DORA(The Digital Operational Resilience Act)의 이해

Digital Operational Resilience Act는 금융 기관과 정보통신기술(ICT) 파트너가 사이버 위험을 관리하는 방법을 목표로 하는 유럽 연합(EU) 규정입니다. 이 규정은 구속력 있는 감독 프레임워크를 만들고 EU 금융 엔터티와 해당 서비스 제공업체가 ICT 시스템에서 구현해야 하는 기술 표준을 규정하고 있습니다.

The European Commission proposed DORA in September 2020. Regulation (EU) 2022/2554 was adopted in December 2022, entered into force on January 16, 2023, and became applicable on January 17, 2025. The European Supervisory Authorities subsequently developed regulatory and implementing technical standards that provide additional detail on areas such as ICT risk management, incident classification and reporting, registers of information, third-party arrangements, resilience testing, and oversight.

각 EU 회원국은 규정 준수를 강제할 책임이 있습니다. A designated regulator, or “competent authority,” can request entities to take specific security measures and remediate known vulnerabilities.

The European Supervisory Authorities designate critical ICT third-party providers and assign a Lead Overseer. Under the DORA oversight framework, a Lead Overseer may request information, conduct investigations and inspections, issue recommendations, and impose periodic penalty payments in circumstances specified by the regulation. Enforcement measures applicable to financial entities are administered through the relevant competent authorities and national frameworks.

DORA applies directly to the financial institutions operating in the EU financial sector, including banks, credit institutions, investment firms, and insurance companies.

It also significantly affects ICT third-party service providers because financial entities must assess provider risk, maintain information about ICT contracts, and include specified provisions in relevant agreements. ICT providers designated as critical by the European Supervisory Authorities are additionally subject to direct EU oversight. 즉, EU 금융 부문에 ICT 시스템을 제공하는 모든 기술 회사도 DORA 규정을 준수해야 합니다. Under DORA, that includes any ICT provider based outside the EU but still operating within its jurisdiction.

A third-country ICT provider is not required to establish an EU subsidiary merely because it supplies services to an EU financial entity. The establishment requirement is connected to the critical-provider oversight regime and should therefore be described only in that context.

DORA applies across the EU financial sector and to the ICT providers that serve it. As a directly applicable EU regulation, it establishes a wide set of operational requirements.

We’ll cover these in more detail later, but at a high level:

• 적용되는 엔터티는 사이버 보안 위험 평가, 비즈니스 연속성 계획, 사고 대응 프로토콜을 통합한 포괄적인 디지털 운영 복원력 전략을 수립해야 합니다.
• Entities are required to promptly report major ICT-related incidents affecting their digital operations to the relevant competent authority, ensuring a coordinated response across the EU.
• 금융 기관은 제3자 ICT 제공업체와 관련된 위험을 관리하고 모니터링해야 합니다. 여기에는 실사를 실시하고 공급업체가 계약 요구 사항을 충족하는지 확인하는 것이 포함됩니다.
• 조직에서는 운영 회복력 프레임워크를 정기적으로 테스트하여 취약점을 파악하고 해결해야 합니다.
• 엔터티는 회복력을 감독하고 규정 준수를 보장할 책임을 지는 고위 경영진과 이사회를 갖춘 거버넌스 구조를 갖춰야 합니다.
• DORA는 조직이 위협 정보와 모범 사례를 공유하도록 장려하여 전체적으로 운영 위험 관리를 강화합니다.

금융 서비스 제공업체는 위험에 처해 있습니다. DORA aims to bolster digital operational resilience in two ways:

1. 대규모 금융 기관의 ICT 위험 관리 문제 해결
2. 위험 관리 규정을 하나의 응집력 있는 프레임워크로 조화

과거 EU 규정은 주로 금융 회사가 운영 위험과 중단을 감당할 수 있는 충분한 자본을 확보하는 데 중점을 두었습니다. 일부 규제 기관에서는 ICT 위험 관리에 대한 가이드라인을 발표했지만 모든 엔터티에 동일하게 적용되지는 않았습니다. Plus, they were based on general best practices – not technical standards.

