DORA 규정, 즉 디지털 운영 복원력법은 금융 부문의 사이버 복원력에 관한 EU 법률입니다. 금융기관이 사이버 보안 및 IT 위험을 어떻게 다뤄야 하는지 정합니다. 쉽게 말해 EU 내 모든 은행, 결제회사, 투자회사, 보험사, 암호화폐 거래소는 해킹, 클라우드 장애 또는 소프트웨어 업데이트 오류가 발생해도 업무를 계속할 수 있어야 하며, 의존하는 IT 공급업체도 관리해야 합니다.
이 안내문은 법률 또는 IT 배경지식이 없는 분들을 위해 작성되었습니다. DORA의 적용 대상, 요구사항, 사고 보고 기한, NIS2 및 GDPR과의 차이, 제재, 핀테크 및 암호화폐 기업에 대한 의미와 간단한 DORA 준수 점검표를 다룹니다.
쉽게 말해 DORA란 무엇인가요?
DORA는 EU DORA 또는 DORA 법이라고도 하며, 금융 부문의 디지털 운영 복원력에 관한 규정 (EU) 2022/2554입니다. “디지털 운영 복원력”은 복잡하게 들리지만 뜻은 하나입니다. IT에 문제가 생겼을 때 회사가 고객에게 계속 서비스를 제공할 수 있는가입니다. 해커가 침입하거나 업데이트가 실패하고 공급업체가 오프라인이 되어도 결제는 처리되고, 고객은 로그인할 수 있으며, 데이터는 안전한가를 묻는 것입니다. DORA는 이 질문을 모범 관행이 아닌 법적 의무로 만듭니다.
DORA 이전에는 EU 국가와 금융 부문마다 IT 보안 규칙과 사고 양식이 제각각이었습니다. DORA는 이 복잡한 체계를 EU 금융 부문 전체에 적용되는 단일 규정집으로 대체합니다. 지침이 아닌 규정이므로 모든 회원국에 문언 그대로 직접 적용되며, 별도의 국내법으로 발효시킬 필요가 없습니다.
DORA 준수 기한은 이미 지났습니다. 채택 후 2년의 준비 기간은 끝났고, 모든 DORA 의무가 시행 중이며 각국 금융 감독기관이 이를 점검하고 있습니다. DORA 체계는 다섯 가지 축으로 이루어지며, 이 안내문에서는 각각을 설명합니다.
- ICT 위험 관리 — 경영기구(이사회)가 책임지는 IT 위험에 대한 서면 계획
- ICT 관련 사고 관리 및 보고 — IT 사고의 식별, 기록 및 감독기관 보고
- 디지털 운영 복원력 테스트 — 정기 취약점 점검부터 전면적인 “레드팀” 공격 시뮬레이션까지
- ICT 제3자 위험 관리 — 회사가 의존하는 IT 공급업체의 관리 및 전체 공급업체 등록부 유지
- 정보 공유 — 금융기관 간 위협 인텔리전스의 자발적 교환
기술이 아닌 결과
DORA는 어떤 소프트웨어나 공급업체를 사용해야 하는지 정하지 않습니다. 대신 복원력 확보, 문제 탐지, 신속한 복구, 공급업체 통제라는 결과를 요구합니다. 이사회는 그러한 결과가 달성되었음을 입증할 책임이 있으며, 이사는 IT 위험에 관한 지식을 최신으로 유지해야 합니다(규정은 교육을 명시적으로 언급합니다). 모든 것을 IT 부서에 맡기고 잊는 행위가 바로 DORA가 금지하는 것입니다.
