DORA 준수 요건은 공급업체 계약에서 그치지 않습니다

주요 내용

• DORA의 정보 등록부에는 지속적으로 제공되는 기술 서비스 계약이 기재되어 있으므로, 계약 없이 다운로드한 라이브러리는 대개 여기에 포함되지 않습니다.
• 법적 구속력이 있는 기술 표준에 따라, 핵심적이거나 중요한 기능을 지원하는 서비스에서 사용되는 오픈소스 라이브러리를 추적해야 합니다.
• 금융 기관의 시스템에 포함된 소프트웨어는 공급업체와의 계약 체결 여부와 관계없이 위험 관리 규정의 적용을 받습니다.

DORA 준수 요건은 정보 등록부에 해당 오픈소스 라이브러리가 등재되어 있지 않더라도 적용됩니다. EU의 디지털 운영 복원력 법(DORA)은 공급업체 계약 규정과는 별도로 마련된 정보통신기술(ICT) 위험 관리에 관한 기술 표준에서 이러한 라이브러리를 명시하고 있습니다.

정보 등록부는 금융 기관이 진행 중인 ICT 서비스 계약 내역을 관리하는 목록입니다. 도서관이 이 목록에 포함되는지는 유료 지원 계약과 같은 계약이 그 배후에 있는지 여부에 달려 있습니다. 도서관 시스템에서 해당 서비스가 운영되는 한, 위험 관리 규정은 어느 쪽이든 도서관에 적용됩니다. 따라서 정보 등록부에 포함되지 않더라도, 해당 서비스는 귀하가 사용하는 소프트웨어 목록에 포함되어야 합니다. 해당 목록에 도서관이 누락되어 있다면, 이는 DORA가 요구하는 기록에 공백이 있는 것입니다. 감독 당국은 이를 시정하도록 명령할 수 있으며, 각 회원국은 DORA 위반에 대한 제재 조치를 정하고 있습니다. 당국은 최종 제재 결정을 공표합니다.

DORA 준수 요건은 어떤 조직에 적용되나요?

DORA는 신용기관, 결제 및 전자화폐 기관, 투자회사, 보험사, 암호자산 서비스 제공업체, 중앙청산소, 거래소 등 20개 범주의 금융 기관에 적용됩니다. 해당 기관들에 기술 서비스를 제공하는 ICT 제3자 서비스 제공업체는 별도로 분류되며, ‘중요’로 지정된 경우에만 EU의 직접적인 감독을 받게 됩니다.

일부 기관은 적용 대상에서 제외되는데, 여기에는 특정 소규모 대체투자 펀드 운용사 및 보험사, 가입자 수가 15명 이하인 연금 기관, 우체국 지로 기관(지급 계정을 운영하는 우체국 은행) 등이 포함됩니다. 또한 회원국은 EU 은행 지침에 따라 자체 규정에서 면제되는 특정 기관을 적용 대상에서 제외할 수도 있습니다.

규모가 작고 상호 연결되지 않은 투자 회사, 면제 대상 결제 및 전자화폐 기관, 소규모 연금 기관(가입자 100명 미만), 그리고 회원국이 적용 범위에 포함시키는 면제 대상 은행 지침 기관의 경우, 기술 표준에 별도의 규칙이 명시된 간소화된 ICT 위험 관리 프레임워크가 적용됩니다. 해당 기관에 해당된다면, 먼저 이 부분부터 시작하십시오. 그 외의 모든 기관은 규모와 위험 프로필에 맞춰 조정된 전체 프레임워크를 따라야 하며, 본 기사의 나머지 내용도 이에 따라 설명됩니다.

레지스터는 계약을 기반으로 구성되어 있습니다

DORA의 주요 법적 근거는 (EU) 2022/2554호 규정이며, 이하에서는 ‘이 규정’이라 칭한다. 이 규정의 제3조는 ICT 제3자 서비스 제공자를 ICT 서비스를 제공하는 사업자로 정의하고, ICT 서비스를 ICT 시스템을 통해 지속적으로 제공되는 디지털 및 데이터 서비스로 정의한다. 등록부, 계약 조건 및 탈퇴 규정은 모두 해당 유형의 서비스를 제공하는 제공자에게 적용된다.