각 EU 회원국은 통합된 감독 프레임워크 없이 자체 요구 사항을 발표했습니다. 이로 인해 여러 규제가 미로처럼 복잡하고 단절되어, 여러 국가에 걸쳐 운영하는 기업은 쉽게 파악할 수 없었습니다.

DORA solves this problem with a single, harmonized set of rules that applies to all covered entities regardless of where they operate in the EU.

DORA는 금융 부문의 위험 관리에서 조화를 이루어 혼란을 최소화하고 ICT 보안, 운영 위험 관리 및 비즈니스 연속성에 대한 기준을 높입니다.

DORA defines digital operational resilience as a financial entity's ability to build, assure, and review its operational integrity and reliability – ensuring it can continue to deliver services throughout ICT disruptions such as cyberattacks and outages.

소비자가 자금에 액세스하고 관리하는 방법에 있어 ICT 시스템이 핵심 역할을 하는 금융 부문에서는 연속성이 특히 중요합니다. ESMA에 따르면 금융 서비스는 일상적인 운영을 수행하기 위해 디지털 기술에 크게 의존하게 되었습니다. That dependency, in turn, has increased cyber risk greatly.

실제로 단 한 번의 ICT 사고가 일어나도 중요 인프라에 큰 파급 효과를 미칠 수 있습니다. 적절하게 관리하지 않으면 위험은 금융 서비스 제공을 방해할 수 있으며, 이는 다른 기관, 부문, 심지어 유럽 경제에도 영향을 미칠 수 있습니다.

서비스 거부 공격 중에 투자 은행의 제3자 거래 플랫폼이 오프라인 상태가 되는 시나리오를 상상해 보세요. 이는 최종 사용자 경험을 방해할 뿐만 아니라 시장에서 클라이언트가 많은 비용을 지출하게 될 수 있습니다.

지정학적 사건으로 인해 금융 서비스를 표적으로 삼고, 국가가 지원하는 공격자와 악성 핵티비스트가 나타나면서 문제가 복잡해졌습니다. 예를 들어, 러시아와 우크라이나의 전쟁에 영향받은 친러시아 사이버 범죄자가 2023년에 유럽 투자 은행의 네트워크 인프라를 공격하기도 했습니다. 다행히도 이 사고는 은행 웹사이트 가용성에 일시적인 영향만 미쳤습니다.

DORA의 포괄적인 프레임워크는 5가지 핵심 요소로 구성됩니다. Each addresses a different aspect of digital operational resilience and risk management, but in combination, they form the foundation for a strong and secure financial sector.

1. ICT 위험 관리 및 거버넌스

Per Articles 5-6, management bodies are responsible for defining, approving, overseeing, and remaining accountable for the financial entity’s ICT risk management arrangements.

광범위하게는, 조직은 ICT 사고 이벤트 발생 시 비즈니스 연속성을 유지할 수 있는 시스템을 갖추어야 합니다. 위험 관리 프레임워크는 물리적 구성 요소와 디지털 인프라를 무단 액세스나 손상으로부터 보호하기 위한 전략, 정책, 절차, 도구를 포함해야 합니다.

Additionally, financial entities within scope are required to:

• ICT 시스템을 매핑하여 중요한 자산, 기능, 공급자 간의 종속성을 식별합니다.
• ICT 시스템에 대한 정기적인 위험 평가를 수행하여 사이버 위협을 문서화, 분류, 계획합니다.
• 비즈니스 영향 분석을 완료하여 심각한 중단이 운영에 미칠 수 있는 영향을 이해합니다.
• IAM(ID 및 액세스 관리) 도구, 자동화된 위협 감지 시스템 등과 같은 적절한 사이버 보안 조치를 구현합니다.
• Establish business continuity and disaster recovery plans for cyberattacks, service failures, and natural disasters
• 사고 후 검토를 완료하여 과거 이벤트에서 시사점을 얻고 지속적인 개선을 추진합니다.

