제8부 안전·보안·시스템공학

8.12 사이버보안 II: 조직·지상·UTM 보안 — EU Part-IS·NIS2

8.12.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

8.11은 제품(기체·장비)이 의도적인 공격에서 감항성을 유지한다는 증거를 다루었다. 이 장은 그 제품을 설계·생산·정비·운용하는 조직과 지상 체계를 다룬다. 공격은 제품이 아니라 정비용 컴퓨터, 기단 관리 서비스, 공급자의 네트워크, 교통 관리 서비스처럼 조직 쪽에서 시작해 기체의 안전에 이를 수 있다. 그래서 EU는 항공 안전 규정에 정보 보안 관리 요구(Part-IS)를 넣었고, 일반 사이버보안 법(NIS2)이 따로 병존한다. 이 장은 두 제도의 구조와 관계, UAS·UTM에 적용되는 범위, 그리고 위험 평가와 보고 시한의 숫자를 정리한다.

배우는 것:

• 기능 사슬 — 정보 보안 위험이 조직 사이의 인터페이스로 공유되는 구조와, 안전 평가와 보안 평가의 상호작용.
• Part-IS의 구조 — 설계·생산 조직용 Part-IS.D.OR(위임 규정 2022/1645)과 그 밖의 조직용 Part-IS.I.OR(이행 규정 2023/203), 당국용 Part-IS.AR, 적용일과 범위.
• NIS2 — 항공 분야 대상, 필수·중요 기업체, 제21조의 위험관리 조치 10개 항목, 제23조의 보고 시한, 제34조의 과징금.
• 두 제도의 관계 — 동등성 규정과 한계, UAS·UTM·eVTOL 사업자 중 누가 어디에 해당하는가.
• 네 가지 계산 — 위험 수용 행렬에서 가상 시나리오 8개의 처리 전후 분류, 인지 시각에서 보고 시한까지의 달력 계산, 기능 사슬의 전달 지연 상한, NIS2 과징금 상한이 바뀌는 매출 경계.
• UTM·지상 체계 — U-space 서비스 제공자의 정보 보안 요구와 지상 체계의 자산 식별.

선수 지식: 8.11(감항 보안), 2.11(통제소의 안전과 보안), 2.10(보안 부팅·갱신 채널), 8.3(인터페이스 관리)을 읽었다고 가정한다. 제품·펌웨어 보안은 8.13이, 기단 운영은 8.15가, 하이재킹 대응은 8.16이 다룬다.

특히 중요한 독자: 정책·법무 담당자는 8.12.3과 8.12.7을, 인증 담당자는 8.12.4·8.12.5와 8.12.8을, 엔지니어는 8.12.6~8.12.7의 계산과 8.12.9를, 사업 담당자는 8.12.3과 8.12.11(ISMS를 어떻게 구축할 것인가)을 먼저 읽는다.

기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: EASA의 정보 보안 쉬운 접근 규칙(2025년 12월판, 401쪽 — 이행 규정 2023/203과 위임 규정 2022/1645의 조문, 관련 AMC·GM, 부록 I의 위협 시나리오 예시), EASA의 U-space 쉬운 접근 규칙(2024년 5월판, 157쪽 — 규정 2021/664와 AMC·GM, 2023/203에 따른 개정 포함), NIS2 지침(EU) 2022/2555의 공식 관보 PDF(OJ L 333, 2022-12-27)의 제2·3·4·20·21·23·34조와 부속서 I·II. 쉬운 접근 규칙은 EASA가 규정과 AMC·GM을 묶은 비공식 편집본이며 구속력 있는 조문은 EUR-Lex에 있다(EUR-Lex 직접 접근은 자동 응답 제한으로 실패해 대조하지 못했다). 읽지 못한 것: NIS2의 회원국 이행법(국가마다 다르다), 위원회의 NIS2 제4조(3) 지침, ISO/IEC 27001·27005와 ISO 23629-12, EUROCAE ED-201A, ICAO Doc 10204(EASA GM이 인용한 범위만), FAA의 UTM 사이버 요건, 한국 제도, EU 사이버복원력법(8.13). 읽지 못한 부분은 (확인 필요)로 표시했다. 부록 II·III·IV(과업 매핑·서비스 예시·ISO 27001 매핑)는 목차만 확인했다.

8.12.2 개념 — 위험은 조직 경계를 넘는다

기능 사슬(functional chain) 은 EASA GM의 정의로 이렇게 요약된다. 정보 보안 위험은 공급자와 고객 같은 인터페이스를 따라 조직 사이에서 공유된다. 안전 영향은 주로 항공기 수준에서 나타나지만 항공기 상류에서 시작한다. 각 조직은 자기 위험을 평가하고, 스스로 처리하지 못하는 위험이 다른 조직을 위험에 노출시킬 수 있으므로 그 정보를 바로 하류의 조직에 전달해 사슬 전체가 보호되게 해야 한다. 어느 조직도 전체를 볼 수 없거나 통제할 수 없는 경우에도 그렇다.

