DORA는 NIS2에서 당신을 구했다. CRA에서는 구하지 못한다.

TL;DR. 9월 11일 CRA의 24시간 보고 시계가 돌기 시작한다. 의무는 제품에 붙으므로 NIS2를 면제해 준 DORA 예외는 여기까지 닿지 않는다.

핵심 요약

9월 11일에 실제로 시작되는 것. CRA는 2024년 12월 10일 단계적 적용 일정과 함께 발효했고, 정작 사라지는 것이 바로 그 단계성이다.
왜 DORA의 면제가 여기까지 닿지 못하는가. 여기서는 평소보다 더 정밀해야 한다.
당신은 제조자인가? 아무도 당신 대신 답해 주지 않았다. 여기서 정직한 입장은, 이 질문이 정리된 것이 아니라 열려 있다는 것, 그리고 정리되기를 기다리는 은행은 기한을 넘겨서까지 기다리게 되리라는 것이다.
시계의 충돌. 분석 결과 적어도 하나의 산출물이 범위에 든다고 잠시 가정하자.

서른아홉 날 뒤, 사이버복원력법(CRA)이 스물네 시간짜리 보고 시계를 돌리기 시작한다. 그리고 모든 은행이 가장 먼저 붙잡는 그 면제는 이 시계를 멈추지 못한다. 금융회사에 NIS2가 적용되느냐고 물으면 답은 막힘없이 나온다. DORA는 특별법이고, 분야별 법령이 같은 영역을 덮으면 NIS2 제4조는 물러나며, 따라서 은행은 ICT 사고를 CSIRT가 아니라 소관 당국에 보고한다. 이 답은 옳다. 그리고 지금, 전혀 다른 규정에 관한 질문에 잘못 제시되려 하고 있다. CRA가 규율하는 것은 사업자가 아니다. 제품이며, 그 의무는 제품을 제조한 자에게 붙는다. 적용범위 조항에 금융서비스 제외 규정은 없다. 사업자법을 위해 쓰인 제외 규정은 제품법 안에서 붙잡을 곳을 찾지 못하기 때문이다. 2026년 9월 11일부터, 시장에 소프트웨어를 공급하는 은행은 ENISA에 스물네 시간 이내의 조기 경보를 진다. DORA 대신이 아니라, DORA에 더해서.

경영진 요약

지평선이 아니라 이미 작동 중인 날짜다. 제14조는 2026년 9월 11일부터 적용된다. CRA의 나머지는 2027년 12월 11일을 기다리며, 계획상의 오류는 이 두 사실 사이의 간격에 산다.

적용범위는 당신이 무엇인지가 아니라 무엇을 내보내는지가 정한다. CRA의 제외는 다른 제품 법제 — 의료기기, 차량, 항공, 선박 장비 — 다. 은행업은 그 목록에 없고, 애초에 들어갈 자리도 아니었다.

방아쇠는 악용이지 심각도가 아니다. 적극적으로 악용된 취약점은 고객 피해가 없어도, DORA상 중대 사고에 해당하지 않아도 시계를 돌린다.

오늘 이것의 주인은 없다. DORA 보고는 운영복원력에 산다. CRA 보고는 제조자로 간주되는 쪽에 산다 — 대부분의 은행이 한 번도 배정한 적 없는 역할이다.

9월 11일에 실제로 시작되는 것

CRA는 2024년 12월 10일 단계적 적용 일정과 함께 발효했고, 정작 사라지는 것이 바로 그 단계성이다.

전면 적용 — 부속서 I의 필수 사이버보안 요건, 적합성 평가, CE 마킹, 기술 문서 — 은 2027년 12월 11일에 떨어진다. 적합성평가기관 통보는 2026년 6월 11일에 열렸다. 그 사이에 이번 분기에 실제로 중요한 날짜가 놓여 있다. 제14조 보고 의무가 시작되는 2026년 9월 11일이다.