DORA 핵심 용어 해설
DORA 규정의 모든 조항, 감독 양식 및 공급업체 계약에는 몇 가지 정의된 용어가 반복해서 등장합니다. 이를 알면 나머지 내용을 훨씬 쉽게 이해할 수 있습니다.
| 금융기관 | 규정이 허가받은 금융회사를 부르는 말입니다. 제2조에 열거된 20개 유형 중 하나입니다. 해당 허가를 보유하고 있다면 DORA의 적용 대상입니다. |
|---|---|
| ICT 제3자 서비스 제공업체 | 클라우드 호스팅, 소프트웨어, 데이터 피드, 관리형 보안, 결제 처리 등 금융기관에 IT를 공급하는 모든 회사입니다. |
| 중요 ICT 제3자 제공업체(CTPP) | 주요 클라우드 플랫폼처럼 많은 회사가 의존하여 EU 당국이 주관 감독관의 직접 감독 대상으로 지정한 매우 큰 제공업체입니다. |
| 중요 또는 핵심 기능 | 중단될 경우 회사 재무에 중대한 피해를 주거나 법적 의무를 위반하게 하거나 허가 서비스가 중단되는 업무 기능입니다. 결제와 고객 계좌가 대표적입니다. |
| 중대한 ICT 관련 사고 | 영향을 받은 고객 수, 지속 기간, 유실 데이터 또는 금전적 규모가 일정 기준을 넘어 감독기관에 의무 보고해야 하는 IT 사고입니다. |
| 위협 기반 침투 테스트(TLPT) | 윤리적 해커가 실제 공격자처럼 운영 중인 시스템을 공격하는 고도화된 테스트입니다. 감독기관이 지정한 회사는 최소 3년마다 해야 하며, 감독기관은 더 자주 요구할 수 있습니다. |
| 정보 등록부 | 회사가 체결한 모든 IT 계약의 구조화된 목록으로, 최신 상태로 유지하고 최소 연 1회 감독기관에 제출합니다. |
| 규제 기술 표준(RTS) | EU 당국이 규정을 구체화하기 위해 제정하는 양식, 기준치, 방법 등 상세한 실행 규칙입니다. |
DORA는 누구에게 적용되나요?
DORA의 적용 범위는 20개 금융기관 범주를 열거한 제2조에서 정합니다. 특정 면제가 적용되지 않는 한 EU 어디에서든 이 허가 중 하나를 보유한 금융기관은 규모와 관계없이 적용 대상입니다. 주요 그룹은 다음과 같습니다.
| 부문 | 적용 대상 | 알아둘 점 |
|---|---|---|
| 은행 및 결제 | 은행, 결제기관, 전자화폐기관, 계좌정보서비스 제공업체 | MiCA상 전자화폐 토큰 발행인은 은행 또는 전자화폐기관이어야 하므로 적용 대상입니다. |
| 투자 및 펀드 | 투자회사, 펀드운용사(AIFMs 및 UCITS), 거래소, 중앙청산소, 중앙예탁기관 | 소규모 비상호연계 투자회사는 완화된 체계를 따릅니다. |
| 암호자산 | 암호자산 서비스 제공업체 및 자산연동토큰 발행인 | 모두 MiCA에 따라 인가되며, 허가가 부여되는 날부터 적용됩니다. |
| 보험 및 연금 | 보험회사, 재보험회사, 보험중개인, 직업연금기금 | 영세·소규모·중간 규모 중개인은 면제됩니다. |
| 시장 데이터 및 인프라 | 신용평가사, 데이터 보고 제공업체, 거래·증권화 정보저장소, 중요 벤치마크 관리자 | 이들 중 일부는 EU 차원에서 직접 감독됩니다. |
| 기타 | 크라우드펀딩 플랫폼, ICT 제3자 서비스 제공업체 | IT 제공업체 적용 방식은 아래를 참고하세요. |
IT 회사 자체는 어떨까요? 클라우드 플랫폼, 데이터센터, 소프트웨어 공급업체 및 관리형 보안회사는 금융기관은 아니지만, DORA는 두 방식으로 이들에게 영향을 미칩니다. 첫째, 모든 금융기관은 이들과의 계약에 DORA 방식의 조항을 넣어야 하므로 거부하는 공급업체는 고객을 잃을 수 있습니다. 둘째, 대형 클라우드·데이터센터·통신·금융 소프트웨어 공급업체는 중요 ICT 제3자 제공업체로 지정되어 EU 차원에서 직접 감독되며, 목록은 매년 갱신됩니다.
