디지털 운영 복원력 법(DORA)이란 무엇인가요?

DORA는 금융 기관과 해당 기관의 핵심 제3자 기술 서비스 제공업체가 준수해야 하는 기술 표준을 규정합니다. DORA는 2025년 1월 17일에 처음 시행되었습니다.

DORA는 금융 서비스 부문의 ICT 위험 관리를 포괄적으로 다루고 개별 EU 회원국에 이미 존재하는 ICT 위험 관리 규정을 조화시킨다는 두 가지 주요 목표를 가지고 있습니다.

DORA 이전에 EU의 금융 기관에 대한 위험 관리 규정은 주로 기업이 운영 위험을 감당할 수 있는 충분한 자본을 확보하는 데 중점을 두었습니다. 일부 EU 규제 당국이 ICT 및 보안 위험 관리에 대한 가이드라인을 발표했지만, 이러한 가이드라인이 모든 금융 기관에 동일하게 적용되는 것은 아니며 특정 기술 표준이 아닌 일반적인 원칙에 의존하는 경우가 많습니다. EU 수준의 ICT 위험 관리 규칙이 없는 경우 EU 회원국은 자체 요구 사항을 발표했습니다. 이러한 패치워크 방식의 규정은 금융 기관이 탐색하기 어려운 것으로 입증되었습니다.

DORA를 통해 EU는 금융 부문의 ICT 위험을 관리하고 완화하기 위한 보편적인 프레임워크를 구축하는 것을 목표로 합니다. DORA는 EU 전역의 위험 관리 규정을 조화시킴으로써 서로 다른 EU 국가의 상이한 규정 간에 발생할 수 있는 격차, 중복 및 충돌을 제거하고자 합니다. 공유된 규칙을 사용하면 모든 금융 기관이 동일한 표준을 준수하도록 함으로써 전체 EU 금융 시스템의 복원력을 개선하는 동시에 금융 기관이 규정을 더 쉽게 준수하게 할 수 있습니다.

DORA는 EU의 모든 금융 기관에 적용됩니다. 여기에는 은행, 투자회사, 신용 기관과 같은 전통적인 금융 기관과 암호 자산 서비스 제공자, 크라우드 펀딩 플랫폼과 같은 비전통적인 기관이 포함됩니다.

주목할 점은 DORA가 일반적으로 금융 규제 대상에서 제외되는 일부 조직에도 적용된다는 것입니다. 예를 들어 금융 기관에 ICT 시스템과 서비스를 제공하는 제3자 서비스 제공업체(예: 클라우드 서비스 제공업체 및 데이터 센터)는 DORA의 요구 사항을 준수해야 합니다. DORA는 신용평가 서비스와 데이터 분석 제공업체 등 핵심적인 제3자 정보 서비스를 제공하는 기업에도 적용됩니다.

이처럼 제3자 서비스 제공업체를 규제 대상으로 포함하기 때문에 유럽 외 지역에 있는 기업도 규제 준수 의무를 부담할 수 있습니다. 예를 들어 인도의 많은 기업이 유럽 고객에게 IT 및 비즈니스 프로세스 아웃소싱 서비스를 제공하고 있으며, 이러한 인도 기업은 규정을 준수하기 위해 DORA의 규제 요구 사항을 충족해야 합니다. 이들 기업은 여러 요구 사항 가운데 특히 강력한 사이버 복원력과 비즈니스 연속성 체계를 갖추고 있음을 입증해야 합니다.

DORA는 수년에 걸친 개발 과정을 거쳐 2025년 1월 17일부터 시행 및 집행되고 있습니다. 

DORA는 2020년 9월, EU에서 법안을 발의하는 행정부 역할을 하는 European Commission이 처음 제안했습니다. DORA는 암호자산 규제와 EU의 디지털 금융 전략 강화를 위한 이니셔티브를 포함하는 보다 광범위한 디지털 금융 패키지의 일부였습니다. EU 법률을 승인하는 입법 기관인 Council of the European Union과 European Parliament는 2022년 11월 DORA를 공식 채택했습니다.

법안이 채택된 이후에는 European Supervisory Authorities(ESA)가 주요 세부 사항을 마련했습니다. ESA는 The European Banking Authority(EBA), European Securities and Markets Authority, European Insurance and Occupational Pensions Authority를 포함하는 EU 금융 시스템 감독 기관입니다.