Part-IS는 목적을 세 가지로 적는다(이행 규정 제1조). 항공 안전에 영향을 줄 수 있는 정보 보안 위험을 식별·관리하고, 정보 보안 사건을 탐지하여 안전에 영향을 줄 수 있는 사고를 가려내며, 사고에 대응·복구한다. 정보 보안은 네트워크·정보 시스템의 기밀성·무결성·진본성·가용성의 보존이고(제3조), 위협은 해를 끼칠 수 있는 개체·상황·행위·사건이며, 취약점은 악용되어 정보 보안 정책의 침해를 일으킬 수 있는 자산·시스템·절차·설계·구현·보안 조치의 결함이다. 규정의 범위는 항공 안전에 대한 잠재적 영향이다. 안전과 무관한 정보 보안(예: 마케팅 자료의 유출)은 이 규정이 요구하는 대상이 아니다.

8.11이 다룬 제품 보안과 이 장의 조직 보안은 대상과 증거가 다르다.

안전 평가와 보안 평가의 상호작용. GM1 IS.I.OR.200은 ICAO Doc 10204의 두 개의 보타이 도해를 인용해 둘의 관계를 설명한다. 안전 평가 과정(SAP)은 보안 평가 과정(ISAP)에 시스템 구조·기능 설명, 식별된 안전 위험, 정점 사건과 그 위험의 관계, 그리고 안전 목표에 맞는 정보 보안 침해의 목표 가능성과 허용되는 불확실성의 수준을 준다. ISAP는 구조 변경, 추가된 위협·위험·확대 요인, 그리고 달성한 가능성과 불확실성을 돌려준다. 이 상호작용은 달성한 가능성이 목표에 이를 때까지 반복한다. 8.11.8에서 본 양방향 접속(안전성 평가가 심각도를 주고, 보안 조치가 다시 안전성 평가를 받는다)이 조직 수준의 절차로 정해진 것이다.

비례성. GM1 제1조는 규모와 관계없이 조치가 활동의 성격과 안전 위험에 비례하도록 권고한다. IS.I.OR.200(d)는 절차·역할·책임이 활동의 성격과 복잡도에 맞아야 하고 기존 관리 시스템에 통합할 수 있다고 한다. 그리고 IS.I.OR.200(e)는 활동·시설·자원·서비스가 자신과 다른 조직 모두에게 안전에 영향을 줄 정보 보안 위험이 없다는 것을 문서화된 위험 평가로 입증하면 당국이 ISMS 요구(200(a)~(d)와 205~260)를 적용하지 않도록 승인할 수 있게 한다(단 사건 보고와 타 조직 정보의 기밀 보호는 면제되지 않는다). 승인은 감독 감사 주기마다, 그리고 업무 범위가 바뀔 때마다 재검토한다.

8.12.3 규정의 지형과 적용 범위

Part-IS는 두 규정과 부속 AMC·GM으로 이루어진다. 아래는 원문을 읽은 범위이다.

Part-IS.D.OR와 Part-IS.I.OR는 같은 번호 체계(200~260)와 같은 요구 구조를 갖는다. 2026년 11월 3일 기준으로 두 규정이 모두 적용 중이다.

UAS·UTM·eVTOL 사업자는 어디에 해당하는가. 아래는 원문의 열거를 이 책의 분류에 대응시킨 정리이다.

NIS2의 대상. NIS2는 부속서 I(고위험 분야)과 II(그 밖의 중요 분야)의 유형에 속하고 중간 규모(Recommendation 2003/361/EC) 이상인 공공·민간 기업체에 적용한다(제2조). 항공은 부속서 I의 운송 분야에 속하며 대상은 상업 목적의 항공사, 공항 관리 기관(핵심 공항과 부대 시설 운영자 포함), 항공 교통 관제 서비스를 제공하는 교통 관리 운영자이다. 부속서 II의 제조 항목에는 NACE Rev. 2의 C 구분 30(기타 운송 장비 제조)을 수행하는 기업이 들어 있어, 항공기·기체 제조가 이에 해당하면 중요 기업체가 된다(드론 제조의 분류는 확인하지 못했다 (확인 필요)). 부속서 I의 대규모 기업체는 필수 기업체이고 나머지는 중요 기업체이다(제3조). 필수·중요 기업체의 의무(제21·23조)는 같고 감독·집행 권한과 과징금 수준이 다르다. U-space 서비스 제공자는 부속서 I의 항공 항목에 열거되어 있지 않다. NIS2 대상 여부는 국내 이행법과 분류에 따른다 (확인 필요).

두 제도의 관계. 이행 규정 제5조(1)은 조직이 NIS 지침의 제14조 보안 요구 중 이 규정과 동등한 것을 준수하면 이 규정을 준수한 것으로 본다고 한다. EAR의 주석은 NIS 지침(2016/1148)이 2024-10-18에 폐지되어 그 제14조가 NIS2의 제21조와 제23조로 읽힌다고 설명하고, 동등성은 당국이 평가하며 두 제도의 적용 범위 차이를 고려하라고 한다. NIS2 제4조(1)은 분야별 EU 법이 위험관리 조치와 사고 통지에서 NIS2와 동등한 효과를 가지면 해당 NIS2 조항(감독·집행 포함)을 적용하지 않는다고 하고, 제4조(2)가 동등의 조건을 정한다. 항공 보안 규정(2015/1998) 부속서 1.7의 사이버 요구와의 동등성은 제5조(2)가 인정하되 IS.I.OR.230(외부 보고)은 별도로 준수해야 한다. 위원회의 제4조(3) 지침은 읽지 못했다 (확인 필요).