DORA는 비EU 회사에도 적용될까요? 직접 적용 대상은 EU에서 허가받은 회사뿐이며, 여기에는 영국·미국·아시아 그룹의 EU 자회사와 지점이 포함됩니다. 그러나 EU 금융회사에 서비스를 제공하는 외국 공급업체는 소재지와 무관하게 의무 계약 조항의 간접 적용을 받습니다. 중요 제공업체로 지정된 비EU 제공업체는 12개월 이내에 EU 자회사를 설립해야 합니다.
마지막으로 DORA는 비례적으로 적용됩니다. 금융기관의 규모와 복잡성이 클수록 의무도 커집니다. 직원 10명 미만이고 매출 또는 대차대조표가 200만 유로 미만인 초소형기업은 위협 기반 침투 테스트와 일부 거버넌스·보고 의무를 면제받습니다. 소규모 비상호연계 투자회사 및 특정 면제 결제·전자화폐기관 같은 일정 소규모 회사는 제16조에 따른 간소화된 ICT 위험 관리 체계를 따릅니다. 규모가 작다고 허가받은 회사가 DORA 적용 대상에서 제외되는 것은 아니며, 부담만 줄어듭니다.
DORA 요구사항: 다섯 가지 축
DORA 준수 요구사항은 다섯 그룹으로 나뉩니다. 함께 예방, 탐지, 대응, 복구, 학습의 한 주기를 이루며, 규제기관은 각 단계의 증빙을 기대합니다.
ICT 위험 관리 체계(제5조~제16조)
쉽게 말해 보유한 IT를 파악하고, 어떤 문제가 생길 수 있는지 알고, 이를 보호하고 복구하기 위한 서면 계획을 마련하는 것입니다. 체계에는 IT 자산과 의존 관계, 문제 예방·탐지·대응·복구 방식 및 사고에서 배우는 방식이 포함되어야 합니다. 최소 연 1회와 모든 중대 사고 후에 검토합니다. 경영기구가 이를 승인하고, 허용 가능한 위험 수준과 예산을 결정합니다. 핵심 기능을 매핑하고 백업을 실제로 테스트해야 하며, 회사의 일반 연속성 계획과 연계된 IT 연속성 계획도 있어야 합니다.
사고 보고: 4시간, 72시간 및 1개월 기한
모든 ICT 관련 사고는 EU 전역에서 동일한 기준으로 기록하고 등급을 매겨야 합니다. 영향 고객 수, 평판 훼손 정도, 지속 시간, 확산 범위, 유실 데이터, 서비스 중요도 및 금전적 규모를 고려합니다. 기준을 넘는 사고는 “중대” 사고이며 세 단계로 감독기관에 보고해야 합니다. 중대로 판단한 후 4시간 이내(회사가 인지한 때로부터 늦어도 24시간 이내)에 최초 통지, 최초 통지 후 72시간 이내에 중간 보고서, 중간 보고서 후 1개월 이내에 최종 보고서를 제출합니다. 돈이나 데이터에 영향받은 고객에게는 지체 없이 알려야 합니다. 사고로 이어지지 않은 심각한 사이버 위협은 자발적으로 보고할 수 있습니다.
복원력 테스트 및 위협 기반 침투 테스트(TLPT)
디지털 운영 복원력 테스트는 연간 프로그램입니다. 중요 또는 핵심 기능을 지원하는 모든 시스템은 취약점 점검, 갭 분석, 소스코드 검토, 시나리오 테스트, 성능 테스트 및 침투 테스트를 거쳐야 합니다. 규모나 실패 시 영향 때문에 감독기관이 중요하다고 판단한 회사는 최소 3년마다 위협 기반 침투 테스트도 실시해야 합니다. 이는 인정된 체계에 따라 자격을 갖춘 윤리적 해커가 운영 시스템에 수행하는 통제된 공격입니다. 초소형기업과 간소화 체계 대상 회사는 TLPT가 면제되며 더 완화된 위험 기반 일정으로 테스트합니다.