ESA는 규제 대상 조직이 준수해야 하는 규제 기술 표준(RTS)과 이행 기술 표준(ITS)을 마련하는 역할을 담당했습니다. 이러한 표준의 상당수는 2024년에 확정되었습니다. 예를 들어 2024년 3월 규제 당국은 ICT 위험 관리 툴, 방법, 프로세스 및 정책을 구체적으로 규정한 규제 기술 표준을 발표했습니다. 또한 주요 ICT 관련 사고와 사이버 위협을 분류하기 위한 기준도 마련했습니다. 같은 해 European Commission는 핵심 ICT 제공업체를 위한 감독 체계도 마련하기 시작했습니다.

DORA 프레임워크는 2025년 7월 기준으로 완성된 것으로 평가됩니다.

현재 DORA의 집행은 각 EU 회원국에서 '관할 당국'으로 지정된 규제 기관이 담당합니다. 관할 당국은 금융 기관에 특정 보안 조치를 시행하고 취약점을 해결하도록 요구할 수 있습니다. 또한 규정을 준수하지 않는 조직에 행정 처분을 내릴 수 있으며, 경우에 따라 형사 처벌을 부과할 수도 있습니다. 구체적인 제재는 각 회원국이 자체적으로 결정합니다.

유럽연합 집행위원회에서 '중요하다'고 판단한 ICT 제공업체는 ESA의 책임 감독관이 직접 감독합니다. 2025년 11월, 규제 당국은 Amazon, Google, IBM을 포함한 19개 기업을 '중요' 기업으로 지정했습니다.

관할 당국과 마찬가지로 수석 감독관도 보안 조치와 취약점 개선을 요구하고 규정을 준수하지 않는 ICT 제공업체에 제재를 부과할 수 있습니다. DORA는 수석 감독관이 ICT 제공업체에 직전 사업연도 전 세계 일평균 매출액의 1%에 해당하는 과징금을 부과할 수 있도록 규정하고 있습니다. ICT 제공업체는 규정을 준수할 때까지 최대 6개월 동안 매일 과징금을 부과받을 수 있습니다.

DORA는 다음 네 가지 영역에 걸쳐 금융 기관 및 ICT 제공업체에 대한 기술 요구 사항을 설정합니다.

• ICT 리스크 관리 및 거버넌스
• 인시던트 대응 및 보고
• 디지털 운영 복원력 테스트
• 서드파티 위험 관리

정보 공유는 권장되지만 필수는 아닙니다.

DORA의 요구 사항은 비례 원칙에 따라 집행될 것으로 예상되므로, 소규모 조직에는 대형 금융 기관과 동일한 기준이 적용되지 않습니다. 2025년에는 대규모 집행 사례가 큰 주목을 받지는 않았지만, 일부 법률 전문가는 DORA가 성숙 단계에 접어드는 시점으로 2026년을 지목하고 있습니다. PwC Legal의 글로벌 및 유럽 금융 서비스 법률 부문 책임자인 Michael Huertas는 "이사회는 기존의 건전성 지표가 아니라 운영 복원력에 초점을 맞춘 새로운 감독 체계에 대비해야 합니다."라고 설명합니다.

DORA는 조직의 경영진이 ICT 관리에 대한 책임을 지도록 규정합니다. 이사회 구성원, 경영진 및 기타 고위 관리자는 적절한 위험 관리 전략을 수립하고, 이를 적극적으로 실행하며, ICT 위험 환경에 대한 최신 이해를 유지해야 합니다. 또한 경영진은 조직의 규정 미준수에 대해 개인적인 책임을 질 수도 있습니다.

대상 기업은 포괄적인 ICT 위험 관리 프레임워크를 개발해야 합니다. 기업은 ICT 시스템을 매핑해야 합니다. 중요한 자산과 기능을 식별하고 분류합니다. 자산, 시스템, 프로세스 및 공급자 간의 종속성을 문서화합니다. 기업은 ICT 시스템에 대한 지속적인 위험 평가를 수행하고, 사이버 위협을 문서화 및 분류하고, 확인된 위험을 완화하기 위한 단계를 문서화해야 합니다.

위험 평가의 일환으로 조직은 특정 시나리오와 심각한 장애가 비즈니스에 미치는 영향을 평가하기 위해 비즈니스 영향 분석을 수행해야 합니다. 조직은 이러한 분석 결과를 바탕으로 위험 허용 수준을 설정하고 ICT 인프라 설계에 반영합니다. 조직은 사이버 보안 보호 조치도 적절히 구현해야 합니다. 여기에는 ID 및 액세스 관리(IAM)와 패치 관리 정책은 물론, 확장형 탐지 및 대응(XDR) 시스템, 보안 정보 및 이벤트 관리(SIEM) 소프트웨어, 보안 오케스트레이션, 자동화 및 대응(SOAR) 툴과 같은 기술적 통제도 포함됩니다.