8.12.4 Part-IS.I.OR의 요구

ISMS(IS.I.OR.200(a)). 조직은 열세 가지를 갖춘다. ① 항공 안전에 대한 정보 보안 위험의 잠재 영향을 다루는 정책, ② 위험의 식별·검토(205), ③ 위험 처리 조치(210), ④ 내부 보고 체계(215), ⑤ 정보 보안 사건의 탐지와 사고 대응·복구(220), ⑥ 사고나 취약점에 대한 당국의 즉시 조치 이행, ⑦ 당국이 통지한 지적 사항에 대한 조치(225), ⑧ 외부 보고 체계(230), ⑨ 하도급 요건(235), ⑩ 인원 요건(240), ⑪ 기록 보존(245), ⑫ 준수 감시와 책임 관리자에 대한 결과 보고, ⑬ 다른 조직에서 받은 정보의 민감도에 따른 기밀 보호. 문서화(250), 변경 관리(255), 지속 개선(260)이 이 체계에 속한다.

위험 평가(205). 조직은 정보 보안 위험에 노출될 수 있는 모든 요소를 식별한다. 활동·시설·자원과 조직이 운영·제공·수령·유지하는 서비스, 그리고 그 기능에 기여하는 장비·시스템·자료·정보이다(a). 다른 조직과의 인터페이스를 식별한다(b). 요소와 인터페이스에 대해 안전에 영향을 줄 수 있는 위험을 식별하고 조직이 미리 정한 분류에 따라 위험 수준을 부여한다. 분류는 위협 시나리오의 발생 가능성과 안전 결과의 심각도를 고려한다(c). 위험 수준의 비교 가능성을 위해 인터페이스 조직과 조정해서 얻은 정보를 반영한다. 요소의 변경, 인터페이스나 다른 조직이 알린 위험의 변경, 위험 식별·분석·분류에 쓴 정보의 변경, 정보 보안 사고에서 얻은 교훈이 있으면 평가를 갱신한다(d).

AMC1 IS.D.OR.205(c)는 평가 과정의 엄밀성을 입증하라며 다음을 고려하게 한다. 재현성(같은 입력에서 같은 결과), 반복성(시간이 지나도 이전 평가와 비교 가능), 관련 있고 타당한 입력(안전 결과를 정하는 정보, 위협 시나리오의 발생 가능성을 정하는 정보), 입력이 늘면서 위협 시나리오를 세분하는 반복적 정제이다.

위험 처리(210). 수용할 수 없는 위험에 대한 조치를 개발·적시에 이행하고 효과가 지속되는지 점검한다. 조치는 ① 위협 시나리오의 실제 발생에 기여하는 상황을 통제하고, ② 그것이 실현되었을 때 항공 안전에 대한 결과를 줄이며, ③ 위험을 회피하게 한다. 조치가 새로운 수용할 수 없는 위험을 만들어서는 안 된다(8.11.8의 안전성 평가 접속과 같은 요구이다). 평가 결과·위협 시나리오·조치는 관계자와 인터페이스 조직에 알린다.

탐지·대응·복구(220). 위험 평가와 처리 결과에 따라 수용할 수 없는 위험이 실현될 징후를 탐지하는 조치를 둔다. 미리 정한 기능 성능 기준선에서의 이탈을 식별하고 경고를 낸다(a). 대응은 사전 정의된 자원과 행동을 가동하고, 공격의 확산을 억제하며, 영향받은 요소의 고장 모드를 통제한다(b). 복구는 사건의 원인을 제거하거나 허용 가능한 수준으로 제한하고, 조직이 미리 정한 복구 시간 안에 영향받은 요소를 안전한 상태에 이르게 한다(c). 탐지 대상은 사건뿐 아니라 악용 가능한 취약점의 발견을 포함한다(GM1 IS.I.OR.220).

외부 보고(230). 규정 376/2014가 적용되는 조직은 그 체계를 따른다(a). 이와 별개로 안전에 중대한 위험을 나타낼 수 있는 정보 보안 사고나 취약점은 당국에 보고하고, 항공기나 관련 시스템·부품에 영향을 주면 설계 승인 보유자에게, 조직이 사용하는 시스템·구성품에 영향을 주면 그 설계를 책임지는 조직에도 보고한다(b). 시점은 셋이다. 알게 된 즉시 통지하고, 알게 된 때부터 72시간을 넘지 않게 정해진 형식의 보고서를 내며(예외적 상황 제외), 복구와 재발 방지 조치가 정해지는 대로 후속 보고를 낸다(c).

하도급·인원·기록(235·240·245). 하도급한 활동도 규정을 만족해야 하고 조직의 감독 아래 있으며 당국이 하도급 조직에 접근할 수 있어야 한다(235). 책임 관리자는 모든 활동의 재원 확보와 수행을 보장할 기업 권한이 있어야 하고, 자원 확보·정책 수립과 홍보·규정에 대한 기본 이해의 책임을 진다. 책임 관리자가 지명한 사람 또는 팀이 책임 관리자에게 직접 보고하며 준수 감시 기능의 책임자도 따로 지명한다(240). 위험과 처리 조치, 사건·취약점 기록은 보존·추적이 가능해야 한다(245).

