원문 캡처 · cyberpath-hq.com
원문 캡처 · cyberpath-hq.com

이탈리아의 NIS2는 해당 업종의 중견·대기업 등을 대상으로 위험 관리, 중대 사고 신고, 경영진의 책임을 요구한다. 중소기업은 업종과 기업 규모에 따라 적용 여부가 달라지며, 보안 조치 기한은 이탈리아 국가사이버보안국(ACN)이 기업을 대상 목록에 등록해 통지한 날짜를 기준으로 확인해야 한다.

이탈리아는 2024년 10월 16일부터 시행된 법령 138/2024로 NIS2를 국내법에 반영했다. 법령은 18개 분야를 대상으로 하며, 일반적으로 해당 업종에서 중견기업 이상이어야 적용된다. 소기업과 영세기업은 대체로 제외되지만, 공공 전자통신망 운영자처럼 기업 규모와 관계없이 포함되는 범주가 있고 ACN이 추가로 중요 대상을 지정할 수도 있다.

기업 규모를 판단할 때는 계열·제휴 기업을 함께 고려한다. 자료에 따르면 소기업은 직원 50명 미만이면서 연 매출 또는 연간 대차대조표 총액이 1,000만 유로 이하인 기업이고, 영세기업은 직원 10명 미만이면서 200만 유로를 넘지 않는 기업이다. 규모 산정이 부당하다고 판단하면 등록 과정에서 법령 제3조 제12항의 예외 조항 적용을 요청할 수 있다.

일반적으로 고위험 분야의 대기업은 필수 대상, 그 밖의 경우는 중요 대상으로 분류된다. 필수 대상에는 기본 보안 조치 43개와 요구사항 116개가 적용되고, 중요 대상에는 조치 37개와 요구사항 87개가 적용된다. 필수 대상은 사전 점검도 받을 수 있으며, 중요 대상은 주로 사후 점검을 받는다. 중대한 위반의 최대 과징금은 필수 대상의 경우 1,000만 유로 또는 전 세계 연 매출의 2% 중 더 큰 금액, 중요 대상은 700만 유로 또는 1.4% 중 더 큰 금액이다. 이는 자동 부과액이 아니라 법정 상한이다.

대상 기업은 매년 1월 1일부터 2월 28일까지 ACN 플랫폼에 등록하거나 정보를 갱신해야 한다. 등록에는 회사 정보, 연락처, 담당 연락 지점과 해당하는 경우 업종·세부 업종 정보 등이 필요하며 SPID 또는 CIE로 접속한다. 2026년 10월 23일 발표된 ACN 결정 314287/2026에 관한 보도에 따르면, 이미 목록에 있고 변경 사항이 없는 기업은 2027년에 새 신고를 제출하지 않아도 된다. 다만 기존 신고 정보가 현재 상황과 일치하는지 확인할 책임은 기업에 있다.

법령상 의무는 경영진의 관리·감독, 위험 관리 조치, 중대 사고 신고로 나뉜다. 경영진은 보안 조치의 이행 방식을 승인하고 적용을 감독하며 관련 교육을 받아야 한다. 운영 업무는 위임할 수 있지만, 관련 문서의 승인은 경영진의 권한이며 사고 신고 책임도 대상 기업에 남는다.

사고 신고는 CSIRT Italia에 단계별로 제출한다. 사고를 인지한 뒤 24시간 안에 사전 신고를 하고, 72시간 안에 초기 평가와 확보 가능한 침해 지표를 포함한 신고를 제출한다. 최종 보고서는 한 달 안에 내야 한다. 사고가 계속 진행 중이면 진행 상황 보고서를 먼저 제출하고, 사고가 끝난 뒤 한 달 안에 최종 보고서를 내야 한다.

ACN의 기본 보안 조치는 결정 379907/2025에 담겼으며 2026년 1월 15일부터 적용된다. 기본 조치는 위험 분석 결과에 따라 일부만 골라 적용할 수 없다. 위험 분석은 각 조치의 깊이와 구성을 조직 상황에 맞게 조정하는 데 쓰이며, 낮은 위험을 이유로 조치를 생략할 수는 없다. 강화된 조치는 2026년 9월 18일부터 협의가 진행 중이지만, 최종 목록과 시행일은 정해지지 않았다.

기한은 대상 목록에 들어간 시점에 따라 다르다. 2025년에 등록된 기업은 통지를 받은 날부터 기본 조치 이행까지 18개월, 사고 신고 의무 적용까지 9개월이 주어졌다. 2026년에 처음 등록된 기업은 사고 신고가 2027년 1월 1일부터 적용되고 기본 조치는 2027년 7월 31일까지 이행해야 한다. 2025년 등록 기업의 통지는 대부분 2025년 4월에 발송돼, 다수의 기본 조치 기한은 2026년 10월에 도래했다. 개별 기한은 ACN 통지서의 날짜로 확인해야 한다.

2027년에는 1월 1일부터 2월 28일까지 연례 등록·갱신이 진행된다. 대상 기업은 3월 31일까지 ACN의 목록 작성, 4월 15일부터 5월 31일까지 관련 공급업체 정보를 포함한 연례 정보 갱신, 5월 1일부터 6월 30일까지 활동과 서비스 분류 절차를 거친다. 2027년에 새로 등록되는 기업의 CSIRT 담당자 지정 기한은 그해 12월 31일이다.

SOC와 침투 테스트는 법령에 이름이 적힌 의무 사항은 아니지만, 사고 탐지와 대응, 보안 조치의 효과 확인을 지원할 수 있다. 강화된 조치가 SOC나 침투 테스트를 요구할지는 아직 정해지지 않았다. 기업이 준비할 때는 먼저 업종·규모·그룹 관계를 확인하고, ACN 통지서의 분류와 기한을 살핀 뒤, 해당 기본 조치와 책임자·증빙을 대조하는 방식으로 진행할 수 있다. 이는 자료가 제안하는 실무 접근법이며 법적 의무의 별도 목록은 아니다.

법령과 ACN 자료는 다음에서 확인할 수 있다.

ACN 결정 127434/2026, 127437/2026, 155238/2026, 314287/2026은 ACN NIS 안내 페이지에서 확인할 수 있다.