2. 사고 보고

According to Article 17, financial entities must classify ICT-related incidents using the applicable DORA criteria and report major incidents to the relevant competent authority using an initial notification, an intermediate report, and a final report. The detailed content and time limits are specified in Commission Delegated Regulation (EU) 2025/301. financial entities must classify ICT-related incidents using the applicable DORA criteria and report major incidents to the relevant competent authority using an initial notification, an intermediate report, and a final report. The detailed content and time limits are specified in Commission Delegated Regulation (EU) 2025/301.

And, according to Articles 18-19, organizations must:

• Classify ICT-related incidents with the criteria that apply to different impact levels
• Create a common template or procedure for reporting incidents to the supervisory authority
• Inform end-users and customers about a major incident without delay, primarily if an incident affects clients’ financial interests, and all measures being used to mitigate its consequences

특히 DORA에서는 엔터티가 세 가지 보고서 유형을 제출하도록 요구합니다.

1. 기관에 알리기 위한 최초 보고서
2. 사고 해결을 위한 진행 상황을 커뮤니케이션하는 중간 보고서
3. 사고의 근본 원인과 해결 방법을 분석한 최종 보고서

3. 디지털 운영 복원력 테스트

DORA는 복원력 테스트와 관련된 몇 가지 기본 요구 사항을 규정하고 있습니다. Financial entities must maintain a proportionate, risk-based digital operational resilience testing program. ICT systems and applications supporting critical or important functions must be tested appropriately and at least annually.

Per Articles 25-26, entities must:

• 규모, 비즈니스, 위험 프로필에 맞는 테스트 프로그램 구축
• 다양한 평가, 테스트, 방법론, 도구 포함
• Follow a risk-based approach, taking into account the evolving landscape of ICT risks
• 독립적인 당사자가 테스트를 수행하는지 확인
• 발견된 모든 문제와 취약점의 우선순위 지정, 분류, 완전 해결
• 최소 1년에 1회 모든 중요 ICT 시스템 및 애플리케이션 테스트

Additionally, Article 26 states financial entities identified by competent authorities must also conduct advanced threat-led penetration testing at least every three years, unless the competent authority adjusts that frequency.

4. 제3자 위험 관리

DORA는 금융 회사가 계약 협상 시 적극적으로 제3자 위험 환경을 관리하고 운영 복원력을 염두에 둘 것을 기대합니다. 특히 DORA는 제3자 위험 관리와 관련하여 다음과 같은 규칙을 규정하고 있습니다.

• 금융 엔터티는 제3자 ICT 서비스 제공업체와의 계약과 관련된 정보 등록을 유지해야 합니다.
• Firms must report to competent authorities at least once per year on new arrangements involving ICT services, including the categories of provider and contractual arrangement, as required by the applicable reporting framework.
• 엔터티는 계약을 평가할 때 모든 관련 위험과 잠재적 이해상충을 식별하여 실사를 실시해야 합니다. 또한 접근성 및 보안을 위한 출구 전략, 감사, 성능 목표와 관련된 규정을 협상해야 합니다.
• 금융 엔터티와 ICT 제3자 서비스 제공업체의 권리와 의무는 양측 모두 액세스할 수 있는 서면으로 할당 및 명시되어야 합니다. 
• ICT third-party service providers designated as critical by the ESAs are subject to direct oversight from a relevant supervisory authority.
• Regulatory Technical Standards (RTS) for subcontracting-chain risks were entered into application on July 22, 2025, and cover precontractual risk assessment, due diligence, implementation, monitoring, and management of subcontracted ICT services supporting critical or important functions.

According to the regulation, entities are discouraged from contracting with ICT companies that fail to meet the appropriate technical standards. 관할 기관은 이를 준수하지 않는 계약을 중단시키거나 종료시킬 수도 있습니다.

