규제
인증서 없이 이해하는 KRITIS와 NIS2
독일 데이터센터의 보안은 두 가지 체계, 즉 국가 핵심 기반시설 규정인 KRITIS와 독일 법에 시행된 유럽 지침 NIS2에 의해 규율됩니다. 이들은 흔히 인증서처럼 이야기되지만, 인증서가 아닙니다. 이 페이지는 그것들이 실제로 무엇인지를 설명합니다.
독일 핵심 기반시설법과 유럽 지침이 운영사에 실제로 요구하는 의무, 그리고 이곳의 누구도 인증을 받지 않은 이유입니다.
KRITIS는 인증 배지가 아니라 하나의 기준선입니다
독일 핵심 기반시설 규정은 정보기술 및 통신을 포함한 특정 부문에서 정해진 기준선을 넘는 운영사에 적용됩니다. 적용 대상이 되는지는 신청 여부가 아니라 실측된 공급 규모에 따라 결정됩니다. 일단 적용 대상이 되면, 운영사는 주기적으로 연방청에 적절한 조직적, 기술적 조치의 증빙을 제출해야 하며, 사건이 발생하면 이를 신고할 의무를 집니다.
NIS2는 적용 범위를 넓힙니다
네트워크 및 정보 보안에 관한 유럽 지침은 의무 사항을 강화하고 적용 대상을 큰 폭으로 넓혀, 이전의 모든 기준선 아래에 있던 운영사까지 포함시킵니다. 독일의 국내 이행 입법은 이를 국내법으로 전환합니다. 그 핵심은 리스크 관리, 공급망 보안, 짧은 기한 내 사고 신고, 그리고 실제로 행동을 바꾸는 부분인 경영진 책임입니다.
저희가 '컴플라이언스 준수'라고 쓰지 않는 이유
두 체계 모두 건물이 내세울 수 있는 인증서를 발급하지 않습니다. 존재하는 것은 감사 경로, ISO 27001과 같은 표준에 대한 증명, 그리고 감독 관계입니다. 건설 중인 데이터센터는 가동을 시작할 때 발생하는 의무를 향해 나아가는 과정에 있습니다. 아직 가동되지 않은 부지에 그 배지를 주장하는 것은 아직 존재할 수 없는 상태를 서술하는 것이며, 이 체계를 아는 검토자라면 누구나 이를 허점으로 읽어냅니다.
이것이 도면에 미치는 영향
보안 규제는 설계 단계에 반영할 때 가장 적은 비용으로 충족되고, 사후에 개조할 때 가장 큰 비용이 듭니다. 공용 경계에서 기계실까지 이어지는 구역, 전자적 경계보다 앞서는 물리적 경계, 구역별로 기록되는 출입 로그, 그리고 통합된 보안 및 네트워크 운영 센터. 이는 부지 계획도 위의 선일 뿐이며, 부지 계획이 처음 그려지는 날 가장 적은 비용이 듭니다.
