불가리아가 유럽연합(EU)의 강화된 네트워크 및 정보 보안 지침인 ‘네트워크·정보시스템2(NIS2)’를 자국법에 반영한 개정 사이버보안법을 2월 17일부터 정식 발효했다. 우리 기업들은 관련 하드웨어(HW) 및 소프트웨어(SW) 수요를 노려볼 만하다.
●EU의 NIS2 지침
NIS2는 2016년 시행된 기존 NIS1 지침을 개정, 확대한 법안이다. 2022년 채택됐으며 EU 회원국은 이를 자국 법제에 반영해 2024년부터 본격 적용하고 있다.
NIS2의 가장 큰 특징은 적용 범위의 대폭 확대다. 기존 NIS1이 에너지, 운송, 금융, 보건 등 제한된 분야에 초점을 맞췄다면 NIS2는 디지털 인프라, 공공행정, 우편 및 택배 서비스, 폐기물 관리, 우주 산업 등 총 18개 산업 분야로 적용 대상이 넓어졌다.
사이버 보안의 규제 대상도 ‘핵심 기관’(Essential Entity)과 ‘중요 기관’(Important Entity)으로 구분하고 직원 50인 이상 또는 연 매출 1000만 유로 이상 등 일정 규모를 넘는 기업이나 기관에 보안 의무를 적용함으로써 보다 광범위하게 사이버 보안의 규제 대상이 되도록 했다.
사실상 거의 모든 산업 분야와 기업에 적용되는 지침으로, 개인정보 보호(GDPR)나 인공지능(AI)법처럼 EU의 정체성이 강한 범적용적 규제다.
NIS2 지침의 주요 항목은 공급망 보안, 위험 관리, 보고체계 강화 등이다. 공급망 보안의 경우 과거에는 자사 시스템에만 유의했다면 이제는 자사가 이용하는 HW, SW, 부품 등 타사 보안까지 공동 책임을 강조하고 있다.
전에는 자사 내부 서버의 방화벽 설정에만 집중하고 협력사 계약 시 보안 조항은 선언문적 성격에 그쳤다면 이제는 협력사 보안 실사, 보안 인증(ISO 27001 등) 검증, 정기 보안 감사권 요청 등 보다 강화된 인증 절차를 요구한다.
위험 관리는 백업 데이터 및 네트워크 완전 분리 다요소 인증, 모든 서버 및 네트워크 접근 요청의 철저한 인증과 권한 최소화를 의미하는 제로 트러스트처럼 사이버 공격 예방을 위해 취하는 기술적, 조직적 조치를 의미한다.
일례로 유럽의 한 식품 제조사는 위험 관리를 위해 모든 백업 데이터를 네트워크와 완전히 분리된 공간에 저장하고 랜섬웨어 공격 시 48시간 안에 핵심 공정을 복구할 수 있는 시나리오 훈련을 분기별로 실시하고 있다.
보고 체계는 사이버 보안 사고 발생 시 24시간 내 국가와 기업의 보안사고대응팀(CRIST)에 신속 보고하도록 의무화하고 있다. 24시간 이내 초기 경고, 72시간 이내 사고 알림, 1개월 이내 최종 보고를 제출하는 3단계 보고 절차가 적용된다.
한국 한국인터넷진흥원과 같은 보안 컨트롤타워 내 보고 체계를 강화해 국가적 사이버 사고 손해를 최소화하려는 것으로, 불가리아에는 전자정부청 산하 기관인 CERT-BG가 있다.
이러한 규정을 준수하지 못하면 EU 회원국이 지정한 규제 당국이 주요 기관별로 각각 최대 1000만 유로 또는 세계 연 매출의 2%, 700만 유로 또는 세계 연 매출의 1.4%의 벌금을 부과한다.
규제 당국은 또한 벌금뿐 아니라 보안 시정 명령, 보안 관련 인증 취소, 경영진 직무 정지 등 강력한 권한을 행사할 수 있어 많은 EU 회원국이 NIS2를 준수하는 기관과 기업의 보안 프로토콜을 재정비하고 있다.
●불가리아 사이버보안법 개정과 공급망 재편
올해 2월 개정된 불가리아 사이버보안법은 NIS2가 요구하는 글로벌 표준을 그대로 이행하고 있다. 산업 분야 확대, 보고체계 정비 및 강화, 경영진 책임, 벌금 등 NIS2와 일맥상통하도록 국내법을 개정했다.
주요 차이점으로는 일정 기간 벌금 감경 유예기간이 적용된다. 오는 6월 1일까지 발생하는 위반 사항에 대해서는 법정 과징금과 벌금의 50%를 깎아준다. 또한 불가리아 전자정부부 장관은 정부 지급 기기에 특정 애플리케이션이나 웹사이트 사용을 금지할 수 있는 권한을 법적으로 명시했다.