제28조 제3항에 따라, 귀하는 해당 서비스에 대한 모든 계약적 약정에 관한 정보를 등록부에 기재해야 하며, 이 중 핵심 기능 또는 중요 기능을 지원하는 약정은 나머지 약정과 구분하여 관리해야 합니다. 핵심 기능 또는 중요 기능이란, 해당 기능의 중단이 해당 기관의 재정, 서비스 또는 인가 조건 충족 능력에 중대한 해를 끼칠 수 있는 기능을 말합니다. 귀하는 적어도 1년에 한 번, 새로운 계약에 대해 해당 서비스를 제공하는 주체와 해당 계약이 포함하는 서비스 및 기능을 포함하여 관할 당국에 보고해야 합니다. 또한 요청이 있을 경우 전체 등록부를 제출해야 합니다. 등록부의 표준 양식은 유럽연합 집행위원회 시행규정 2024/2956에 명시되어 있습니다.

제30조는 최소 계약 기간을 규정하고 있으며, 제28조 제8항은 핵심 또는 중요한 기능을 지원하는 서비스에 대한 철수 전략을 요구합니다. 해당 서비스 계약에서 하도급을 허용하는 경우, 제29조에 따라 귀하는 길거나 복잡한 공급망에 따른 위험을 포함하여 관련 위험 요소를 종합적으로 검토해야 합니다. 규제 기술 표준(RTS)인 위원회 위임규정 2025/532는 해당 서비스가 하도급될 때 귀하가 결정하고 평가해야 할 요소를 명시하고 있습니다. 또한 등록부의 양식에는 해당 서비스를 실질적으로 뒷받침하는 각 하도급업체가 기록됩니다.

참고: 유럽 감독 당국(ESAs)은 유럽은행감독청(EBA) 웹사이트에 등록 정보 보고와 관련된 직원용 FAQ를 게시하고 있습니다. 이 문서에 따르면, 지속적인 유지보수, 지원 또는 업데이트가 없는 정적 솔루션의 일회성 구매는 ICT 서비스에 해당하지 않는다고 명시되어 있습니다. 이는 직원용 지침일 뿐, ESA의 공식 입장은 아닙니다.

중요 서비스 제공업체는 유럽감독청(ESAs), 즉 유럽은행청(EBA), 유럽보험·직업연금청(EIOPA), 유럽증권시장청(ESMA)이 운영하는 별도의 감독 체제에 속합니다. 이들 기관은 2025년 11월 18일에 지정된 중요 ICT 제3자 서비스 제공업체의 첫 번째 목록을 발표했으며, 매년 이를 갱신해야 합니다. 이 지정은 ICT 서비스를 제공하는 사업체에 적용되므로, 오픈 소스 라이브러리 자체는 해당 대상이 아닙니다. 계약 없이 다운로드하는 라이브러리는 어떤 제공자도 이를 지속적인 서비스 형태로 제공하지 않기 때문에, 등록 대상, 계약 규정 및 핵심 제공자 감독의 적용을 받지 않습니다. 하지만 해당 라이브러리는 여전히 DORA의 ICT 위험 관리 규정의 적용을 받으며, 이 규정에서는 이를 해당 기관이 사용하는 소프트웨어로 간주합니다.

규칙서에서 오픈 소스 라이브러리가 등장하는 부분

오픈 소스 소프트웨어를 명시한 DORA 준수 요건은 ICT 위험 관리 기준에 포함되어 있습니다. 이 규정은 ICT 자산을 해당 기관이 사용하는 네트워크 및 정보 시스템 내의 소프트웨어 또는 하드웨어 자산으로 정의합니다. 제6조는 컴퓨터 소프트웨어를 포함한 ICT 자산의 보호를 요구하며, 제8조는 해당 자산을 식별·분류·문서화하고, 상호 의존 관계를 파악하며, 자산 목록을 관리할 것을 요구합니다.

이 표에는 도서관에 가장 직접적인 영향을 미치는 규제 요건들이 나열되어 있습니다. 여기서 “RTS 2024/1774”는 ICT 위험 관리에 관한 RTS인 유럽집행위원회 위임규정 2024/1774를 의미합니다.