제3자 위험, 아웃소싱 및 정보 등록부
클라우드 서비스 제공업체 등을 통해 IT를 아웃소싱해도 책임까지 아웃소싱되는 것은 아닙니다. ICT 제3자 위험 관리는 공급업체 위험에 대한 서면 전략으로 시작합니다. 계약 전 공급업체를 검토하고, 단일 제공업체에 과도하게 의존하지 않으며, 모든 IT 계약의 구조화된 목록인 정보 등록부를 유지해 최소 연 1회 감독기관에 제출해야 합니다. 계약에는 서비스 내용과 약정 수준, 데이터 저장 위치, 검사·감사 권리, 사고 시 지원 의무, 계약 해지 방법 및 필요시 다른 제공업체로 이전하는 방법 등 정해진 조항이 포함되어야 합니다. 공급업체가 EU 차원에서 감독되는 중요 제공업체여도 회사는 전적인 책임을 집니다.
사이버 위협 정보 공유
금융기관은 신뢰할 수 있는 그룹 안에서 공격 패턴이나 침해지표 등 위협 인텔리전스를 교환할 수 있습니다. 참여는 의무가 아니지만, 참여하는 회사는 감독기관에 알려야 하며, 정보 교환은 기밀유지 및 데이터 보호 규칙을 준수해야 합니다.
DORA, NIS2, GDPR: 규칙은 어떻게 함께 적용되나요?
EU의 세 법률은 사이버 복원력 및 사고 보고 영역에서 중복되며, 많은 금융기관이 둘 이상에 적용됩니다. 아래 표는 각각의 적용 대상과 보고 기한의 차이를 보여 줍니다.
| 항목 | DORA | NIS2 지침 | GDPR |
|---|---|---|---|
| 적용 대상 | 금융회사 및 그 IT 제공업체 | 은행을 포함한 18개 중요 부문의 필수 및 중요 기관 | 개인 데이터를 처리하는 모든 사람 |
| 보호 대상 | 금융 서비스 및 IT의 연속성 | 중요 부문의 네트워크 및 정보 보안 | 개인의 개인 데이터 |
| 최초 보고 기한 | 등급 분류 후 4시간 이내, 인지 후 최대 24시간 | 24시간 이내 조기 경보 | 데이터 보호 당국에 72시간 이내 |
| 후속 보고 | 72시간 내 중간 보고, 1개월 내 최종 보고 | 72시간 내 통지, 1개월 내 최종 보고 | 사실이 확인되는 대로 단계별 보고 |
| 법적 형식 | 규정 — 직접 적용 | 지침 — 각국이 자체 법률 제정 | 규정 — 직접 적용 |
| 상호 관계 | 금융회사에는 특별법으로서 NIS2보다 우선 | DORA가 정하지 않은 경우에만 금융회사에 적용 | 병행 적용되며 하나의 사고가 둘 모두를 유발할 수 있음 |
실무상 금융회사는 IT 사고를 국가 사이버보안 기관이 아니라 금융 감독기관에 보고합니다. GDPR은 병행 적용됩니다. 사이버 공격으로 고객 데이터가 유출되면 회사는 DORA에 따라 금융 감독기관에, GDPR에 따라 데이터 보호 당국에 각각 다른 기한으로 두 번 보고해야 합니다.
DORA와 암호자산: CASP 및 토큰 발행인에 대한 의미
암호자산 사업에서 DORA 규정과 MiCA 체계는 한 쌍으로 작동합니다. MiCA는 EU에서 누가 암호자산 서비스를 제공하거나 토큰을 발행할 수 있는지 정하고, DORA는 그 서비스의 기반 기술을 어떻게 운영해야 하는지 정합니다. MiCA에 따라 인가받은 암호자산 서비스 제공업체는 허가가 부여되는 즉시 DORA상 금융기관이 되며, 자산연동토큰 발행인도 마찬가지입니다. MiCA 자체가 IT 및 보안 요건에 대해 DORA를 가리키므로 모든 감독기관은 둘을 함께 해석합니다.
실무에서는 복원력을 사후뿐 아니라 허가 절차 자체에서 검토합니다. 감독기관이 CASP 신청을 심사할 때 IT 위험 체계, 사업 연속성 계획, 사고 절차 및 아웃소싱 체계가 신청 서류의 일부이며, DORA가 평가 기준입니다. 암호화폐 거래소나 수탁업체는 문서상으로만 존재하는 복원력 계획으로 허가를 받거나 유지할 수 없습니다.
