요약

  • 2023년 3월 2일 제정된 Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023 제11조(1)은 중대한 영향을 주는 보안 사고를 「부당한 지연 없이」 ComReg에 신고하도록 요구하며, 시간도 일수도 정하지 않는다.
  • 24시간·72시간·30일 기한은 법이 아니라, 의무 발효 297일 뒤에 공개된 규제기관 결정문 D08/24에서 나온다.
  • 침묵에는 두 가지 값이 붙는다. 약식 절차의 상한 5,000유로와, 500만 유로 또는 아일랜드 매출액의 10% 중 큰 금액이라는 행정 상한이며, 후자는 High Court의 확인을 거쳐야 효력이 생긴다.
  • 외부 제3자가 매년 확인할 수 있는 숫자는 하나다. 2024년 신고 15건(2023년 16건)인데, 기록된 사용자 손실 시간은 22,818,885시간에서 32,574,831시간으로 늘었다.

2023년 6월 9일, 아일랜드에서 공중 전자통신망이나 공개적으로 이용 가능한 전자통신서비스를 제공하는 사업자는 중대한 영향을 주는 보안 사고가 발생하면 누군가에게 이를 알려야 하는 의무를 지게 됐다. 그 상대는 National Cyber Security Centre가 아니라 Commission for Communications Regulation, 즉 ComReg다. 제정 법률 제4호(2023)의 원문은 제11조(1)에서 이를 분명히 밝힌다. 규제기관에 「부당한 지연 없이」 신고하라는 것이다. 제11조(4)는 해결과 복구에 관한 갱신 보고 의무를 더하고, 제12조(1)은 영향을 받을 수 있는 이용자에게 이용 가능한 보호 조치나 구제 수단, 그리고 적절한 경우 위협 자체를 알리도록 요구한다.

법이 담고 있는 시간 정보는 이것이 전부다. 「부당한 지연 없이」는 표현이지 시계가 아니다. 여기서 아일랜드의 사슬이 흥미로워진다. 시계는 나중에 왔고, 입법자가 세운 것이 아니다. ComReg 24/23과 함께 공개된 결정문 D08/24는 2024년 4월 2일자로 임계값과 정보 요건, 제출 방식, 단계를 정한다. 가능한 한 신속하게, 그리고 최초 24시간 안에 초기 보고서를 내고, 해결되지 않았으면 72시간 안에 갱신하며, 해결을 통지하고, 중대 사고 보고서로부터 30일(역일) 안에 근본 원인 분석을 포함한 종합 갱신을 제출하도록 한다. 같은 문서 제140단락은 이 24시간 창을 사업자가 문제를 「탐지한」 시점에 고정한다. 발생 시점이 아니다.

의무 발효와 이 문서 공개 사이에는 297일이 있다. 두 개의 공표된 날짜에 대한 나의 계산이다. S.I. No. 299 of 2023 제2조가 지정한 2023년 6월 9일(이 명령은 2023년 6월 6일 제정됐다)과 ComReg 24/23 표지의 2024년 4월 2일이다. 이 간격이 사슬의 성격을 그대로 말해 준다. 먼저 의무가 있었고, 한참 뒤에 스톱워치가 왔다. 법 자체도 제정에서 발효까지 99일이 걸렸고, 발효 명령은 2023년 6월 13일자 고시 게재를 기록한다. 의회 최종 인쇄본인 Bill 제86c호(2022)는 양원 통과일을 2023년 2월 22일로 남긴다(Oireachtas).

침묵의 값도 하나가 아니다. 제11조(8)(a)은 제11조 신고 의무 위반을 범죄로 만들어 약식 기소 시 A종 벌금에 처한다. 금액은 통신법에 없고, Fines Act 2010 제3조에 있다. A종 벌금은 5,000유로를 넘지 않는 벌금을 뜻한다. 이는 약식 절차의 법정 상한이며 고정 요율도, 어떤 사건에서 실제로 관찰된 제재도 아니다.

다른 값은 행정 절차 쪽에 있고 규모가 다르다. 제11조(7)과 제60조(1)(a)은 제11조의 의무를 제7부에 연결하고, 제90조(2)과 제91조(1)(a)–(b)은 시정 명령과 금전 제재를 가능하게 한다. 제94조(5)(a)은 법인이 아닌 자에 대한 상한을 500만 유로와 아일랜드 매출액의 10% 중 큰 금액으로 정하며, 매출액은 마지막 위반이 있었던 회계연도의 바로 전년도 말 기준으로 잡는다. 제92조(1)은 행정 제재가 효력을 가지려면 제109조에 따른 High Court의 확인이 필요하다고 규정하고, 제90조(3)은 이미 재결 위반으로 다뤄진 행위에 대한 형사 소추를 막는다. 제63조(3)은 ComReg가 약식 소추를 택하지 않거나, 형사 절차 없이 사건이 이송된 경우 행정 절차를 허용한다. ComReg의 재결 절차 지침 25/03a는 이 경로 전체를 서술한다. 위원회 동의를 받은 권한 있는 직원의 이송, 중지나 시정, 금전 제재, 환급과 보상을 포함하는 제재 목록, 예외와 삭제를 거친 확인된 재결의 공표까지다. 그리고 제8.2단락에서 High Court의 확인 없이는 아무것도 효력을 갖지 않는다고 명시한다.