규정에 따르면, 제25조 제1항은 금융 기관의 복원력 테스트 프로그램에서 적절한 테스트의 한 예로 “오픈 소스 분석”을 취약점 스캔, 가능한 경우 소스 코드 검토 및 침투 테스트와 함께 열거하고 있다.

중요하거나 핵심적인 기능을 지원하지 않는 서비스에 사용되는 상용 구성 요소의 경우에도, RTS 2024/1774 제10조에 따라 해당 구성 요소가 사용하는 타사 및 오픈 소스 라이브러리를 가능한 한 추적해야 합니다.

이 규정은 레거시 ICT 시스템을 ‘현재도 사용 중이며 해당 기관의 기능을 지원하지만, 수명 주기가 종료되었거나, 기술적 또는 상업적 이유로 업그레이드나 수정이 불가능하거나, 공급업체나 제3자 ICT 서비스 제공업체로부터 더 이상 지원을 받지 못하는 시스템’으로 정의합니다. 이 정의는 ICT 시스템 전체를 포괄합니다. 각 기관은 지원이 중단된 라이브러리가 해당 라이브러리를 실행하는 시스템을 레거시 시스템으로 만드는지 여부를 결정하고 기록해야 합니다. 직원 수가 10명 미만이고 매출액 또는 대차대조표 총액이 200만 유로 이하인 소규모 금융 기관인 초소규모 기업은 연간 레거시 검토 대상에서 제외됩니다.

해당 도서관이 등록부에 등재되어 있는지 여부는 여러분에게 어떻게 전달되느냐에 따라 달라집니다.

시스템에서 실행되는 모든 라이브러리는 해당 기관이 사용하는 소프트웨어로 간주되므로, 위험 관리 규칙이 적용됩니다. 제3자 규칙 및 등록 의무가 적용되는지 여부는 해당 라이브러리가 ICT 서비스를 통해 귀하에게 제공되는지 여부에 따라 달라집니다.

무엇이 ICT 서비스에 해당하는지는 해당 기관의 판단에 달려 있습니다. 유럽연합 집행위원회가 유럽감독청(ESAs)을 통해 발표한 Q&A 2999에 따르면, 이 정의는 의도적으로 광범위하게 설정되었으며, 구체적인 판단은 금융 기관에 맡겨져 있습니다. 도서관의 경우, 지원 또는 배포 계약이 ICT 서비스에 해당하여 등록 대상인지 여부는 도서관 측에서 결정해야 합니다.

라이브러리가 공급업체의 제품이나 호스팅 서비스에 내장된 경우, 해당 라이브러리를 제공하는 공급업체는 대개 ICT 서비스를 제공하는 사업자에 해당하지만, 라이브러리의 유지보수 담당자는 거의 해당되지 않습니다. 따라서 계약 규정은 공급업체에 적용되지만, 사용자가 사용하는 시스템에서 실행되는 라이브러리는 여전히 사용자의 위험 관리 규정에 따릅니다.

핵심 기능을 담당하는 도서관을 위한 간단한 체크리스트

이 DORA 준수 체크리스트의 각 항목은 해당 항목의 근거가 되는 법적 근거를 명시하고 있으며, 귀하가 전체 프레임워크의 적용을 받고 있음을 전제로 합니다.

