NIS2 + EU AI Act
문서 기준: 2026년 8월
NIS2(사이버보안 지침)와 EU AI Act(AI 규제법)는 서로 다른 목적의 법이지만, 클라우드·AI 워크로드를 운영하는 조직에는 함께 검토해야 할 요건을 만듭니다. NIS2는 “필수·중요 서비스를 제공하는 조직의 사이버보안 의무”를, EU AI Act는 “AI 시스템의 위험도에 따른 규제 의무”를 다룹니다. 두 법 모두 최근 EU 집행위원회의 “간소화(Simplification)” 흐름 속에서 개정·연기가 진행되고 있어, 최신 시행 시점을 정확히 구분해서 추적할 필요가 있습니다.
NIS2 — 사이버보안 의무
섹션 제목: “NIS2 — 사이버보안 의무”NIS2 지침(Directive (EU) 2022/2555) 은 2023년 1월 16일 발효되었고, 회원국의 국내법 전환(transposition) 기한은 2024년 10월 17일 이었습니다.
대상 범위
섹션 제목: “대상 범위”NIS2는 조직을 리스크 수준에 따라 두 그룹으로 나눕니다.
| 구분 | 대상 예시 |
|---|---|
| 필수 기관 (Essential Entities) | 에너지, 운송, 은행, 금융시장 인프라, 보건, 상하수도, 디지털 인프라(클라우드 서비스 제공자 포함), ICT 서비스 관리, 공공행정, 우주 |
| 중요 기관 (Important Entities) | 우편·택배, 폐기물 관리, 화학, 식품, 제조업, 디지털 제공자(온라인 마켓플레이스 등), 연구기관 |
인시던트 보고 기한
섹션 제목: “인시던트 보고 기한”NIS2는 단계적 보고 기한을 규정합니다.
- 24시간 이내 — 조기 경보(early warning)
- 72시간 이내 — 인시던트 통지 + 초기 영향 평가
- 1개월 이내 — 최종 보고서
회원국 전환 현황
섹션 제목: “회원국 전환 현황”또한 2026년 1월 20일 EU 집행위원회가 발표한 Cybersecurity Act 2(CSA2) 개정안은 NIS2도 함께 손보는 패키지의 일부로, 국가 간 상이한 이행을 간소화하는 방향을 포함하고 있어 향후 NIS2 요건 자체가 조정될 가능성이 있습니다.
EU AI Act 타임라인
섹션 제목: “EU AI Act 타임라인”EU AI Act(Regulation (EU) 2024/1689) 는 2024년 8월 1일 발효되었고, 조항별로 시차를 두고 적용되는 구조입니다.
| 시점 | 적용 내용 |
|---|---|
| 2025.2.2 | 금지된 AI 관행(사회적 점수화, 실시간 원격 생체 식별 등) + AI 리터러시 의무 시행 |
| 2025.8.2 | GPAI(범용 AI 모델) 제공자 의무 시행 — 투명성, 저작권, 안전·보안 문서화 의무. 단 집행(제재) 권한은 2026.8.2부터 발동되어 첫 1년은 사실상 유예 기간 |
| 2026.8.2 | ① 제50조(Article 50) 투명성 의무 발효 — AI와 상호작용하는 사용자 고지, AI 생성·조작 콘텐츠(딥페이크 포함)의 기계 판독 가능한 표시(marking) 의무. ② GPAI 제재 권한 발동 + 회원국 시장감시기관의 전면적 집행 권한 개시 |
| 원래 고위험 AI 시스템(Annex III) 의무의 적용 시점이었으나 아래 Digital Omnibus로 연기됨 |
Digital Omnibus에 따른 고위험 AI 의무 연기 (확인 완료)
섹션 제목: “Digital Omnibus에 따른 고위험 AI 의무 연기 (확인 완료)”2026년 상반기 EU 입법기관이 AI Act Digital Omnibus에 잠정 합의했고, 2026년 6월 16일 유럽의회 본회의 표결(찬성 423·반대 57·기권 174)에 이어 2026년 6월 29일 EU 이사회(Council)가 최종 승인했습니다. 핵심 변경 사항은 다음과 같습니다.