보고 구조는 3단계이고, 처음 읽을 때 느껴지는 것보다 빡빡하다.

제조자가 적극적으로 악용된 취약점, 또는 제품 보안에 영향을 미치는 중대 사고를 인지한 때로부터 24시간 이내 조기 경보.
기술적 세부사항과 취해진 시정 또는 완화 조치를 담은 72시간 이내 완전한 신고.
적극적으로 악용된 취약점에 대해 시정 조치가 가용해진 때로부터 14일 이내 최종 보고, 또는 중대 사고에 대해 신고로부터 1개월 이내 최종 보고.

보고는 ENISA가 운영하는 CRA 단일 보고 플랫폼을 통과한다. 제조자는 한 번만 제출한다. 주된 사업장이 있는 회원국에서 조정자로 지정된 CSIRT에 제출하며, 플랫폼은 그 신고를 동시에 ENISA에 제공하고, 수신한 CSIRT는 제품이 유통되는 다른 역내 CSIRT들에 전파한다. 이 단일 제출 설계는 행정적 핑계를 없애지만, 시한을 누그러뜨리지는 않는다.

방아쇠를 보라. 심각도도 고객 영향도 아닌 악용이다. 실제 환경에서 적극적으로 악용되고 있는 취약점은, 누가 피해를 입었든 아니든, 같은 사실관계가 다른 곳에서 중대 사고로 분류되든 아니든, 24시간 의무를 연다.

왜 DORA의 면제가 여기까지 닿지 못하는가

여기서는 평소보다 더 정밀해야 한다. 잘못된 답을 낳는 추론이 사실은 진짜 좋은 추론이고, 다만 규정 하나를 더 건너갔을 뿐이기 때문이다.

NIS2 제4조는 물러남의 장치를 담고 있다. 분야별 EU 법령이 사업자에게 사이버보안 위험관리 조치를 채택하거나 중대한 사고를 신고하도록 요구하고, 그 요구가 효과 면에서 최소한 동등하다면, 해당 NIS2 조항은 적용되지 않는다. DORA가 바로 그런 법령이다. 그래서 신용기관은 DORA에 따라 ICT 위험을 관리하고 중대 사고를 신고하며, NIS2의 병행 의무는 물러난다. 어느 규제대응 부서든 이것을 외울 수 있다.

이 유추를 CRA로 옮기는 순간 세 곳이 부러진다.

그 장치는 NIS2 안에 산다. 제4조는 지침 (EU) 2022/2555의 조항이 지침 (EU) 2022/2555의 조항을 배제하는 규정이다. 금융회사의 분야별 체제가 나머지 전부를 밀어낸다는 일반 원칙이 아니다. 규정 (EU) 2024/2847 안으로 손을 뻗어 무언가를 끌 수 없다. CRA 안에 그것에 종속된 것이 아무것도 없기 때문이다.

CRA는 제품을 규율하지 사업자를 규율하지 않는다. DORA와 NIS2는 둘 다 당신은 어떤 조직인가를 묻는다. CRA는 당신이 무엇을 시장에 내놓았는가를 묻는다. 서로 다른 질문이고, 둘 사이의 동등성 논변은 성립하지 않는다. DORA의 보고 체제가 "출하된 산출물이 악용되고 있음을 CSIRT에 알릴 제조자의 의무"와 "효과 면에서 동등"하다는 의미는 어디에도 없다. 보호 대상이 다르기 때문이다. DORA는 감독자를 통해 금융 시스템을 보호한다. 제14조는 CSIRT 네트워크를 통해 그 제품을 돌리는 모든 이를 보호한다.