• 인벤토리. 귀하의 인벤토리에는 핵심 또는 중요한 기능을 지원하는 소프트웨어와 해당 소프트웨어 간의 상호 연결 방식이 포함됩니다(규정 제8조).
• 추적. 해당 기능을 지원하는 서비스에서 사용하는 타사 및 오픈 소스 라이브러리를 추적하고, 필요한 경우 제공업체와 협력하여 해당 라이브러리의 버전 및 업데이트를 모니터링해야 합니다(RTS 2024/1774, 제10조).
• 테스트. 가능한 경우, 오픈 소스 코드는本番 환경에 적용되기 전에 분석 및 테스트를 거치며, 소프트웨어 패키지는 통합 단계까지 보안 테스트를 완료해야 한다(RTS 2024/1774, 제16조).
• 악성 코드. 귀사의 보안 절차에는 악성 코드에 대한 대응 조치가 포함되어 있으며, 승인된 소프트웨어만 시스템에 설치될 수 있도록 해야 합니다(RTS 2024/1774, 제11조).
• 패치. 문서화된 패치 및 업데이트 정책에는 마감 기한과 에스컬레이션 절차가 명시되어 있습니다(규정 제9조; RTS 2024/1774 제10조). 해결책이 새 버전으로의 업그레이드뿐인 경우, “그냥 업그레이드하면 된다”는 조언이 왜 부적절한 보안 조언인지에서 설명한 바와 같이, 업그레이드 자체로 인해 호환성 문제가 발생할 수 있습니다.
• 레거시 시스템. 초소규모 기업을 제외하고는, 레거시 ICT 시스템에 대해 최소한 매년 한 번씩 구체적인 위험 평가를 실시해야 합니다(규정 제8조).
• 등록부. 정보 등록부에는 지속적인 서비스에 해당하는 소프트웨어 계약을 포함하여 ICT 서비스에 관한 모든 계약 내용이 기재되어 있으며, 특정 도서관이 등록부에 포함되지 않은 사유를 명시할 수 있습니다(규정 제28조).
• 역할. 경영진은 ICT 관련 기능과 그 조정 방식에 대해 명확한 역할을 정해야 합니다(규정, 제5조). 초소규모 기업을 제외하고는, 통제 기능이 도서관 위험을 포함한 ICT 위험을 관리하고 감독합니다(규정, 제6조). 규정에는 도서관 추적 업무를 담당할 팀이 구체적으로 명시되어 있지 않으므로, ICT 위험 팀과 제3자 위험 팀 중 어느 쪽이 이를 처리할지 결정해야 합니다.

가장 중요한 기능 하나부터 시작하세요

계약 없이 다운로드한 라이브러리는 레지스터에 표시되지 않으므로, 해당 라이브러리는 자체 시스템에서 찾아야 합니다. 핵심적이거나 중요한 기능 하나를 선택하고, 간접적으로 포함되는 라이브러리를 포함하여 그 아래에 해당 라이브러리 목록을 작성하십시오. 활성 업스트림 유지보수자가 없거나 사용 중인 버전에 대한 업스트림 수정 사항이 없는 라이브러리는 표시해 두십시오. 그런 다음 각 라이브러리에 대해 교체, 수정된 릴리스가 있다면 해당 릴리스로 업그레이드, 또는 현재 실행 중인 버전에 패치를 적용하는 등 적절한 조치를 결정하십시오. 하나의 기능만으로도 구체적인 문제점 목록을 도출하고 나머지 소프트웨어의 규모를 파악할 수 있는 방법을 마련하기에 충분합니다.

패치 방식을 선택한다면 SecureChain을 고려해 볼 만합니다. 이 서비스는 각 오픈소스 패키지가 사용자에게 전달되기 전에 소스 코드를 스캔하여 알려진 악성코드나 의심스러운 코드 패턴을 탐지한 뒤, 동일한 소스 코드를 기반으로 패키지를 재컴파일합니다. 또한 SLA에 따라 해당 패키지에 새로 공개된 CVE를 수정해 줍니다. 각 패키지에는 인벤토리 관리를 위한 SBOM과, 사용 중인 버전에 영향을 미치는 CVE 정보를 담은 VEX 데이터가 함께 제공됩니다. SLSA 레벨 3 출처 정보는 해당 패키지가 스캔된 소스 코드를 기반으로 재빌드되었음을 보여줍니다. 업스트림 유지보수자가 보안 수정 사항 제공을 중단하면, Endless Lifecycle Support(ELS)가 해당 패키지를 자동으로 인수합니다. SecureChain과 ELS는 JavaScript, Python, Java, Go 및 PHP 생태계에서 사용할 수 있습니다.

자주 묻는 질문

DORA 규정 준수가란 무엇인가요?

