강화합니다 . 이는 완료된 사건을 보고하는 것뿐만 아니라 시스템적 영향을 미칠 수 있는 취약점에 대한 관련 정보를 공유하여 국가 및 유럽 차원에서 대응을 조율하는 것을 용이하게 합니다.

스페인의 재난 대응 체계는 CCN-CERT(공공 행정, 전략 기업 및 기밀 시스템 담당), INCIBE-CERT(민간 부문 및 시민 담당), MCCE(국방 부문 담당) 등 세 개의 주요 CSIRT를 중심으로 구축되어 있습니다. 여기에 수십 개의 전문 팀을 통합하고 FIRST와 같은 국제 네트워크 및 국가 SOC 네트워크와 연결되는 csirt.es 네트워크가 더해집니다.

필수적이고 중요한 기관은 해당 분야 규정 및 향후 설립될 국가 사이버보안센터의 지침에 따라 관할 사이버보안 사고대응팀(CSIRT)에 사고를 보고 해야 합니다 . 국가 사이버보안센터는 ENISA 및 기타 회원국과의 조정 및 연락 담당 기관 역할을 수행할 것입니다.

제재 체제와 유럽의 압력

NIS2 지침은 이전 NIS 지침보다 훨씬 엄격한 벌칙 체계를 규정하고 있습니다 . 필수 기업의 경우, 가장 심각한 위반 행위에 대해 최대 10만 유로 또는 그룹 전체 매출액의 2%에 달하는 벌금이 부과될 수 있으며, 주요 기업의 경우 최대 7만 유로 또는 전체 매출액의 1,4%에 달하는 벌금이 부과될 수 있습니다.

현재 스페인에서는 NIS2에 근거한 제재 조치가 아직 시행되지 않았는데 , 이는 부분적으로 관련 법률이 아직 발효되지 않았고 감독 기관이 공식적으로 지정되지 않았기 때문입니다. 다른 회원국들의 경우에도 관련 법률이 최근에 발효되었기 때문에 광범위한 제재를 기대하기에는 아직 시기상조입니다.

그럼에도 불구하고 전문가들은 프랑스나 독일 같은 국가들이 제재를 가하기 시작하면 스페인이 유럽 차원에서 조화와 신뢰성을 유지하려면 뒤처져서는 안 된다는 데 동의합니다. 위원회가 위반 절차와 근거 있는 의견을 통해 압력을 가하는 것은 바로 이러한 목표를 달성하기 위한 것입니다.

재정적 처벌 외에도, NIS2는 처음으로 최고 경영진의 사이버 보안 책임을 명시적으로 규정합니다 . 경영진과 CISO 간의 단절은 더 이상 용납될 수 없으며, 최고 경영진은 관련 정보를 숙지하고 필요한 결정을 내려야 합니다.

ISMS 포럼과 같은 전문가들에 따르면 가장 큰 과제는 중소기업 네트워크에 있습니다. 이들 기업은 제대로 인지하지 못한 채 NIS2의 적용을 받게 될 것입니다 . 많은 기업이 충분한 자원, 프로세스 또는 사이버 보안 문화를 갖추지 못하고 있으며, 법률뿐 아니라 공급망 내 대기업 고객의 요구에 의해 압박을 받게 될 것입니다. 대기업 고객은 지침 준수를 위한 계약상 보장을 요구할 것이기 때문입니다.

ENS의 지원 이니셔티브, 연구 및 역할

입법적 진전과 더불어 스페인은 기업들이 NIS2에 적응할 수 있도록 기술 및 지식 관련 사업을 추진하고 있습니다 . 예를 들어, ISMS 포럼은 UCM의 사이버 보안 및 데이터 보호 특별 석좌의 주도 하에 NIS2가 스페인 기업에 미치는 영향에 대한 연구를 진행하고 있습니다.

본 프로젝트는 두 가지 목표를 가지고 있습니다. 첫째, NIS2의 영향을 받는 기업들에 대한 비공식적인 조사 자료를 구축하고 , 둘째, 해당 기업들의 사이버 보안 성숙도 수준을 측정하는 것입니다. 첫 번째 단계에서는 포괄적인 데이터베이스(상업등기소, DIRCE/INE, 업종별 데이터베이스 등)를 활용하여 조사 자료를 작성하며, 결과는 2025년 11월경에 나올 것으로 예상됩니다. 두 번째 단계에서는 대표 표본 기업(약 1.000개 기업 응답 목표)을 대상으로 간략한 설문지를 발송하여 대비 수준을 평가하며, 결과는 2026년 5월까지 나올 것으로 예상됩니다.

본 분석은 부문별, 규모별, 지리적 분포별, 기업 유형별(필수 또는 중요)로 세분화 하여 개별 데이터는 제외하고 기업과 당국 모두에게 유용한 종합적인 경영 보고서 형태로 결론을 제시할 것입니다.

동시에 ISMS 포럼과 여러 공공 기관들은 특히 중소기업을 대상으로 전국적으로 홍보 행사를 진행 하고 있습니다 . 목표는 NIS2의 내용, CISO(내부 또는 외부)를 두는 것이 왜 필수적인지, 기본적인 사이버 보안 정책을 어떻게 수립해야 하는지, 그리고 향후 시행될 법률 및 관련 부칙에 어떻게 대비해야 하는지를 명확하게 설명하여 "홍보"하는 것입니다.

규제 측면에서 볼 때, 국가안보체계(ENS)는 유럽에서 스페인의 가장 큰 강점 중 하나로 소개되어 왔습니다 . 스페인 디지털행정청(State Agency for Digital Administration)과 국가암호센터(CCN)는 ENS를 통해 축적된 경험, 규정 준수 현황, 그리고 유럽연합 사이버보안법(EU Regulation 2019/881)의 인증 체계와의 통합 현황을 NIS2 협력 그룹과 공유했습니다. 이러한 발표에 대한 긍정적인 반응은 강력하고 일관성 있으며 조화로운 사이버보안에 전념하는 선제적 주체로서 스페인의 이미지를 더욱 강화시켜 줍니다.

이러한 맥락에서 스페인은 NIS2에 맞춰 변화하는 과정에서 마감 시한의 압박, 국가보안체계(ENS)와 같은 기술적 안정성, 그리고 수천 개의 새로운 기관을 고도화된 사이버보안 문화에 통합해야 하는 막대한 과제에 직면하고 있습니다. 미리 상황 평가를 실시하고, 관련 규정에 맞춰 조직 운영 방식을 조정하는 조직은 위험을 최소화하고, 향후 발생할 수 있는 불이익을 피하며, 사이버 위협에 대한 선제적이고 성숙한 대응을 보여줄 수 있는 유리한 위치에 서게 될 것입니다.