제외의 모양이 다르다. CRA의 적용범위 조항이 덜어내는 것은 다른 분야별 제품 법령의 대상이 되는 제품이다 — 규정 (EU) 2017/745 및 2017/746상의 의료기기, 규정 (EU) 2019/2144상의 차량, 규정 (EU) 2018/1139상의 민간항공, 지침 2014/90/EU상의 선박 장비. 여기에 동일한 사양으로 제조된 예비 부품과, 오로지 국가안보 또는 국방 목적으로 개발된 제품이 더해진다. 금융서비스 제외도, DORA 규율 대상 사업자가 제조한 제품에 대한 제외도 없다. 이는 지침이 나중에 바로잡을 누락이 아니다. 입법자가 제품법을 쓸 때 벌어지는 일이다. 산업을 제외하지 않고, 다른 제품 법제를 제외한다.

표 1: 세 체제, 그리고 물러나는 것은 무엇인가

	DORA	NIS2	CRA
규율 대상	금융회사	필수·중요 사업자	디지털 요소를 지닌 제품
의무를 지는 자	해당 기관	해당 기관	제조자
보고 방아쇠	중대로 분류된 사고	중대한 사고	적극적으로 악용된 취약점 또는 중대 사고
보고 대상	소관 당국	CSIRT 또는 소관 당국	주된 사업장의 CSIRT, 그리고 ENISA
은행에 대해 배제되는가	아니다 — 그 자체가 특별법	그렇다, NIS2 제4조를 통해	아니다 — 무엇도 배제하지 않는다

당신은 제조자인가? 아무도 당신 대신 답해 주지 않았다

여기서 정직한 입장은, 이 질문이 정리된 것이 아니라 열려 있다는 것, 그리고 정리되기를 기다리는 은행은 기한을 넘겨서까지 기다리게 되리라는 것이다.

CRA는 시장에 공급되는 디지털 요소를 지닌 제품에 미친다 — 상업 활동 과정에서 유통 또는 사용을 위해 공급되는 것. 이 표현에서 곧바로 두 가지 귀결이 나온다.

가격은 기준이 아니다. 무상으로 공급되는 소프트웨어도 상업 활동 과정에서 공급된다면 범위에 들어온다. 오픈소스에 관한 집행위원회 자신의 정리도 지불이 아니라 상업 활동을 축으로 삼는다. 그리고 유료 고객을 확보하고 응대하기 위해 애플리케이션을 배포하는 은행은 상업 활동 과정 밖에서 행위하고 있지 않다. "앱을 공짜로 주니까 제품을 파는 게 아니다"라는 직관은 이 사안이 열리지 않은 가장 흔한 이유이며, 가용한 논변 중 가장 약한 것이다.

순수 내부용 소프트웨어는 실제로 범위 밖이다. 시장에 공급되지 않는 제품 — 코어뱅킹 플랫폼, 사내 도구, 기관 밖으로 결코 공급되지 않는 모든 것 — 은 포섭되지 않는다. 이는 실재하는 상당한 제외이며, 이 분석의 공포 버전이 시사하는 것보다 노출이 좁은 이유이기도 하다.

따라서 질문은 은행이 사업자로서 범위에 드는가가 아니다. 어떤 구체적 산출물을 공급하는가다. 누구든 결론에 이르기 전에 목록화할 가치가 있는 네 가지 범주가 있다.

모바일 뱅킹 애플리케이션. 앱스토어를 통해 일반 공중에 배포된다. 고객 대면 앱이 사용을 위해 공급된 제품인지, 아니면 은행이 제공하는 서비스로 가는 인터페이스일 뿐인지가 진짜로 다투어지는 질문이다 — 다투어지는 것이지, 은행에 유리하게 정리된 것이 아니다.
개발자 대상 산출물: 기업 고객이나 파트너를 위해 공개하는 SDK, 클라이언트 라이브러리, API 도구, 참조 구현. 이들은 공급된 제품에 훨씬 가깝고 서비스 인터페이스와는 훨씬 멀다.
기관이 상업 활동의 일부로 공개하고 유지하는 오픈소스 프로젝트. 여기서는 관리자(steward) 관련 조항도 함께 작동할 수 있다.
자사 이름으로 파트너에게 재공급하는 화이트라벨 또는 임베디드 소프트웨어. 어느 EU 제품 법제에서든 이용자에서 제조자로 넘어가는 가장 빠른 경로다.