DORA 준수는 금융 기관이 EU의 ‘디지털 운영 복원력 법(DORA)’, 즉 규정 (EU) 2022/2554 및 관련 기술 표준을 준수함을 의미합니다. 그 목적은 기술적 장애 발생 시에도 서비스를 지속적으로 운영할 수 있도록 하는 것입니다. 이 규정은 2025년 1월 17일부터 시행되고 있습니다.

DORA 준수 요건에는 어떤 것들이 있나요?

EU의 ‘디지털 운영 복원력 법(DORA)’은 다섯 가지 분야를 다룹니다. 이는 정보통신기술(ICT) 위험 관리, 중대한 ICT 사고 보고, 복원력 테스트, ICT 제3자 위험 관리, 사이버 위협 정보 공유입니다. 기술 표준을 통해 이들 중 다수에 대한 세부 사항이 규정되어 있습니다.

누가 DORA 준수 요건을 충족해야 합니까?

‘디지털 운영 복원력법(DORA)’은 신용기관, 결제기관, 투자회사, 보험사, 거래소 등 20개 범주의 금융 기관을 대상으로 합니다. 일부 기관은 적용 대상에서 제외되며, 특정 소규모 기관은 간소화된 위험 관리 체계를 따릅니다. 기술 서비스 제공업체는 ‘핵심’으로 지정된 경우에만 직접적인 감독을 받습니다.

오픈 소스 라이브러리는 DORA 정보 등록부에 포함되어 있습니까?

‘디지털 운영 복원력법(DORA)’ 정보 등록부에는 지속적으로 제공되는 정보통신기술(ICT) 서비스 계약이 기재되어 있습니다. 공공 기관의 등록부에 등재된 도서관의 경우 대개 이러한 계약이 없으므로 목록에 포함되지 않습니다. 유료 지원 서비스를 이용하면 상황이 달라질 수 있습니다. 어느 쪽이든, 해당 기관이 사용하는 소프트웨어로서 도서관에는 여전히 위험 관리 규정이 적용됩니다.

DORA에는 오픈 소스 소프트웨어에 대한 언급이 있나요?

네. ‘디지털 운영 복원력법(DORA)’에 따른 기술 표준인 위원회 위임규정 (EU) 2024/1774에 따르면, 금융 기관은 핵심 또는 중요한 기능을 지원하는 정보통신기술(ICT) 서비스에서 사용되는 오픈소스 라이브러리를 추적해야 합니다. 또한 가능한 경우, 오픈소스 코드를本番 환경에 적용하기 전에 테스트해야 합니다.

DORA 미준수 시 어떤 제재가 부과되나요?

‘디지털 운영 복원력법(DORA)’은 금융 기관에 대한 과징금 수준을 각 회원국에 위임하고 있으며, 회원국은 이를 효과적이고, 비례적이며, 억제력이 있는 수준으로 책정해야 합니다. 관할 당국은 해당 기관에 위반 행위를 중단하고 시정 조치를 취하도록 명령할 수 있으며, 최종 과징금 결정 내용을 공표합니다. 핵심 기술 제공업체의 경우, 전 세계 일일 평균 매출액의 최대 1%에 해당하는 별도의 EU 차원의 과징금이 부과되며, 이는 최대 6개월 동안 매일 계산됩니다.

DORA에 따라 의존성 위험의 책임은 누구에게 있는가?

‘디지털 운영 복원력법(DORA)’은 소규모 기업을 제외한 모든 금융 기관이 정보통신기술(ICT) 위험을 관리하고 감독할 책임이 있는 통제 기능을 지정하도록 요구하고 있습니다. 이 법은 어떤 팀이 라이브러리를 추적해야 하는지에 대해서는 명시하지 않습니다. 해당 역할은 경영진이 정하므로, 각 기관은 자사의 ICT 위험 팀이나 제3자 위험 팀 중 어느 쪽이 추적 업무를 수행할지 결정합니다.

요약

기사 이름

DORA 준수 요건, 오픈소스 라이브러리까지 확대

설명

DORA 준수 요건은 공급업체 계약이 없는 오픈 소스 라이브러리에도 적용됩니다. DORA 등록 목록에 포함되지 않은 라이브러리도 여전히 추적 및 패치 관리가 필요합니다.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고