- 독립형 고위험 AI 시스템(Annex III): 적용 시점을 2026.8.2 → 2027.12.2 로 16개월 연기
- 규제 대상 제품에 내장된 AI(Annex I, 의료기기·기계류 등): 적용 시점을 2027.8.2 → 2028.8.2 로 12개월 연기
- 신규 조항 추가: AI 생성 비동의 성적 이미지(“nudifier” 앱)와 아동성착취물(CSAM) 관련 금지 행위를 제5조 금지 관행에 추가
제50조 투명성 의무 발효 (2026.8.2)
섹션 제목: “제50조 투명성 의무 발효 (2026.8.2)”Digital Omnibus로 고위험 AI 의무는 연기되었지만, 제50조 투명성 의무는 예정대로 2026년 8월 2일 발효되었습니다. 두 시점을 혼동하면 안 됩니다. 제50조는 위험 등급과 무관하게 넓은 범위의 AI 시스템에 적용됩니다.
- AI 상호작용 고지: 챗봇 등 자연인과 상호작용하는 AI 시스템은 사용자가 AI와 대화 중임을 인지하도록 알려야 합니다(명백한 경우 예외).
- 합성 콘텐츠 표시: AI가 생성·조작한 오디오·이미지·비디오·텍스트(딥페이크 포함)는 기계 판독 가능한 형식으로 표시해야 하며, 딥페이크 배포자는 인위적 생성 사실을 공개해야 합니다.
- 유예 기간: Digital Omnibus가 신설한 **제111조(4)**에 따라 2026년 8월 2일 이전에 이미 시장에 출시된 생성형 시스템은 제50조 표시 요건 이행에 2026년 12월 2일까지 유예가 부여됩니다.
- 제재 수준: 제50조 위반은 EU AI Act 제99조(4)의 국가 벌금 밴드에 해당해 최대 1,500만 유로 또는 전 세계 연매출의 3% 중 높은 금액의 과징금 대상입니다.
클라우드 아키텍처·AI 워크로드 실무 영향
섹션 제목: “클라우드 아키텍처·AI 워크로드 실무 영향”- NIS2 인시던트 대응 자동화: 24시간·72시간이라는 짧은 보고 기한을 수동 프로세스로 맞추기는 어렵습니다. 클라우드 벤더의 인시던트 알림 SLA와 자사 SOC(Security Operations Center) 프로세스를 연계해 보고 기한을 역산 설계해야 합니다.
- 공급망 실사 문서화: NIS2 필수/중요 기관이라면 클라우드·ICT 벤더의 NIS2 대응 현황(인증, 보안 통제)을 계약·감사 프로세스에 포함해야 합니다.
- 고위험 AI 의무 연기는 “안심”이 아니라 “시간 확보”로 해석: Annex III 고위험 AI 의무가 2027년 12월로 늦춰졌지만, 데이터 거버넌스·모델 문서화·인적 감독 체계는 준비에 시간이 걸리므로 지금부터 설계에 반영하는 것이 유리합니다. 특히 고위험 분류 대상(채용, 신용평가, 법 집행 관련 등) 워크로드를 운영·계획 중이라면 데이터 계보(lineage)·감사 로그 체계를 조기에 갖추는 것을 권장합니다.
- GPAI 의무는 이미 적용 중: 자체 파운데이션 모델을 개발·제공하거나 GPAI 모델을 임베딩한 서비스를 EU에 제공한다면, 투명성·저작권·안전성 문서화 의무를 이미 준수해야 합니다.
- 합성 콘텐츠 표시 의무는 지금 적용 중: 생성형 AI로 이미지·오디오·비디오·텍스트를 만들어 EU에 제공한다면, 2026.8.2부터 제50조 표시(marking) 의무가 적용됩니다. 기존 출시 시스템은 2026.12.2까지 유예가 있으나, 콘텐츠 출처 표시(예: C2PA 등 워터마킹/프로버넌스 메타데이터)와 딥페이크 공개 절차를 파이프라인에 조기 반영하는 것이 안전합니다.
- 최신 상태 재확인 필수: NIS2 전환 상태와 AI Act 세부 시행령(이행 표준, 고위험 분류 가이드라인)은 계속 갱신되므로, 프로젝트 착수 시점에 공식 출처에서 재확인하는 프로세스를 두는 것이 안전합니다.