지속 개선(260). 적절한 성능 지표로 ISMS의 유효성과 성숙도를 정해진 달력 주기나 정보 보안 사고 후에 평가하고, 결함이 있으면 개선하고 영향받은 요소를 재평가한다. GM1 IS.I.OR.260은 이를 ICAO Doc 9859 안전관리 매뉴얼의 안전 보증과 동등한 것으로 설명하고, PDCA·DMAIC 같은 방법과 ISO/IEC 27001 같은 정보 관리 시스템의 지속 개선 조항과의 대응(부록 IV)을 언급한다. 요구하는 특정 성숙도 수준은 없다. 조직은 여러 성숙도 모델에서 이미 충족한 요구를 확인하고 유익한 수준을 자발적으로 택할 수 있으며, 장기적으로 성숙도가 높으면 감독 당국의 신뢰가 높아져 감독 활동의 수준에 영향을 줄 수 있다.

8.12.5 위험 수용 행렬

Part-IS는 위험의 분류 체계를 조직이 정하게 하되, EASA는 조직 사이의 상호 비교를 위해 GM에 예를 둔다(GM1 IS.D.OR.205(c), IS.I.OR.205(c)의 같은 내용). 같은 그림이 설계·생산 조직용 GM(PDF 293쪽)과 이행 규정용 GM(PDF 144쪽)에 실려 있고, 두 쪽의 값이 같음을 이미지로 확인했다.

분류 수준. 발생 가능성과 심각도는 각각 세 단계이다.

행렬. 세 범주는 수용 불가·조건부 수용·수용이다. 아래는 GM의 그림 1을 이미지로 읽은 값이다(텍스트 추출은 격자 값을 잃었다). *는 발생 가능성이 낮게 유지되는지 적시에 재평가·감시하고 실현되면 조기에 탐지해 대처한다는 조건이다.

발생 가능성의 평가 관점. GM은 가능성의 평가를 ED-203A의 세 요소에 근거하게 한다(EASA의 인용 요약). 보호는 자산에 대한 접근을 막는 보안 조치와 구조, 보안 조치 자체에 대한 접근 방지, 구현된 보안 조치가 공격을 막지 못할 정도, 공격을 알아채고 대응하는 탐지 방법이다. 노출 감소는 외부 접근 연결을 사용할 수 있는 조건, 외부 접근 연결의 기능 제한, 제품 전용 공격 도구를 개발하는 데 걸리는 시간에 영향을 주는 조직 정책, 취약점 관리(정보 수집·검사·처리·재시험을 위험 우선순위로 빠르게), 성공한 공격의 심각도 감소(예: 안전에 중요한 시스템의 서비스 거부에도 연속성을 유지하는 이중화)이다. 공격 시도는 공격자의 자원과 전문성으로 정해지는 능력이며 CERT·CSIRT·ISAC의 정보나 과거 전술·기법·절차와 성공률로 평가한다. 발생 가능성은 관찰 기간을 포함한 구간으로 표현할 수 있다고 GM은 말한다. 심각도의 예시는 ED-201A 부록 B에 있다고 인용하지만 읽지 못했다 (확인 필요).

심각도를 알 수 없을 때. 조직이 안전 영향을 정할 수 없으면 기능 사슬의 인터페이스에서 받은 위험 공유 정보에서 가정을 식별한다. 자산이 다른 항공 규정의 제품 정보 보안 인증 대상이면, 그 인증이 유효하고 OEM이 제공한 인증 유지 지침(8.11.10의 ICA)을 조직이 이행하는 조건에서 제품 인증의 범위는 이미 포함된 것으로 볼 수 있다. 제품 보안과 조직 보안이 연결되는 지점이다.

조건부 수용의 조건. 기준에는 위험이 존재할 것으로 예상되는 기간(일시적이거나 단기 활동·노출), 허용 기간 안에 위험을 수용 수준으로 낮추는 향후 처리의 약속, 조직의 위험 거버넌스에서 시간에 따른 관리 방식이 들어간다. 조건부 수용은 위험 평가·처리·감시 과정을 갖춘 포괄적 위험 관리 구조가 있을 때만 하며, 높은 성숙도(GM1 IS.D.OR.260(a))가 전제된다. 책임 관리자(설계 조직은 설계 조직의 장)가 위험을 검토하고 추가 조건을 붙일 수 있다. 구조는 반복 가능·재현 가능한 평가, 주요 위험 지표의 엄격한 감시, 감지 메커니즘이 발동하는 사고 대응 체계(특히 심각도가 높은 시나리오)를 포함한다.

8.11.5의 ASISP 표 2.2-3(제품)은 심각도를 다섯 등급, 위협 가능성을 정성 척도로 짝지었다. 이 행렬은 그것을 세 단계로 줄이고 범주를 하나 더 둔다(조건부 수용). 둘 다 정량 확률이 아니라 정성 척도이고, 수용성은 당국과의 합의(제품)나 조직의 문서화된 기준(조직)이 정한다.