또한 기업은 ICT 서비스 장애, 자연재해, 사이버 공격 등 다양한 사이버 위험 시나리오에 대비한 비즈니스 연속성 및 재해 복구 계획을 수립해야 합니다. 이러한 계획에는 데이터 백업 및 복구 조치, 시스템 복원 프로세스, 영향을 받는 고객, 파트너 및 당국과의 통신 계획이 포함되어야 합니다.

규제 대상 조직은 ICT 관련 사고를 모니터링, 관리, 기록, 분류 및 보고하기 위한 체계를 구축해야 합니다. 사고의 심각도에 따라 조직은 규제 기관뿐 아니라 영향을 받은 고객과 파트너에게도 사고를 보고해야 할 수 있습니다.

중대한 사고가 발생한 경우 조직은 세 가지 유형의 보고서를 제출해야 합니다. 여기에는 당국에 사고를 알리는 최초 보고서, 사고 해결 진행 상황을 담은 중간 보고서, 사고의 근본 원인을 분석한 최종 보고서가 포함됩니다.

사고 관리, 사고 분류 방식, 보고 대상 사고, 보고 기한에 관한 규정은 2024년 3월에 공개되었습니다.

ESA는 EU 전역의 중앙 보고 허브와 공통 보고서 양식을 마련하여 보고 절차를 간소화하는 방안도 검토해 왔습니다. 2025년 1월 ESA는 '주요 ICT 관련 사고 보고의 추가 중앙집중화 가능성에 관한 보고서'를 발간했습니다. 이 보고서는 "단일 EU 허브 시나리오는 실현 가능하며 일정한 이점을 제공한다"고 결론 내렸지만, 이러한 허브를 구축하는 데에는 최소 5년이 필요하다고 설명합니다. 현재로서는 국가별 보고 체계가 운영되고 있습니다. 

기업은 보호 강도를 평가하고 취약점을 식별하기 위해 ICT 시스템을 정기적으로 테스트해야 합니다. 이러한 테스트 결과와 발견된 약점을 해결하기 위한 계획은 관련 관할 당국에 보고되고 검증됩니다.

조직은 취약점 평가와 시나리오 기반 테스트를 포함한 기본적인 테스트를 매년 실시해야 합니다. 금융 시스템에서 핵심적인 역할을 수행하는 것으로 평가된 금융 기관은 위협 기반 침투 테스트(TLPT)도 3년마다 수행해야 합니다. 조직의 핵심 ICT 제공업체도 이러한 침투 테스트에 참여해야 합니다. TLPT 수행 방식에 관한 기술 표준은 2025년 6월 18일 EU 관보에 게재되었으며, 20일 후 시행되었습니다.

DORA의 독특한 측면 중 하나는 금융 기관뿐만 아니라 금융 부문에 서비스를 제공하는 ICT 제공업체에도 적용된다는 점입니다.

금융 기관은 ICT 제3자 위험의 위험 평가 및 관리에 적극적으로 참여해야 합니다. 핵심적이거나 중요한 기능을 아웃소싱하는 경우 금융 기관은 종료 전략, 감사, 가용성·무결성·보안에 대한 성과 목표 등을 포함한 구체적인 계약 조건을 마련해야 합니다. 조직은 이러한 요구 사항을 충족하지 못하는 ICT 제공업체와 계약을 체결해서는 안 됩니다. 관할 당국은 규정을 준수하지 않는 계약을 중단하거나 해지하도록 명령할 수 있습니다. 

금융 기관은 제3자 ICT 의존 관계를 파악하고, 핵심적이거나 중요한 기능이 특정 제공업체 또는 소수의 제공업체에 과도하게 집중되지 않도록 해야 합니다.

핵심 ICT 제3자 서비스 제공업체는 해당 ESA의 직접적인 감독을 받게 됩니다. 앞서 설명한 것처럼 현재 19개 기업이 이러한 기준을 충족하고 있으며, 각 기업에는 ESA 가운데 하나가 수석 감독 기관으로 지정됩니다. 수석 감독 기관은 핵심 ICT 제공업체의 DORA 준수를 감독하는 것뿐만 아니라, DORA를 준수하지 않는 금융 기관 또는 다른 ICT 제공업체와 계약을 체결하지 못하도록 명령할 권한도 가집니다.

금융 기관은 내부 및 외부 ICT 관련 사고로부터 교훈을 얻기 위한 절차를 마련해야 합니다. 이를 위해 DORA는 금융 기관이 자발적인 위협 인텔리전스 공유 체계에 참여하도록 권장합니다. 이러한 방식으로 공유되는 정보도 관련 지침에 따라 보호되어야 합니다. 예를 들어, 개인 식별 정보는 여전히 일반 데이터 보호 규정(GDPR)의 적용을 받습니다.