DORA 보고 규정, 새 국면 진입
유럽 연합(EU)의 금융 감독 당국이 새로운 운영 지침을 통해 디지털 운영 복원력 법규(DORA) 상 주요 정보통신기술(ICT) 사고 보고 절차를 더욱 명확히 했습니다. 지난 9월 16일에 발표된 이 지침은 총 5페이지 분량으로, 보고 과정에서 발생했던 14가지 실무적 이슈들을 다루고 있습니다. 주요 내용은 금전적 가치, 사고 식별자, 제3자 제공업체 정보, 서비스 중단 시간, 경제적 영향 등의 처리 방식에 대한 구체적인 사항들입니다.
이번 지침의 근본적인 목적은 보고되는 데이터의 품질을 높이고, EU 회원국 전반에 걸쳐 보고 절차의 일관성을 확보하는 것입니다. 이는 DORA가 시행된 이후, 금융 시장의 디지털 복원력 강화라는 큰 그림 속에서 실질적인 운영 효율성을 제고하려는 감독 당국의 의지를 보여줍니다. DORA는 2025년 1월 17일부터 적용되어 ICT 위험 관리, 사고 보고, 복원력 테스트, 제3자 기술 위험 등에 대한 통일된 EU 프레임워크를 구축했습니다.
새 지침의 의미와 변화
이번에 발표된 지침은 DORA의 법적 적용 범위나 규제 대상 기업 목록을 변경하는 것은 아닙니다. 또한, '주요 사고'의 정의를 바꾸거나 새로운 제재를 도입하지도 않습니다. 금융 기관들은 기존과 동일하게 각 국가별 관할 당국이 정한 채널과 형식을 통해 보고서를 제출해야 합니다. 즉, 보고 의무의 법적 골격은 그대로 유지됩니다.
가장 큰 변화는 보고의 '운영적 명확성'이 강화되었다는 점입니다. 감독 당국은 기존 보고서들이 비교, 처리, 분석하기 어렵게 만들었던 특정 관행들을 구체적으로 지적했습니다. 이를 통해 금융 기관들이 기존 보고 양식을 작성할 때 해석의 여지를 좁히고, 보다 정확하고 일관된 정보를 제출하도록 유도하고 있습니다. 이는 정책 및 서식 도입 단계를 넘어, 제출되는 정보의 '질'에 감독 당국의 관심이 옮겨가고 있음을 시사합니다. 식별자가 변경되거나, 금전적 수치가 다른 단위를 사용하거나, 필드에 불필요한 텍스트가 포함되는 경우 등은 보고가 제때 제출되었더라도 문제가 될 수 있습니다.