8.12.6 워크스루 I — 가상 USSP·기단 운영자의 위험 등록부

문제. U-space 서비스 제공자(USSP)와 기단 운영자 한 곳이 위협 시나리오 8개를 등록부에 올렸다. 시나리오와 심각도·발생 가능성의 배정은 설명을 위한 가정이다. 각각을 행렬로 분류하고, 처리 수단으로 발생 가능성을 낮춘 뒤 다시 분류한다(8.12-calc.py).

결과. 처리 전에는 수용 불가 6개, 조건부 수용 1개, 수용 1개이다. 처리 후에는 수용 불가가 없고 조건부 수용 6개, 수용 2개이다. 네 가지를 읽을 수 있다.

1. 심각도가 높은 시나리오는 가능성을 낮음까지 낮춰도 '수용'에 이르지 못한다. 행렬에서 심각도 높음의 가장 좋은 범주는 조건부 수용*이다(시나리오 1·2·4·5). 수용에 필요한 발생 가능성은 심각도 낮음에서 중간 이하, 중간에서 낮음이고, 높음에서는 존재하지 않는다. 이 시나리오들은 처리가 끝난 뒤에도 가능성이 낮게 유지되는지 감시하고 실현되면 조기에 탐지하는 조건을 계속 충족해야 한다.
2. '수용'에 이르는 길은 결과를 줄이는 것이다. 심각도 높음의 시나리오를 수용 범주로 옮기려면 가능성을 낮추는 것으로는 부족하고 심각도 자체를 낮추어야 한다. 210(a)(2)의 "안전에 대한 결과를 줄이는" 조치(이중화된 독립 경로, 수동 절차, 비행 중 복귀 기능, 2.6)가 이 역할을 한다. 시나리오 5처럼 명령이 다수 기체에 동시에 영향을 줄 수 있으면(8.11.8의 기단 동시 노출) 명령 승인 흐름이 심각도를 줄이는 수단이 된다.
3. 중간 심각도(3·7)는 가능성을 '중간'으로 낮추면 조건부, '낮음'으로 낮춰야 수용이다. 이 두 시나리오의 처리 수단이 가능성을 중간까지만 낮추면 수용이 아니다.
4. 심각도가 낮은 시나리오도 가능성이 높으면 조건부이다. 비행 기록의 유출(6)은 안전 영향이 무시할 만해도 발생 가능성이 높으면 조건부 수용이다. 개인정보와 영업 비밀의 보호는 Part-IS의 대상이 아니므로 별도 법령(8.12.3의 NIS2, 개인정보 법령)이 다룬다.

한계. 세 단계 분류는 거칠다. GM도 필요하면 중간 범주를 더 둘 수 있다고 한다. 가능성의 정의에는 관찰 기간이 들어가는데(GM), 이 예는 기간을 정하지 않았다. 시나리오 8개는 임의의 가정이며 실제 USSP의 위험 등록부가 아니다.

8.12.7 워크스루 II — 보고 시한과 기능 사슬

두 제도의 시한. NIS2 제23조(4)는 의미 있는 사고를 안 뒤 24시간 안에 조기 경보, 72시간 안에 사고 통지, 요청이 있으면 중간 보고, 사고 통지를 낸 뒤 1개월 안에 최종 보고를 요구한다(진행 중이면 그때 경과 보고를 내고 처리를 마친 뒤 1개월 안에 최종 보고). Part-IS의 IS.I.OR.230(c)는 안전에 중대한 위험인 사고·취약점을 알게 된 즉시 통지하고 72시간을 넘지 않게 보고하며 후속 보고를 낸다.

계산 예. 사건 인지 시각이 2026-11-02 22:00 UTC이면 조기 경보는 11-03 22:00, 통지·보고는 11-05 22:00, 최종 보고는 통지를 마지막 시각에 냈다고 보아 12-05 22:00이며 인지 후 최대 792시간(33일)이다. 두 제도에 모두 해당하면 24시간 조기 경보가 가장 빠른 시한이다. 의미 있는 사고와 안전에 중대한 위험은 정의가 달라 한 사건이 하나만 해당할 수 있다. 이 장은 두 제도에 해당할 때 둘 다 충족하는 절차를 조직이 만드는 것으로 본다.

기능 사슬의 전달 지연. IS.I.OR.230(b)는 사건이 항공기에 영향을 주면 설계 승인 보유자에게, 조직이 사용하는 시스템에 영향을 주면 그 설계 조직에게도 보고하게 한다. 각 조직의 72시간은 그 조직이 알게 된 때부터 센다. 각 조직이 72시간 창을 모두 사용하고 그 끝에야 다음 단계에 알리면 사건을 처음 안 조직에서 $k$번째 단계가 알게 되는 시각의 상한은 $72k$ 시간이다.

운영자 → 항공기 설계 승인 보유자 → 구성품 공급자의 3단계 사슬이면 공급자는 최대 9일 뒤에 알게 된다. 알게 된 즉시 통지(c)(1) 요구는 이 상한을 줄이려는 장치이고, 조직 사이의 위험 정보 공유(205(b)·210(b)·215(c)·235)는 계약으로 정해야 한다. 이 상한은 모든 조직이 창을 모두 사용한다는 최악의 가정이며 실제 지연은 계약과 절차가 정한다.