5,000유로와 500만 유로 사이에는 1,000배의 차이가 있다. 이는 두 법정 상한 사이의 거리이며 관찰된 벌금이 아니지만, 설계를 정확히 설명한다. 빠르고 값싼 경로는 대형 사업자가 눈썹 하나 움직이지 않을 금액으로 침묵을 벌하고, 값비싼 경로는 기록을 만들고 사법 확인을 받아 그것을 공표할 것을 요구한다.

그리고 빠진 이름이 하나 있다. 이 기사를 위해 읽은 제정 원문에는 National Cyber Security Centre가 나오지 않는다. 제5조는 CSIRT를 부처 내 사고대응 단위로 정의하고, 제16조(1)(a)은 ComReg가 그 단위와 협의하고 협력하며 정보를 교환하고 지원을 받을 수 있게 한다. 그 문서가 그 이상의 일반적 기능을 부여하지는 않는다. NCSC 자신의 CSIRT-IE 페이지는 이 팀을 NCSC 내부에서 국가 차원의 사고 대응을 지원하는 조직으로 설명하고, 주된 대상으로 정부 기관과 핵심 국가 기반시설 제공자를 들며, 모니터링·경고·대응·위험 분석·CSIRT 네트워크 참여를 직무로 나열한다. 날짜가 없는 조직 소개이며, 그 책임의 법적 근거로 2023년 법을 인용하지 않는다.

남는 것은 외부에서 실제로 확인할 수 있는 숫자다. 제11조(9)은 접수한 신고와 취한 조치에 관한 연례 요약을 장관, 유럽연합 집행위원회, ENISA에 제출하도록 요구한다. ComReg의 Network Incidents 페이지는 이 요약을 확인하고, ComReg 24/23과 D08/24를 신고 체계를 정한 문서로 지목하며, 사업자를 Data.ComReg의 신고 포털로 안내한다. 숫자는 연차보고서에 있다. 2023년 보고서 ComReg 24/53은 2023년 신고 16건(2022년 12건)과 사용자 손실 22,818,885시간을 기록한다. 2024년 보고서 ComReg 25/42R은 2025년 7월 1일자로 2024년 15건(2023년 16건)과 사용자 손실 32,574,831시간을 기록한다.

두 시간 총계의 차이는 9,755,946시간, 약 43% 증가다. 공표된 두 총계에 대한 나의 계산이며, 더 확장해서는 안 된다. 보고서는 사용자 손실 시간 총계가 ComReg에 신고된 사고만에서 나왔다고 말하지 않는다. 그래서 시간을 사고 수로 나누면 어떤 문서도 뒷받침하지 않는 숫자가 나온다. 자료가 뒷받침하는 것은 방향이다. 사고는 한 건 줄었고, 손실 시간은 크게 늘었다.

체계 자체도 멈춰 있지 않다. 협의문 25/84는 2025년 12월 5일자로, Storm Éowyn 경험을 바탕으로 기상 관련 신고 서식과 신고 빈도·시점, 사고 중대성의 지리적 평가를 바꾸자고 제안한다. 제안이다. 최종 처리 결과는 확인하지 못했고, 문서 표지는 판본을 FINAL로도 표시하지만 그것이 협의문을 효력 있는 결정으로 바꾸지는 않는다.

구체적인 한계 두 가지, 실제로 읽은 범위에 한정한다. Network Incidents 페이지는 개별 사업자의 제출물이나 접수 시각을 보여주지 않고, 인증이 필요한 사업자 포털에는 접속하지 않았다. 포털 링크는 제출된 내용이 공개됐다는 증거가 아니다. 그리고 검토한 자료군, 즉 법률과 D08/24, 재결 지침, 두 개의 연차보고서 안에서 제11조와 관련해 이름이 밝혀진 사업자를 상대로 한 소추, 제재, High Court가 확인한 재결은 확인하지 못했다.

법 조문과 어긋나는 숫자 하나는 출처와 함께 밝혀 둔다. ComReg의 재결 부서장 채용 공고는 행정 금전 제재를 최대 1,000만 유로 또는 매출액의 10%로 설명한다. 제정 원문은 500만 유로다. 이 차이의 이유는 확인하지 못했고, 이 숫자를 유효한 상한으로 쓰지 않는다.

이 기사가 같은 디렉터리 항목에 이미 실린 글에 더하는 것은 구체적이다. 이 대상에 관한 앞선 두 편, 즉 2026년 10월 21일 영국 정부 워크플로에서 주석 하나가 코드를 실행한 사건과 2026년 10월 10일 스위스의 독립 사이버보안법 계획은 아일랜드의 사슬을 검증하지 않는다. 의무 자체, 그 수신처, 규제기관이 만든 시계, 둘로 쪼개진 값, 그리고 제3자가 실제로 읽을 수 있는 총계다. 이 기사가 검증하는 것이 바로 그것이다.

분류를 바꿀 것도 구체적이다. 제11조에 따른 소추, 확인·공표된 재결, 또는 사업자와 신고 시점을 나눠 보여주는 연차보고서는 총계를 검증 가능한 책임 기록으로 바꾼다. 그것이 나오기 전까지 아일랜드에는 도구와 값과 계수기가 있다. 내가 읽은 자료에서 없는 것은 누가 늦었는지 아는 방법이다.

이 글이 다룬 대상은 National Cyber Security Centre 디렉터리 항목에 기록돼 있다.