불가리아 정부는 국무총리, 각 부처 장관으로 구성된 사이버보안위원회의 제안에 따라 특정 국가나 특정 기술을 사용하는 제품의 구매를 제한하거나 기존 장비의 철거를 명령할 수 있는 권한을 갖는다. 법령 통과 이후 8개월 안에 최소 사이버 보안 조치에 관한 법령을 별도로 제정해 보안 및 산업 부문별로 더욱 구체적인 기술 표준을 강제할 예정이다.
불가리아의 사이버보안법 개정은 단순히 NIS2 지침을 반영하려는 목적이 아니라 중국, 러시아와 같은 외교 및 보안 고위험 국가를 직접 겨냥한 법이라는 평가가 있다. 실제 사이버보안위원회는 최근 개정법 통과와 함께 정부 지급 기기 내 틱톡 사용을 금지했으며 에너지, 운송 등 주요 부문 기업에 EU나 북대서양조약기구(NATO) 회원국이 아닌 제3국 정부의 통제를 받을 가능성이 있는 기술과 업체의 3년 이내 교체를 요구했다.
CCTV의 경우 화웨이, ZTE, 하이크비전, 다후아 같은 중국 업체와 카스퍼스키 등 러시아계 보안 SW 장비의 퇴출 및 사용 금지를 촉진했으며 현재 많은 기업이 공급망 재편을 추진 중이다. 법안 통과 과정에서 일부 불가리아 야당 의원들은 사실상 화웨이와 중국 업체를 겨냥한 법안이라며 크게 반발했고 정부는 국가 안보를 위한 필수 조치라면서 사실상 시인하는 모양새를 취했다.
불가리아 주요 통신사인 A1, 비바콤, 예텔이 보안 규제 강화에 대응해 네트워크 구조를 재정비하는 가운데 장비 벤더 전략에서는 뚜렷한 차이를 보인다.
A1은 이미 노키아와 에릭슨 중심의 유럽 벤더 체계를 구축해 비교적 안정적인 대응 기반을 확보한 반면 비바콤은 기존 혼합형 구조에서 점진적인 탈중국 전환을 모색하고 있다. 예텔은 그간 화웨이 의존도가 높은 네트워크 구조 때문에 장비 교체 및 추가 투자 부담이 클 것으로 예상된다.
●한국 기업 진출 유망 분야
고위험 공급업체에 대한 법적 규제가 실질적인 강제력을 갖게 되면서 그간 가격을 앞세웠던 중국과 러시아산 장비와 솔루션의 빈자리가 빠르게 대체되고 한국산 기술이 일부 자리매김할 수 있을 전망이다.
에너지와 주요 인프라 시설의 경우 불가리아의 핵심 국가 과제인 코즐로두이 원전 신규 건설 프로젝트와 맞물려 한국산 산업용 제어 시스템 및 운용기술(OT) 보안 솔루션 수요가 증가할 것으로 예상된다.
망 분리와 실시간 모니터링이 필수적인 인프라 시설 보안 시장에서 한국의 통합 보안 관제 시스템은 기술적, 정치적 리스크를 동시에 해결할 최적의 솔루션이 될 수 있다. 공공 안전 및 지능형 영상 감시(VSS) 부문에서는 하이크비전 등 중국 업체들이 고위험 공급업체로 분류돼 밀려나는 추세여서 관련 우리 기업들에 긍정적인 기회가 될 수 있다.
한국 제품은 미 국방수탁법(NDAA) 준수와 EU의 최신 보안 인증을 확보한 경우가 많아 별도의 법적 검토 없이도 즉시 현장에 투입 가능하다는 강점이 있다. 다만 가격 경쟁력을 갖춘 대만이나 강력한 브랜드 파워를 지닌 유럽 기업들과의 치열한 경쟁이 예상된다.
또한 국경 보안 및 주요 시설 감시를 위해 드론의 역할이 커지면서 불가리아 정부는 보안이 검증된 드론 도입에 박차를 가하고 있다. 그간 시장을 장악했던 중국산 드론이 데이터 유출 우려로 공공 입찰에서 배제되는 추세는 우리 기업에게 분명 기회다.
KOTRA 무역관과 만난 현지의 대형 ICT 시스템 통합 기업 대표는 “중국산 솔루션에 의존하는 비즈니스 구조에서 발생하는 리스크를 인지하고 있다”면서 “명확한 대안으로 한국 기업과의 파트너십을 희망한다”고 밝혔다.
KOTRA 소피아 무역관 제공
정리=이용석 기자
댓글
0