5. 정보 공유

DORA also encourages collaboration among trusted financial entities through voluntary cyber-threat information-sharing arrangements to:

• ICT 관련 위험에 대한 인식 제고
• ICT 위협 벡터 확산 최소화
• 방어 기술, 완화 전략, 위협 인텔리전스 공유

DORA is the sector-specific EU framework for digital operational resilience in financial services, while NIS2 establishes broader cybersecurity obligations across multiple critical sectors. Article 4 of the NIS2 Directive confirms that DORA's provisions apply instead of NIS2 for overlapping requirements – ICT risk management, major-incident reporting, resilience testing, and ICT third-party risk. Organizations should still assess whether other NIS2 provisions or national implementing laws apply to their activities.

According to Article 4 of the NIS2 Directive, DORA’s provisions shall apply instead of those outlined in NIS2. 이는 ICT 위험 관리, 사고 보고, 복원력 테스트에 관한 한, 금융 엔터티에는 DORA가 우선한다는 의미입니다.

DORA 규정 준수 준비

DORA sets a high bar for risk management, which requires coordinated governance, operational, technical, and third-party risk-management capabilities. 다행히 규정 준수를 시작할 수 있는 다음과 같은 명확한 경로가 있습니다.

1. 격차 분석 수행: An initial gap analysis involves assessing the entire company profile from top to bottom, defining its state of cyber maturity and understanding its existing risk management framework. 이 분석은 현재 프로세스와 절차 중 업데이트해야 하는 범위를 결정하는 데 도움이 됩니다.
2. ICT 교육 의무화: It’s best to create an ongoing training program for all employees – management included. 리더는 DORA 미준수 시 책임을 집니다. 따라서 모두가 최신 ICT 보안 위협에 대해 항상 파악하고 경계해야 합니다.
3. 제3자 계약 감사: 계약을 자세히 살펴보면 ICT 제공업체와의 종속성을 이해하는 데 도움이 될 수 있습니다. 결과적으로 이러한 연결을 보호하기 위한 보안 조치를 식별하고 우선순위를 지정할 수 있습니다. 클라우드 서비스 제공업체, 소프트웨어 공급업체, 기타 ICT 시스템을 포함한 모든 계약 목록을 작성합니다. 그런 다음 DORA 요구 사항에 부합하는 조항이 있는지 확인합니다.
4. Demonstrate your controls and security measures; don’t just document them. Regulators are looking for organizations to demonstrate that their security measures are working effectively. Documenting your security measures might have been enough to comply before DORA became applicable. Now, organizations must show that the measures documented were implemented and continue to operate effectively.
5. Implement stronger identity controls internally and with third-party providers.

Entrust를 통해 사이버 복원력 강화

DORA 규정 준수를 우연에 맡겨서는 안 됩니다. Whether you’re a financial entity or an ICT provider, Entrust solutions can help you protect critical infrastructure and support your DORA compliance program.

Entrust 솔루션은 다음을 포함합니다.

• Entrust Cryptographic Security Platform: Unifies management, oversight, and compliance of your cryptographic assets across their lifecycle, bringing together HSMs, PKI, and lifecycle management for keys, certificates, and secrets. CSP Compliance Manager delivers the inventory, risk scoring, and immutable audit trail that support the ICT asset identification and documentation requirements of Article 8.
• Hardware security modules (HSMs): Provide a FIPS 140-3 Level 3 certified environment for generating, managing, and protecting cryptographic keys – supporting the key protection measures required under Article 9(4)(d).
• ID 및 액세스 관리: Entrust Identity as a Service는 사용자 인증, 인가, 액세스 제어를 간소화하는 인텔리전스 플랫폼입니다. 보안 포털, 신원 증명 등을 통해 소비자와 연결하세요.
• PKI(공개 키 인프라): Entrust PKI는 디지털 인증서를 사용하여 엔터티를 확인하고 데이터를 암호화하여 보안 커뮤니케이션 및 인증을 위한 프레임워크를 제공하는 데 도움이 됩니다.