규제는 하나가 아니라 흐름입니다
IACS UR E26/E27은 고립된 규칙이 아닙니다. IMO의 사이버 위험관리 지침이 BIMCO 가이드라인에 반영되고, 그것이 다시 IACS 통합규칙으로 구체화되는 흐름 위에 있습니다. 여기에 EU의 NIS2 지침이 제재 조항을 더하면서, 해양 사이버 보안은 권고에서 강제로 넘어가고 있습니다. 이 흐름 전체를 NIST 사이버보안 프레임워크(CSF)가 관통합니다.
주요 규제의 변천
IMO MSC-FAL.1/Circ.3 — 해양 사이버 위험관리 지침
- 원본 — 2017년 6월 제98차 해사안전위원회(MSC 98)에서 채택. 선박 안전관리시스템(SMS)에 사이버 위험관리를 포함하도록 요구
- Rev.1 — 2021년 5월 MSC 103에서 개정, 2021년 6월 발행
- Rev.2 — 2021년 10월 MSC 104에서 개정, 2022년 6월 발행
- Rev.3 — 2024년 5월 MSC 108에서 개정, 2025년 4월 발행
BIMCO — 선박 사이버 보안 가이드라인
- Version 1 — 2016년 1월 발행
- Version 2 — 2018년 12월 발행
- Version 3 — 2020년 12월 발행. IACS UR E26/E27 요구사항을 명시적으로 언급
- Version 4 — 2024년 11월 발행. IACS UR E26/E27 표준과 모범 사례를 포함
IACS UR E26/E27 — 선박 사이버 복원력 통합규칙
- 원본 — 2022년 4월 발행
- Rev.1 — 2023년 12월 발행
EU NIS2 Directive (2022/2555)
- 2022년 12월 발행. NIST CSF, ISA/IEC 62443, ISO/IEC 27001 등 사이버보안 프레임워크와 정합
- EU 회원국은 필수 기관이 사이버보안 위험관리 조치나 보고 의무를 위반할 경우 과징금을 부과해야 합니다
- 과징금은 최소 1,000만 유로 또는 직전 회계연도 전 세계 연간 매출의 2% 중 높은 금액까지
앞으로 예상되는 개정 방향
- 사이버보안 거버넌스 요구사항
- 선박 운영 관점의 강화
- 미준수·위반에 대한 제재
IMO 지침 Rev.2 → Rev.3: 무엇이 바뀌었나
| 변화 영역 | Rev.2 (2022) | Rev.3 (2025) | 사이버보안에 대한 함의 |
|---|---|---|---|
| 위험관리 기능 요소 | 5개 (Identify · Protect · Detect · Respond · Recover) | 6개 (기존 5개 + Govern) | 사이버보안은 기술 부서만이 아닌 경영진의 책임 |
| 대상 시스템 | 8개 (선내 7 + 통신 1) | 9개 (통신 → 항만·육상 각 인터페이스로 세분화) | 기술적 자산관리를 넘어선 정책 수준의 진화 |
| 운영관리 항목 | 권고만 | 11개 의제 (접근통제, 사고대응, 백업 등) | 위험평가를 포함한 사이버 대응 체계와 검증 가능한 절차가 더 이상 선택이 아님 |
| 교육 요건 | 간략한 언급 | 2종 (연간 기본교육, OT 특화교육) | 역할별 사이버보안 교육 의무화 |
| 필수 문서 | 권고만 | 11종 (사이버보안 정책, 자산 목록 등) | 설계·건조·운항 전 단계의 체계적 문서화 필수 |
| 참조 표준 | 3개 (ISO/IEC 27001, BIMCO, IACS Rec 166) | 5개 (기존 3개 + IACS UR E26/E27, NIST CSF 2.0) | 국제 표준 정합은 재량이 아닌 준수 의무 |
핵심은 Rev.3에서 Govern(거버넌스) 이 기능 요소로 추가되었다는 점입니다. 사이버보안이 IT 담당자의 업무에서 경영진이 책임지는 영역으로 공식적으로 이동했습니다.
IACS 통합규칙 안에서의 E26/E27 위치
E26/E27은 선박 전자장비에 관한 IACS 통합규칙 계열 안에 있습니다. 각 규칙의 초점이 다릅니다.
| 규칙 | 초점 | 핵심 요구사항 |
|---|---|---|
| UR E10 | 장비 환경 시험 | 해상 환경(온도·습도·진동)에서의 하드웨어 신뢰성. 전기·전자·프로그래머블 장비의 표준 시험 절차 |
| UR E22 | 컴퓨터 기반 시스템(CBS) | 핵심 선박 기능에 쓰이는 CBS의 설계·시운전·유지보수. 소프트웨어 안전성·이중화·결함 허용. 중요도에 따른 CBS 분류 |
| UR E26 | 선박 사이버 복원력 | OT 시스템 전반의 최소 사이버 복원력 요건. 항법·추진·안전 핵심 시스템에 적용. 설계·운영·해체 전 주기에 걸친 위험 식별과 완화 |
| UR E27 | 선내 시스템·장비 사이버 복원력 | IT/OT 시스템과 연결 장비의 보안 조치. 보안 개발 수명주기(SDLC)를 위한 IEC 62443 정합. 조선소·공급사·시스템 통합자의 책임 정의 |
E10이 하드웨어의 물리적 신뢰성을, E22가 소프트웨어 기반 시스템의 안전성을 다룬다면, E26과 E27은 그 위에 사이버 복원력이라는 층을 더합니다. 따라서 E26/E27 대응은 E22에서 정의한 CBS 분류와 맞물려 진행되어야 합니다.
지금 무엇을 해야 하는가
현재의 IACS UR E26/E27은 최소한의 복원력에 초점을 맞추고 있지만, 앞으로는 사이버 위협에 대한 강화된 대응과 정보 공유 개선을 요구하는 방향으로 진화할 것입니다.
- 선주 — 신조선은 E26/E27로, 운항 선대는 IMO Rev.3와 NIS2(해당 시)로. 두 체계를 하나의 사이버보안 프로그램으로 관리해야 합니다.
- 조선소 — 인도 시점까지 E26 산출물을 준비하되, 선주의 운항 단계 요구(Rev.3의 11개 운영관리 항목)를 미리 반영하면 인도 후 재작업이 줄어듭니다.
- 공급사 — E27 대응은 인증서 취득이 아니라 제품의 보안 역량과 그것을 지속하는 엔지니어링 체계를 함께 갖추는 일입니다.
광명마리타임은 개별 규칙이 아닌 이 흐름 전체를 기준으로 설계와 운영을 함께 준비합니다.