정직한 계획의 자세는 결론을 단언하는 것이 아니다. 산출물을 목록화하고, 각각에 대해 이유를 붙인 입장을 문서로 남기며, CSIRT가 왜 신고가 오지 않았느냐고 물을 때 그 논거를 내보일 수 있게 하는 것이다.

시계의 충돌

분석 결과 적어도 하나의 산출물이 범위에 든다고 잠시 가정하자. 운영상 달라지는 것은 사고 프로세스의 존재 여부가 아니다 — 은행에는 있다 — 이제 같은 사건 위에서 서로 다른 파라미터를 가진 두 프로세스가 돌아간다는 사실이다.

어느 은행이 공개한 SDK의 취약점이 적극적 악용 상태에 들어간다. DORA는 이것이 해당 기관에 영향을 미치는 ICT 관련 중대 사고인지 묻고, 그렇다면 최초 신고는 그 분류로부터 4시간 이내, 그리고 어떤 경우에도 인지로부터 24시간 이내에 소관 당국으로 가며, 뒤에 중간 보고와 최종 보고가 따른다. 제14조는 전혀 다른 것을 묻는다 — 이 기관이 제조한 제품이 악용되고 있는가 — 그리고 자신의 24시간 조기 경보를 CSIRT와 ENISA로 발동한다.

둘은 양방향으로 어긋날 수 있고, 바로 그 점이 하나로 합친 프로세스를 위험하게 만든다.

출하된 SDK에서 악용된 취약점이 은행 자신의 서비스에 아무런 중단도 일으키지 않는다면, DORA상으로는 중대 사고가 전혀 아닐 수 있으면서 동시에 제14조 한복판에 앉는다. 반대로 사내에서 구축한 플랫폼의 심각한 장애는 CRA 차원이 전혀 없는 DORA 신고다. 시장에 내놓은 것이 없기 때문이다. 둘이 항상 함께 발화한다고 전제한 단일 워크플로를 만들면 거짓 음성과 불필요한 규제 소음을 동시에 낳는다.

표 2: 9월 11일 전에 확정해야 할 것

질문	그것이 노출에서 무엇을 결정하는가
우리가 기관 밖으로 공급하는 산출물은 무엇인가?	범위는 제품별로 정해진다. 사업자 단위의 답은 없다
각각에 대해 제조자 해당성 입장을 문서화했는가?	문서화되지 않은 전제는 항변이 되지 않는다
CSIRT 관점에서 우리 주된 사업장은 어디인가?	어느 나라 CSIRT가 제출을 받는지를 정한다
ENISA 단일 보고 플랫폼에 등록되어 있는가?	24시간은 가입 절차의 존재를 발견하기에 부족하다
트리아지에서 "적극적으로 악용"의 담당자가 있는가?	이 방아쇠는 이미 쓰고 있는 어떤 심각도 척도와도 다르다
일요일 새벽 3시에 제출하는 사람은 누구인가?	두 시계 모두 실제 시간으로 돈다. 업무 시간이 아니다

우선순위를 정하는 숫자

부속서 I의 필수 요건과 제13조·제14조 의무 위반은 1,500만 유로 또는 전 세계 연간 총매출액의 2.5% 중 높은 금액까지의 과징금 대상이다. 제조자·수입자·유통자의 다른 의무는 한 단계 아래인 1,000만 유로 또는 2%, 당국에 부정확하거나 오도하는 정보를 제공하는 경우는 500만 유로 또는 1%다.