NIS2의 과징금 상한. 제34조는 제21조·제23조 위반에 대해 필수 기업체에 1,000만 유로와 전 세계 연 매출 2 % 중 큰 값, 중요 기업체에 700만 유로와 1.4 % 중 큰 값을 상한으로 하는 과징금을 회원국이 부과할 수 있어야 한다고 정한다(최소한 그만큼의 상한). 두 경우 모두 고정액과 매출 비례 값이 같아지는 매출은 $10\text{M}/0.02 = 7\text{M}/0.014 = 500\text{M}$ 유로이다. 매출이 5억 유로 이하이면 상한은 고정액이고, 그보다 크면 매출에 비례한다.

이 값은 EU가 회원국에 요구하는 최소 상한이다. 실제 과징금은 각국 이행법과 사안별 사정(제32조(7) 등)이 정한다 (국내 이행법 확인 필요). 항공 기체 제조·공급 기업이 중요 기업체인지 필수 기업체인지는 분류와 규모에 따른다.

8.12.8 UTM·U-space 보안 — USSP의 요구

U-space 규정(EU) 2021/664는 USSP와 SCISP가 인증을 받으려면 안전하고 안정적이며 효율적이고 연속적이고 지속 가능하게 서비스를 제공할 수 있어야 한다고 정하고(제15조(1)(a)), 서비스의 품질·지연·보호를 보장하는 시스템과 장비를 쓰게 한다(같은 항 (b)). 제15조(1)(f)는 보안 관리 체계(ATM/ANS.OR.D.010)를 요구하고, 2026-02-22부터는 여기에 Part-IS.I.OR에 따른 정보 보안 관리 체계(ISMS) 를 더한다. U-space 규정상 당국(제18조)도 Part-IS.AR에 따른 ISMS를 수립·이행·유지해야 한다(제18조(l), 같은 날부터).

AMC2 제15조(1)(b)의 정보 보안 보증. 신청자는 계획한 UAS 운항에 맞는 보안 수준을, 기능 시스템의 구성요소(하드웨어·소프트웨어), 다른 U-space 이해관계자와의 인터페이스, 전자 식별(e-conspicuity), Network R-ID 수신기에 대한 IUEI의 위험을 평가하고 완화해서 확보한다. 구조는 8.11의 AMC 20-42 4절·8절·9절과 같다.

• (a) 서비스 제공을 기밀성·가용성·무결성에 영향을 줄 수 있는 모든 정보 보안 위협과 취약점에 대해 평가한다.
• (b) 결과는 서비스에 식별 가능한 취약점이 없거나, 있어도 악용하여 수용할 수 없는 영향의 위해·고장을 만들 수 없어야 한다(특히 불안전한 상태). AMC 20-42 4(b)와 같은 문장 구조이다.
• (c) 완화가 필요하면 완화 수단의 유효성과 강건성을 보안 지향 강건성 시험, 검사·분석, 반박·침투 시험 등(조합 가능)으로 입증한다. 방법은 당국과 합의한다.
• (d) 잔여 위험이 수용되면 물리·운용 보안 절차, 보안 유효성의 감사·감시 같은 지침을 만들어 지속적으로 보호한다.
• (e) 완화가 제3자(UAS 운영자, 다른 USSP)의 운용 보안 조치에 의존하면 그 조치를 문서화해 해당 이해관계자와 공유한다.

운영 개념서(ConOps)의 내용에는 사이버보안 기술 조치(예: 인증 수단, 암호화)가 들어갈 수 있다(GM의 ConOps 내용 항목 (10)). 공역 위험 평가 단계의 GM은 보안 위험 평가를 권고하고, 사이버보안 위험 평가의 방법이 물리 보안 위험 평가와 비슷하므로 같은 방법을 사용하라고 하며(위험 평가와 위험 정보의 공유 절차는 EUROCAE ED-201A에 따른 그림으로 제시한다), UAS의 능력·성능 요구의 항목에 "사이버 위협에 대한 회복성과 관련 보안 조치"를 든다. 이 문서들은 안전 위험 평가의 기본 틀을 정보 보안으로 확장한 것이며, 용어와 구조가 AMC 20-42와 Part-IS에서 공통이다.

운영자 쪽의 의존. USSP의 서비스에 안전을 의존하는 UAS 운영자는 JARUS 사이버 확장(8.11.11)의 OSO #13이 요구하는 대로 외부 서비스의 사이버 보안이 운항에 충분함을 보여야 한다. 중간 수준(SAIL III)에서는 필요한 보안 수준이 임무 전 기간에 유지된다는 증거(서비스 수준 협약 같은 공식 약속)와, 비행에 영향을 주는 외부 서비스의 감시·조치 수단이 필요하다. JARUS 확장은 예로 FAA가 승인 UTM 서비스 제공자에게 시스템 사이버보안을 요구하는 것과 ISO 23629-12(UTM 서비스 제공자의 보안 요구)를 든다 (두 문서는 읽지 못했다).

8.12.9 지상 체계의 자산과 경계

Part-IS의 위험 평가는 자산 식별에서 시작한다(205(a)). UAS·UAM 운영자와 지원 조직의 지상 요소를 조직 자산으로 보면 아래처럼 정리된다. 이 책의 정리이며 가정이다.