암호자산 회사에는 은행에 없는 IT 의존성도 있습니다. 개인키 보관, 블록체인 노드 제공업체, 제3자 지갑 인프라, 스마트 계약 구성요소, 유지보수 중단 시간이 없는 24시간 거래 시장 등이 그러합니다. DORA에 따라 이들 각각은 목록화, 등급 분류, 계약 및 테스트가 필요한 IT 자산 또는 공급업체 관계입니다. 호스팅, 키 관리 또는 블록체인 인프라의 무허가 공급업체도 고객 계약을 통해 DORA를 준수하게 됩니다.
DORA 미준수 시 제재, 벌금 및 처벌
EU 전역에 단일한 DORA 제재표가 있는 것은 아닙니다. 대신 제50조는 각 회원국에 “효과적이고 비례적이며 억지력 있는” 제재를 정하도록 하고, 감독기관에는 문서 요구, 검사, 시정 명령 및 경고 공표 권한을 부여합니다. 각 회원국의 국가 관할 당국이 부문별 허가 법률에 따라 제재를 적용하므로, 은행·결제회사·암호화폐 거래소는 각자의 부문별 제재 체계를 적용받습니다.
전 세계 일평균 매출의 1%라는 “DORA 벌금”을 본 적이 있을 수 있습니다. 이 수치는 실제이지만 대상은 금융회사가 아닙니다. 감독 결정을 무시하는 중요 ICT 제3자 제공업체에 대해 유럽 감독당국이 최대 6개월간 부과할 수 있는 일일 제재금입니다. 흔히 함께 언급되는 “연간 매출의 2%” 역시 DORA에 없으며, NIS2에서 회원국이 필수 기관에 정해야 하는 최소 상한입니다. 금융회사에 현실적으로 발생할 수 있는 결과는 다음과 같습니다.
- 감독 조치 — 시정 명령, 활동 제한 및 심각한 경우 허가 정지 또는 취소
- 부문별 국내법에 따른 행정 벌금
- DORA가 이사회에 IT 체계 책임을 부여하므로 이사회 구성원의 개인 책임
- 제52조가 허용하므로 이를 추가하기로 한 국가에서의 형사 책임
- 평판 및 상업적 손해 — 고객, 은행 파트너 및 투자자 상실
MiCA 인가 기업의 허가 위험
암호자산 서비스 제공업체에 가장 큰 위험은 허가 자체입니다. 건전한 IT 거버넌스는 MiCA 허가 취득 조건이므로, 반복적인 DORA 위반은 일회성 준수 위반이 아니라 인가 요건을 더 이상 충족하지 못하는 것으로 취급될 수 있습니다.
DORA는 누가 감독하나요? 국가 및 EU 규제기관
일상적인 DORA 감독은 해당 회사를 이미 인가한 규제기관, 즉 본국 회원국의 중앙은행 또는 금융감독 당국이 담당합니다. 이 관할 당국은 사고 보고서와 정보 등록부를 받고, TLPT 실시 대상을 결정하며, 통상 감독의 일부로 ICT 위험 관리 체계를 점검합니다. 대부분 웹사이트에 DORA 지침, 양식 및 기한을 게시합니다.
EU 차원에서는 세 기관이 역할을 나눕니다. 유럽증권시장감독청, 유럽은행감독청 및 보험·연금 감독기관인 EIOPA입니다. 이들은 세부 사항을 정하는 기술 표준을 작성하고 중요 ICT 제3자 제공업체를 공동 지정합니다. 지정된 제공업체는 세 기관 중 하나의 주관 감독관이 감독합니다.
DORA 준수 점검표: 준수 방법
회사가 허가를 신청 중이든 이미 감독받고 있든, 감사 시 동일한 문서 묶음으로 DORA 준수를 입증합니다. DORA 이행 계획 또는 갭 분석을 위한 실용적인 출발점은 다음과 같습니다.
- 적용 범위를 확인합니다. 제2조상 어느 범주에 해당하는지, 간소화 체계 또는 초소형기업 면제가 적용되는지 확인합니다.
- 중요 또는 핵심 기능을 지원하는 모든 IT 자산, 시스템 및 데이터 흐름을 매핑합니다.
- 책임자를 지정하고 연례 검토를 포함한 이사회 승인 ICT 위험 관리 정책을 채택합니다.