가장 높은 단계를, 그것이 걸려 있는 작업량과 나란히 읽어 보라. 네 범주의 산출물이 범위에 드는지 판정하고, 보고 플랫폼에 등록하고, 기존 트리아지 런북에 분기 하나를 더하는 일 — 담당자가 정해져 있고 5주의 준비 기간이 있는, 크지 않은 작업이다. 2027년 12월에 기다리는 적합성 평가·기술 문서 프로그램과는 비교가 되지 않는다. 노출과 시정 비용 사이의 비대칭이 논거의 전부이며, 우선순위 회의와의 접촉에서 살아남는 드문 컴플라이언스 논거다.

운영 플레이북

다섯 가지 동작, 그리고 첫 번째는 법률 의견이 아니다.

건물을 떠나는 것을 목록화하라. 시스템이 아니라 산출물이다. 무료 애플리케이션, 공개 라이브러리, 오픈소스 저장소를 포함해 기관이 외부의 누군가에게 공급하는 모든 것. 대부분의 은행에는 이런 목록이 없다. 이전의 어떤 규제도 요구한 적이 없기 때문이다.
산출물별로 입장을 문서로 정하라. 제조자인가 아닌가, 그리고 왜인가. 가치는 모든 줄에서 맞히는 데 있지 않다. 사고 이후에 구성된 것이 아니라 사고에 앞선 논거를 갖는 데 있다.
지금 단일 보고 플랫폼에 가입하라. 등록, 자격증명, 지정 제출자는 24시간 시계가 이미 돌기 시작할 때까지 보이지 않는 전제조건의 전형이다.
트리아지에서 방아쇠를 분리하라. 명시적 질문 하나 — 우리가 제조한 제품이 적극적으로 악용되고 있는가 — 를 추가하고, DORA의 중대 사고 분류와 독립적으로 평가하라. 독립성이 핵심이다. 중첩된 판정은 잘못된 임계값을 물려받는다.
2027년 12월 날짜를 향해 SBOM 작업을 시작하라. 부속서 I은 최소한 최상위 종속성을 포괄하는, 널리 쓰이는 기계판독 형식의 소프트웨어 자재명세서를 요구한다. 이 의무는 16개월 앞에 있고, 각 기관이 암호 쪽에서 이미 실패하고 있는 것과 같은 열거의 문제다.

이 패턴은 새롭지 않다. 특정 산업을 염두에 두고 체제가 기초되고, 금융기관은 그 산업의 이름을 읽고 이 사안이 남의 것이라고 결론짓는다. CRA는 기기 제조사와 소프트웨어 공급자를 위해 쓰였다. 그럼에도 은행에 닿는다 — 은행이 마침 그중 하나인 그 좁은 자리에서. 그리고 모두가 가장 먼저 붙잡을 그 면제는 다른 법률에, 다른 목적으로 쓰였으며, 여기에는 적용되지 않는다.

자주 묻는 질문

우리는 DORA로 보고합니다. 그것으로 충분하지 않습니까?
아닙니다. DORA가 NIS2의 병행 의무를 밀어내는 것은 NIS2 자신의 제4조 물러남 장치에 의한 것입니다. 그 장치는 NIS2 내부의 것이고 규정 (EU) 2024/2847에는 효력을 미치지 않습니다. CRA는 금융회사가 아니라 제품의 제조자에게 의무를 부과하므로, 특별법 논변이 밀어낼 대상 자체가 없습니다.

우리 모바일 뱅킹 앱은 범위에 듭니까?
그것이 진짜로 열려 있는 질문이며, 전제로 삼을 것이 아니라 의식적으로 답해야 합니다. 앱은 데이터 연결을 가진 소프트웨어이고 상업 활동 과정에서 공중에 공급됩니다 — 이것이 법문의 표현입니다. 반대 논거는 그것이 사용을 위해 공급된 제품이 아니라 규제 대상 서비스로 가는 인터페이스라는 것입니다. 입장을 문서화하십시오. 무료라는 사실에 기대지 마십시오. 가격은 기준이 아닙니다.