각 자산에 대해 인터페이스 조직을 식별하는 것이 핵심이다. 205(b)는 인터페이스 때문에 위험에 상호 노출될 수 있는 조직을 식별하라고 하고, 205(c)는 위험 수준을 인터페이스 조직과 조정해서 정하라고 한다. 클라우드 제공자 같은 제3자는 하도급(235)이면 조직의 감독 아래 있어야 하고, 단순 공급자(예: 상용 소프트웨어)이면 215(c)로 사건 보고 계약을 둔다. 운영자 입장에서 기단 관리 서비스와 통제소 앱을 관리하는 컴퓨터의 갱신·계정·네트워크 구성은 비행 안전 사안이다(2.11.10).

공급망과 취약점. NIS2 제21조(2)는 위험관리 조치에 최소한 아래를 포함시킨다. (a) 위험 분석·정보 시스템 보안 정책, (b) 사고 처리, (c) 업무 연속성·백업·재해 복구·위기 관리, (d) 공급망 보안(직접 공급자와의 관계), (e) 시스템의 취득·개발·유지 보안(취약점 처리와 공개 포함), (f) 조치의 유효성 평가 정책·절차, (g) 기본 사이버 위생과 교육, (h) 암호 사용 정책, (i) 인적 자원 보안·접근 통제·자산 관리, (j) 다중 요소 인증, 보안 음성·영상·문자 통신, 보안 비상 통신. 제3항은 (d)의 적절성을 정할 때 각 직접 공급자의 취약점과 제품의 전반적 품질, 보안 개발 절차를 고려하라고 한다. 제품 수준의 공급망·서명·무선 갱신은 8.13이 다룬다.

8.12.10 책임·문화·감독

책임. Part-IS의 책임 관리자는 규정이 요구하는 모든 활동이 재원을 확보하고 수행될 수 있게 할 기업 권한을 지닌다. 필요한 자원을 확보하고, 정보 보안 정책을 수립·홍보하며, 규정을 기본적으로 이해해야 한다(IS.I.OR.240(a)). NIS2도 필수·중요 기업체의 경영진이 제21조의 위험관리 조치를 승인하고 이행을 감독하며, 위반에 책임을 질 수 있다고 정하고(제20조(1)), 경영진은 위험과 보안 관행의 영향을 파악할 지식과 기술을 얻기 위한 교육을 받아야 한다(제20조(2)). 안전관리체계의 책임 관리자가 정보 보안의 책임까지 지게 되는 구조이다.

공정 문화(just culture). EAR의 용어 정의는 현장 운영자가 경험과 훈련에 맞는 행위·누락·결정으로 처벌받지 않고, 중대한 과실·고의 위반·파괴 행위는 용인하지 않는 문화(규정 376/2014 제2조)라고 한다. 정보 보안 사건을 보고하려는 사람이 처벌을 걱정하면 내부 보고(215)의 입력이 줄어든다.

감독. 당국의 지적 사항(findings)이 통지되면 조직은 근본 원인과 기여 요인을 식별하고, 시정 조치 계획을 정하고, 시정이 이루어졌음을 당국이 만족하게 입증해야 한다. 시정은 당국과 합의한 기간 안에 한다(225).

8.12.11 설계 트레이드오프 — ISMS를 어떻게 구축할 것인가

1. ① 독립 ISMS. Part-IS 전용 정책·절차·기록을 따로 둔다. 장점은 요구와 증거의 대응이 분명하고 당국 심사에서 설명하기 쉽다는 점이다. 단점은 조직에 이미 있는 안전관리체계·품질 체계와 중복되고 유지 부담이 크다는 점이다.
2. ② 기존 관리 시스템에 통합. 200(d)가 허용하며, GM은 PDCA 같은 방법과 ISO/IEC 27001 같은 정보 관리 시스템의 조항에 대응시킬 수 있다고 한다(대응표는 부록 IV, 읽지 못했다). 장점은 중복이 적고 안전 평가와 보안 평가의 상호작용(8.12.2)을 같은 위험 관리 절차 안에서 다룰 수 있다는 점이다. 단점은 통합 과정에서 Part-IS 고유 요구(230의 72시간 보고, 205의 인터페이스 조정)가 누락되기 쉽다는 점이다.
3. ③ 위탁·공유. 보안 관제·사고 대응을 외부 서비스에 맡기거나(235), 여러 조직이 구조·정책·절차를 공유하고 공통 책임자를 둔다(240(d)). 장점은 소규모 조직이 전문성을 확보한다는 점이다. 단점은 위탁한 활동도 조직의 감독 아래 있고 당국이 접근할 수 있어야 하며(235) 위험이 계약으로 관리되어야 한다는 점이다.

견해: 소규모 UAS·UTM 사업자는 ②를 기본으로 하고, 안전에 영향이 없다고 입증할 수 있으면 200(e)의 면제를 먼저 검토하며, 관제·대응은 ③으로 보완하는 편이 낫다. 근거는 두 가지이다. Part-IS가 규모가 아니라 안전 영향에 따른 비례성을 요구하고(GM1 제1조·200(d)), 가장 큰 부담인 72시간 보고와 위험 평가의 인터페이스 조정은 어느 방식에서도 면제되지 않기 때문이다. 이것은 이 책의 견해이며 당국의 입장이 아니다.

8.12.12 세 축 비교

8.12.13 관련 규격·프로토콜

전체 지도는 A.6에 있다.

