[EU 데이터·보안 전략] 독일 GDPR·NIS2

🕒 바쁜 분들을 위한 3줄 요약

1. NIS2 지침 이행으로 독일 내 적용 대상 기업이 약 3만 개까지 확대되었습니다. 제조·디지털 서비스 등 중견 기업 상당수가 새로 규제 대상에 포함됩니다.

2. GDPR 과징금은 2025년 한 해 EU 전체 12억 유로 수준으로, 독일에서도 통신·리테일·SaaS 등 다양한 업종이 제재를 받았습니다.

3. 앞으로는 ISO 27001 등 인증만으로는 충분하지 않으며, 독일 법인·지사 기준으로 NIS2·GDPR 역할(컨트롤러/프로세서), 보안조치, 계약 구조를 다시 설계해야 합니다.

1. GDPR vs NIS2, 무엇이 다를까요?

2. 우리 회사가 NIS2 대상인지부터 확인해야 합니다

• 전통적 중요 인프라 (필수/중요): 에너지, 교통, 금융, 헬스케어, 상하수도, 공공 행정 등

• 디지털 인프라: 클라우드 컴퓨팅 서비스, 데이터센터, DNS 서비스 제공업체 등

• 신규 포함 범주 (중요): 제조(기계, 차량 등), 식품, 우편·택배, 폐기물 관리, 연구 기관, 우주, 디지털 서비스(온라인 마켓플레이스, 검색 엔진, SNS 등)

• 일반 기준: 직원 50명 이상이면서 연간 매출액 또는 자산 총액이 1,000만 유로(약 145억 원) 이상인 기업

• 특례 기준: 일부 핵심 섹터(디지털 인프라 등)의 경우, 위 규모와 관계없이 NIS2 대상이 될 수 있습니다.

💡 장지원 변호사의 리걸 인사이트(Legal insight) 한국 본사에서는 “우리는 일반적인 IT 서비스 회사인데?”라고 판단하기 쉽습니다. 하지만 독일 법인이나 지사가 제공하는 서비스의 성격이나 인프라 연결성에 따라 NIS2 대상에 편입될 수 있습니다. 특히 독일 대기업의 공급망에 속해 있다면 고객사로부터 NIS2 준수 증명을 요구받을 수 있으므로 선제적인 검토가 반드시 필요합니다.

3. 경영진의 책임과 과징금: 단순 IT 부서의 문제가 아닙니다

• 과징금 규모: 위반 정도에 따라 전 세계 매출액의 최대 4% 또는 2,000만 유로 중 더 높은 금액이 부과될 수 있습니다.

• 실제 사례: 2025년에는 개별 사건에서 1억 유로(약 1,450억 원)에 육박하는 제재금이 부과된 사례가 등장했습니다.

• 독일 내 동향: 대형 통신사, 리테일, 기술 기업들이 반복적으로 거액의 과징금과 시정명령을 받으며 규제당국의 엄격한 집행이 이어지고 있습니다.

• 감독 의무 명시: 경영진은 사이버 보안 조치의 이행을 직접 감독해야 할 법적 의무를 집니다.

• 개인 제재 가능성: 고의 또는 중과실이 인정되는 경우, 경영진 개인에 대한 제재 및 직무 정지까지도 허용됩니다.

💡 장지원 변호사의 리걸 인사이트(Legal insight) 이제 사이버 보안과 데이터 보호는 단순히 "IT 부서가 챙겨야 할 기술적 이슈"가 아닙니다. 위반 시 매출 대비 과징금은 물론, 경영진의 직무 수행에 직접적인 타격을 줄 수 있는 법적 근거가 마련되었기 때문입니다. 따라서 이사회와 경영진 수준에서 이를 기업 전략 및 리스크 관리의 핵심 아젠다로 다루고 직접 승인·감독하는 체계를 갖추는 것이 무엇보다 중요합니다.

4. ISO 27001이 있어도, NIS2·GDPR을 별도로 챙겨야 합니다

• 위험 기반 접근 방식 (Risk-based approach)

• 접근 통제, 암호화, 로그 관리, 백업 체계

• 기본적인 사고 대응 프로세스 구축

• NIS2: 특정 섹터별로 매우 구체적인 사고 보고 기한(예: 초기 통지 24시간 이내)과 국가 기관 통지 절차를 요구합니다. 단순한 사고 대응을 넘어 '법정 기한 내 보고'가 핵심입니다.

• GDPR: 데이터 주체의 권리(열람·정정·삭제·이동성 등), 합법적 처리 근거 마련, 개인정보보호 책임자(DPO) 지정, 개인정보 영향평가(DPIA) 등 매우 상세한 법적 절차 준수를 요구합니다.

💡 장지원 변호사의 리걸 인사이트(Legal insight) ISO 27001이 기술적·관리적 보안의 튼튼한 기초라면, NIS2와 GDPR은 그 토대 위에서 수행해야 하는 '법적 의무이자 행정적 약속'입니다. 특히 독일 당국은 사고 발생 시 인증의 유무보다 "법에서 정한 24시간 혹은 72시간 내에 적절한 보고와 조치가 이루어졌는가"를 기준으로 과징금을 결정합니다. 따라서 기존 인증 체계에 NIS2와 GDPR이 요구하는 사고 보고 체계 및 문서화 절차를 별도로 구축·정비하는 작업이 반드시 수반되어야 합니다.

5. 한국-독일 거버넌스에 따른 컨트롤러 및 프로세서 지위 설정

• 본사 주도형(HQ Control): 한국 본사가 글로벌 서비스 기획 및 데이터베이스(DB)를 직접 통제하고, 독일 법인은 현지 영업과 고객 지원 역할만 수행하는 경우입니다. 이 구조에서는 본사가 컨트롤러, 독일 법인이 프로세서(또는 공동 컨트롤러)로 평가될 가능성이 높습니다.

• 개발·운영 외주형(Subcontracting): 독일 법인이 현지 고객 데이터를 관리하고 한국 본사는 시스템 개발이나 유지보수 등 순수한 하청 업무만 수행하는 경우입니다. 이때는 독일 법인이 컨트롤러, 한국 본사가 프로세서의 지위를 갖게 됩니다.

6. 실제 제재 사례에서 배우는 3가지 교훈

1. 과도한 데이터 수집: 마케팅 동의 없이 광고 프로파일링을 하거나 필수 서비스에 불필요한 민감정보를 요구하여 제재받은 사례가 많습니다.

2. 보안 설정 미비로 인한 유출: 암호화 미비나 테스트 환경 노출 등으로 대규모 고객 데이터가 유출된 경우입니다. 기술적 조치는 물론 공급망(외주 개발 등)의 권한 관리까지 점검해야 합니다.

3. 문서화 및 보고 체계 부재: 사고 인지 후 72시간 내 감독기관 통지에 실패하여 추가 제재를 받는 사례가 빈번합니다.

7. 법인 설립과 동시에 ‘데이터·보안 구조’를 설계하세요

• 규제 대상 진단 및 갭 분석: 독일 법인·지사의 비즈니스 성격에 따른 GDPR 및 NIS2 적용 여부 확인 및 기존 보안 체계와의 차이 분석

• 글로벌 데이터 구조 설계: 한국 본사-독일 법인-독일 고객·파트너 간의 실질적 역할에 따른 컨트롤러(Controller)/프로세서(Processor) 관계 정립

• 법률 문서 및 대응 체계 정비: 데이터 처리 계약(DPA), 보안 조항 등 핵심 계약서 작성 및 내부 규정, 실전 사고 대응 플랜(Incident Response Plan) 구축