요약

  • 유럽위원회의 COM(2026) 13은 중요·필수 기관과 도메인 등록 서비스 사업자를 ENISA 명부에 포함하려 한다.
  • 이어지는 접근 조항은 여러 서비스 사업자 범주와 항공사 정보를 당국이 요청할 수 있게 하지만, 중요·필수 기관을 하나의 범주로 적지는 않는다.

명부의 범위를 넓히는 데는 한 문장이면 된다. 그 안의 기록을 누가 읽을 수 있는지는 별도의 문장이 정한다. NIS2 간소화안은 이 두 문장의 범위를 같은 선명도로 그리지 못했다.

현행 Article 27은 DNS 서비스, 최상위 도메인 등록기관, 클라우드와 데이터센터, 콘텐츠 전송 네트워크, 관리형 서비스, 일부 온라인 플랫폼 등 특정 사업자군을 ENISA 명부에 담는다. 각국 단일 연락 창구가 조항에 적힌 정보를 ENISA에 보낸다. 관할 당국은 요청을 통해 열거된 범주에 관한 정보를 볼 수 있고, 필요한 경우 비밀도 보호해야 한다.

중요·필수 기관은 현재 다른 경로에 있다. Article 3(4)는 회원국에 국가 명부를 만들도록 하고, 그 기관의 IP 주소 범위도 수집 정보에 포함한다. 현행 Article 27은 2(f)에 적힌 IP 범위를 ENISA로 넘길 정보에서 명시적으로 제외한다. 이 조항 아래에서는 주소 범위가 국가 단계를 벗어나지 않는다.

위원회 안은 경계를 옮긴다. 새 Article 27(1)은 중요·필수 기관과 도메인 등록 서비스 사업자를 ENISA 명부에 넣고, 국가 연락 창구가 Article 3(4) 정보를 보내도록 한다. 기존 Article 27(2)의 별도 사업자 목록도 삭제한다. 그 목록과 함께 IP 범위를 전송에서 빼던 문구도 사라진다.

하지만 명부에 기록하는 일과 열람을 허용하는 일은 서로 다른 통제다. 제안된 다음 문장은 관할 당국이 요청하면 ENISA가 DNS 사업자, 최상위 도메인 등록기관, 도메인 등록 서비스, 클라우드, 데이터센터, 전송 네트워크, 관리형 서비스, 온라인 시장, 검색엔진, 소셜 플랫폼, 항공사에 관한 정보를 열람하게 해야 한다고 쓴다. 중요·필수 기관은 이 목록에 독립된 범주로 나타나지 않는다.

제안서에는 여기서 한 가지 구체적인 질문이 남는다. 중요·필수 기관의 기록도 이 접근 권한에 포함되는가? 동시에 제안은 ENISA에 국경 간 협력 지원과 중요·필수 기관의 사이버 위험 분석도 맡긴다. ENISA의 분석, 국가 감독 당국의 개별 자료 조회, 회원국의 기관 감독은 서로 다른 권한이다. Article 27은 명부 확대와 접근권 사이의 연결을 분명히 써야 한다.

IP 주소 범위를 보면 구분이 실제로 중요해진다. 주소 정보는 네트워크 증거와 기관을 연결하거나 여러 나라의 대응을 조율하는 데 쓰일 수 있다. 그러려면 누가 어떤 업무를 위해 자료를 조회하는지, 잘못되거나 낡은 주소를 누가 고치는지 정해야 한다. RIPE NCC는 5월 12일 의견서에서 주소 범위가 필요한 보안 업무, 기관이 신고해야 할 항목, 중복 신고 방지, 비용·편익 근거를 위원회에 요구했다. 접근 조항은 다음 질문을 더한다. 자료가 ENISA에 모인 뒤 누가 기록을 열 수 있는가?

넓은 명부와 제한된 열람은 함께 설계할 수 있다. ENISA가 국경 간 위험을 분석하고, 국가 당국은 자신의 업무에 필요한 기록만 조회하도록 할 수 있다. 이 설계라면 법문에 적어야 한다. 중요·필수 기관의 자료를 요청할 수 있는지, ENISA 분석과 당국 조회를 어떻게 나눌지, 각 조회가 어떤 목적에 묶이는지 분명해야 한다.

RIPE Labs의 10월 21일 EU 규제 업데이트는 보고서 초안이 데이터 최소화와 IP 대역의 국가 감독을 선호한다고 전했다. 11월 2일 현재 유럽의회 입법 관측소는 이 절차를 위원회 결정 대기로 표시한다. 9월 24일 보고서 초안과 10월 13일 제출된 수정안도 기록돼 있다. 확인할 질문은 간단하다. 관할 당국은 Article 27(1)에 따라 중요 기관의 기록을 요청할 수 있는가? 최종안은 어느 당국이 왜 요청할 수 있는지 답해야 한다. 그 답을 추측해야 한다면 접근 규칙은 아직 완성되지 않았다.

출처: NIS2 지침 · 유럽위원회 제안 COM(2026) 13 · RIPE NCC 의견서, 2026년 5월 12일 · 유럽의회 절차 2026/0012(COD)