8.12.14 관련 규제·인증 요구와의 연결

• 감항 보안(8.11). 제품 보안의 ICA는 조직의 위험 평가가 제품 인증의 범위를 포함된 것으로 볼 조건이다(8.12.5).
• 안전성 평가(8.4)·안전 사례(8.7). 안전 평가가 정보 보안 침해의 목표 가능성을 주고, 보안 평가가 달성한 가능성을 돌려준다(8.12.2).
• 체계 통합(8.3). 인터페이스 관리의 책임 경계와 205(b)의 인터페이스 식별이 같은 대상이다.
• 통제소(2.11)·소프트웨어 구조(2.10). 지상 체계의 방호 설계(2.11.10)가 이 장의 자산 식별과 연결된다.
• 제품·펌웨어 보안(8.13). 공급망·서명·무선 갱신, EU 사이버복원력법과의 관계.
• 기단 사이버 운영(8.15). 보안 관제·사고 대응·침투 시험은 220·230의 운영 수단이다.
• 하이재킹 대응(8.16). 링크·항법·지상통제 공격 경로와 방호.
• U-space 규정(17.12)·UTM(14.22·14.23). USSP의 인증과 운영 요구.
• 사고·사건 보고(8.24). 376/2014 체계와 Part-IS 보고의 접속.
• 운영 승인(20.14). 특정 범주 운항은 SORA 사이버 확장의 OSO #13으로 USSP 의존을 다룬다.
• 국내 제도. 항공보안법과 드론·UAM 보안 규제는 18.28, 한국 항공 법체계는 18.2이 다룬다. 이 장은 한국 제도를 읽지 않았다.

8.12.15 함정과 한계

미해결 문제. 버티포트와 eVTOL 운송 사업자의 Part-IS 대상 여부, 드론 제조 기업의 NIS2 분류, USSP의 NIS2 대상 여부, 국내 이행법과 한국 제도와의 관계, 세 단계 위험 분류와 제품의 정성 척도(8.11.5)의 대응, 특정 범주 UAS 운영자에 대한 EU의 향후 정보 보안 요구는 이 장의 자료로 답할 수 없다 (확인 필요).

8.12.16 체크포인트·연구 질문

체크포인트:

1. 위험 수용 행렬에서 심각도 높음에 수용이 없는 이유를 설명하고, 높음 시나리오를 수용 범주로 옮기는 수단을 210(a)의 세 목적에서 골라라.
2. 인지 시각이 2027-03-30 14:30 UTC일 때 NIS2의 조기 경보·통지 시한과 Part-IS의 보고 시한을 구하라.
3. 구성품 공급자 → 항공기 DAH → 운영자의 사슬에서 각 조직이 72시간 창을 모두 사용하면 운영자가 알게 되는 시각의 상한은 얼마인가. 즉시 통지를 24시간 안에 하면 어떻게 달라지는가.
4. 연 매출 8억 유로인 필수 기업체와 중요 기업체의 NIS2 과징금 상한을 구하라.
5. USSP가 제15조(1)(f)에 따라 갖추어야 하는 체계 두 가지와, AMC2 제15조(1)(b)의 완화 효과 입증 방법을 적어라.
6. 세 축 비교의 민간 UAS 열에서 직접 적용되지 않는 조직과 간접적으로 영향받는 경로를 설명하라.

연구 질문(25.7에 모은다):

• 세 단계 위험 분류를 소형 UAS·UTM의 정량 자료(사건 통계, 취약점 공개)로 어떻게 보정할 것인가.
• 기능 사슬에서 위험 정보를 공유하는 형식과 시한을 어떻게 표준화할 것인가.
• 특정 범주 UAS 운영자와 USSP 사이의 사이버 책임 경계를 어떻게 정할 것인가.
• 한국의 항공 보안 사이버 요구와 EU Part-IS의 대응을 어떻게 비교할 것인가.

1차 출처(이 장):

• EASA, Easy Access Rules for Information Security (Revision from December 2025, 401쪽) — 이행 규정 (EU) 2023/203, 위임 규정 (EU) 2022/1645, 관련 AMC·GM, 부록 I. EASA 공개 문서이며 비공식 편집본.
• EASA, Easy Access Rules for U-space (Regulation (EU) 2021/664) (May 2024, 157쪽) — 제15조·제18조·AMC2 제15조(1)(b).
• Directive (EU) 2022/2555 (NIS2), OJ L 333, 27.12.2022 — 제2·3·4·20·21·23·34조, 부속서 I·II. 관보 PDF로 읽었다.
• EUR-Lex의 구속력 있는 조문 대조, NIS2 이행법, 위원회의 제4조(3) 지침, ISO/IEC 27001·27005, ISO 23629-12, EUROCAE ED-201A, ICAO Doc 10204, FAA의 UTM 사이버 요건, 한국 제도 — 읽지 못함 (확인 필요).

다음 장: 8.13 — 사이버보안 III: 제품·펌웨어 보안 — SBOM·서명·OTA·EU CRA·보안적합. 이 장이 조직과 지상 체계의 보안을 다루었다면, 8.13은 제품 자체의 소프트웨어 구성·서명·갱신과 제품 보안 규제를 본다.