- 법정 기한에 맞는 사고 등급 분류, 사고 기록부 및 보고 양식을 마련합니다.
- 연간 테스트 일정을 수립하고 감독기관이 회사를 TLPT 목록에 올렸는지 확인합니다.
- 모든 IT 제공업체의 정보 등록부를 작성하고 의무 조항을 반영해 계약을 갱신합니다.
- 집중 위험을 점검하고 핵심 기능을 지원하는 제공업체별 종료 계획을 작성합니다.
- 최소 연 1회 백업, 복구 및 IT 연속성 계획을 테스트합니다.
- 이사회에 교육을 실시하고 교육이 이루어졌다는 증빙을 보관합니다.
Eesti Firma는 핀테크 및 암호자산 회사에 DORA의 법률 측면을 자문합니다. 적용 의무 확인, IT 체계와 MiCA 인가 요건의 정렬, 공급업체 계약 검토 및 감독기관이 요구하는 문서 준비를 지원합니다. 귀사의 사업에 이 규정이 어떻게 적용되는지 상담하려면 문의해 주세요.
DORA 자주 묻는 질문
DORA는 디지털 운영 복원력법(Digital Operational Resilience Act)의 약자입니다. 금융 부문의 ICT 위험 관리, 사고 보고, 복원력 테스트 및 제3자 위험에 관한 통일된 규칙을 담은 EU 규정입니다. 모든 회원국에 직접 적용되며 전면 시행 중입니다.
은행, 결제·전자화폐기관, 투자회사, 펀드운용사, 보험회사, 암호자산 서비스 제공업체 및 시장 인프라 등 EU에서 허가받은 20개 범주의 금융기관에 적용됩니다. 계약 및 EU 감독을 통해 이들에 서비스를 제공하는 IT 제공업체에도 적용됩니다.
예. 채택 후 준비 기간이 끝나 모든 의무가 전면 적용됩니다. 감독기관은 이제 DORA를 향후 프로젝트가 아니라 통상적인 인가 및 검사 업무의 일부로 다룹니다.
EU에서 허가받은 자회사와 지점에만 직접 적용됩니다. EU 금융회사에 서비스를 제공하는 비EU 공급업체는 의무 계약 조건을 통해 간접적으로 구속되며, 중요 제공업체로 지정된 비EU 제공업체는 12개월 이내에 EU 자회사를 설립해야 합니다.
NIS2는 중요 부문을 위한 일반 사이버보안 지침이고, DORA는 금융 부문을 위한 특별 규정입니다. 둘 다 적용될 수 있는 경우 ICT 위험 관리 및 사고 보고에는 DORA가 우선하며, 금융회사는 국가 사이버보안 기관이 아닌 금융 감독기관에 보고합니다.
예. MiCA에 따라 허가받은 암호자산 서비스 제공업체와 자산연동토큰 발행인은 DORA상 금융기관입니다. 전자화폐 토큰 발행인은 은행 또는 전자화폐기관으로서 적용됩니다. 이들 회사의 무허가 공급업체는 계약 조건을 통해 간접적으로 DORA를 준수합니다.
세 단계로 보고합니다. 사고를 중대로 분류한 후 4시간 이내이면서 인지 후 늦어도 24시간 이내에 최초 통지, 최초 통지 후 72시간 이내에 중간 보고서, 중간 보고서 후 1개월 이내에 최종 보고서를 제출합니다.
금융회사 제재는 제50조에 따라 국내법으로 정하고 국가 감독기관이 집행합니다. 시정 명령, 벌금, 허가 취소까지 가능할 수 있습니다. 전 세계 일평균 매출의 1%는 금융회사가 아니라 EU 감독을 받는 중요 ICT 제3자 제공업체에 대한 제재금입니다.
예, 다만 비례적으로 적용됩니다. 초소형기업은 위협 기반 침투 테스트, 고정된 연간 테스트 요건 및 일부 거버넌스 의무가 면제되며, 일정 소규모 회사는 간소화된 ICT 위험 관리 체계를 따릅니다. 규모가 작다고 허가받은 회사가 적용 범위에서 제외되지는 않습니다.