정확히 무엇이 24시간을 발동시킵니까?
귀사 제품의 취약점이 적극적으로 악용되고 있음을 인지하는 것, 또는 제품 보안에 영향을 미치는 중대 사고를 인지하는 것입니다. 방아쇠는 악용이지 심각도도 고객 영향도 아닙니다 — 그래서 DORA의 중대 사고 분류와 겹치지 않습니다.

실제로 누구에게 제출합니까?
ENISA의 CRA 단일 보고 플랫폼을 통해, 주된 사업장이 있는 회원국에서 조정자로 지정된 CSIRT 앞으로 제출합니다. ENISA가 동시에 수신하고, 수신한 CSIRT가 제품이 유통되는 다른 역내 CSIRT들과 공유합니다. 제출은 여러 번이 아니라 한 번입니다.

9월에 다른 것도 시작됩니까?
아닙니다. 제14조 보고 의무만입니다. 필수 사이버보안 요건, SBOM 의무, 적합성 평가, 기술 문서, CE 마킹은 모두 2027년 12월 11일부터 적용됩니다. 9월을 사안 전체로 여기는 것은 그것을 무시하는 것의 거울상입니다.

적용범위를 잘못 판단하면 대가는?
제13조·제14조 및 부속서 I 필수 요건 위반은 1,500만 유로 또는 전 세계 연간 총매출액의 2.5% 중 높은 금액까지의 과징금 대상입니다. 더 임박한 대가는 절차적입니다. 놓친 조기 경보는 소급해 치유되지 않으며, 한 기관이 자신이 제조자였음을 발견하는 순간이 CSIRT가 왜 신고가 오지 않았느냐고 묻는 순간이어서는 안 됩니다.

참고문헌

유럽의회 및 유럽연합이사회, 2024. 디지털 요소를 지닌 제품에 대한 수평적 사이버보안 요건에 관한 규정 (EU) 2024/2847 (사이버복원력법). 브뤼셀: 유럽연합 관보. 이용 가능: 유럽의회 및 유럽연합이사회, 2024..
유럽집행위원회, 2026. 사이버복원력법 — 보고 의무. 브뤼셀: 통신네트워크·콘텐츠·기술 총국. 이용 가능: 유럽집행위원회, 2026..
유럽집행위원회, 2026. 사이버복원력법 — 입법 문안 요약. 브뤼셀: 통신네트워크·콘텐츠·기술 총국. 이용 가능: 유럽집행위원회, 2026..
유럽의회 및 유럽연합이사회, 2022. 연합 전역의 높은 공통 사이버보안 수준을 위한 조치에 관한 지침 (EU) 2022/2555 (NIS2 지침). 브뤼셀: 유럽연합 관보. 이용 가능: 유럽의회 및 유럽연합이사회, 2022..
유럽의회 및 유럽연합이사회, 2022. 금융 부문의 디지털 운영복원력에 관한 규정 (EU) 2022/2554 (DORA). 브뤼셀: 유럽연합 관보. 이용 가능: 유럽의회 및 유럽연합이사회, 2022..

최종 검토 2026-08-16.

이 기사 재게시

DORA는 NIS2에서 당신을 구했다. CRA에서는 구하지 못한다. — Sebastien Rousseau

9월 11일 CRA의 24시간 보고 시계가 돌기 시작한다. 의무는 제품에 붙으므로 NIS2를 면제해 준 DORA 예외는 여기까지 닿지 않는다.

이 기사의 라이선스는 Creative Commons Attribution 4.0 International. 재게시 시 정규 URL 출처 표시가 필요합니다.

DORA는 NIS2에서 당신을 구했다. CRA에서는 구하지 못한다. — Sebastien Rousseau

9월 11일 CRA의 24시간 보고 시계가 돌기 시작한다. 의무는 제품에 붙으므로 NIS2를 면제해 준 DORA 예외는 여기까지 닿지 않는다.

Originally published at https://sebastienrousseau.com/ko/2026-08-03-cyber-resilience-act-article-14-reporting-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER