이탈리아 국가사이버보안청(ACN)이 NIS 대상 기관의 강화 보안 조치 마련을 위한 협의를 시작했지만, 2026년 10월 24일 현재 최종 목록과 시행일은 공개되지 않았다. 따라서 필수 조치는 여전히 기본 보안 조치이며, 대상 기관은 기존 요구사항을 이행하고 관련 증빙을 정리해야 한다.
ACN은 2026년 9월 18일 부문별 협의체와 강화 조치 협의를 시작했다고 밝혔다. 조치는 비례성과 단계적 적용 원칙에 따라 마련되며, 첫 적용 단계에서 도입한 기본 조치를 보완하고 대체할 예정이다. 다만 강화 조치의 구체적인 내용이나 시행 일정은 발표되지 않았다.
기본 조치는 이탈리아의 NIS2 이행 법령인 D.Lgs. 138/2024에 따라 운영된다. ACN의 2025년 12월 19일 결정 제379907호는 2026년 1월 15일부터 적용되며, 중요 기관에는 37개 조치와 87개 요구사항, 필수 기관에는 43개 조치와 116개 요구사항을 정한다. 2025년에 명단에 포함된 기관은 통보일로부터 18개월 안에 기본 조치를 이행해야 하며, 해당 기관의 기한은 2026년 10월이다. 2026년에 새로 포함된 기관에는 기본 조치 이행 기한이 2027년 7월 31일로 정해져 있다.
ACN은 2026년 4월 20일 결정 제155238호에서 NIS 대상 기관의 활동과 서비스를 10개 대분류로 나누고, 영향도를 최소·낮음·중간·높음의 네 범주로 분류했다. 이 분류는 시스템에 적용할 보안 조치를 비례적으로 정하기 위한 것이다. 전문 매체는 강화 조치도 이 영향도 범주에 따라 달라질 것으로 추정하지만, ACN은 이를 공식 확인하지 않았다.
강화 조치에 보안관제센터(SOC)나 모의 침투 테스트가 포함될지는 현재 공개된 정보로 알 수 없다. ACN의 9월 18일 발표에는 두 항목이 언급되지 않았다. 이탈리아 사이버보안청은 기본 조치에 사고 관리와 보안 조치 검증이 포함된다고 설명했지만, 강화 조치의 세부 내용은 아직 공개하지 않았다.
대상 기관은 강화 조치 내용을 미리 가정하기보다 현재 적용되는 기본 조치의 이행 상태를 확인하고, 해당 기관 유형에 맞는 부속서 기준으로 격차 분석을 할 수 있다. 활동과 서비스의 분류를 점검하고, 승인된 정책·로그·검증 보고서·회의록 등 증빙에 책임자와 버전, 날짜를 기록하는 것도 준비 방법으로 제시됐다. ACN은 2027년 1월 1일 새 등록 또는 정보 갱신 기간이 시작된다고 밝혔다.
강화 조치 협의가 기존 기한을 바꿨다는 발표는 없다. ACN은 협의에서 수렴한 의견을 검토 과정에 반영할 예정이며, 최종 조치의 공표일과 시행일은 아직 정하지 않았다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요