20개 금융업종에 2025년 디지털복원 규칙 적용

적용 금융주체: 20개 유형

적용일: 2025-01-17

유럽 감독기구: 3곳

핵심 법률: 1개

01 · 핵심 요약

디지털 복원력은 해킹을 완전히 막는 능력만 뜻하지 않는다. 장애 중 핵심서비스를 유지하고 공통 ICT 제공자 의존을 파악하는 능력까지 포함한다.

EU는 2025년 1월 17일부터 은행·보험·증권 등 20개 금융주체 유형에 DORA를 적용했다. 경영진 책임, 중대사고 보고, 복원력 시험과 제3자 계약관리를 연결하고 금융회사가 제공자·서비스 위치를 등록부로 관리하도록 한 규칙이다. 유럽 감독기구 3곳은 중요 ICT 제공자를 공동 감독해 한 공급자의 장애가 여러 회사로 번지는 집중위험을 다룬다. 시행은 시작됐지만 위임법령과 중요 제공자 지정·감독은 계속 바뀌며, 공동감독이 각 금융회사의 자체 복구와 계약관리 책임을 대신하지는 않는다.

규모를 읽는 법

DORA 제2조 a부터 t까지 열거된 적용 금융주체는 20개 유형이다. 일반 적용일은 2025년 1월 17일이다. EBA·EIOPA·ESMA 세 유럽 감독기구가 공동 업무를 맡고, 중심 법률은 Regulation (EU) 2022/2554 한 개다. 20개는 회사 수가 아니라 법 조문의 업종 유형이고, 세 곳은 감독기구 수이므로 실제 적용기업이나 사고 건수로 읽을 수 없다. 20개 유형과 적용일은 EUR-Lex 법문, 세 감독기구의 공동업무는 EBA 자료에서 각각 확인된다. 세 감독기구는 공동위원회와 감독체계를 구성하지만 각 금융회사의 직접 감독기관 수를 뜻하지 않는다. 중요 ICT 제공자 지정과 현장감독의 범위도 후속 위임법령·결정에서 구체화된다.

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

DORA는 금융회사의 내부 시스템뿐 아니라 계약으로 연결된 ICT 공급자와 장애 중 핵심서비스 유지능력까지 하나의 복원력 체계로 묶었다.

01
1단계
DORA는 은행·보험·증권뿐 아니라 여러 금융주체의 ICT 위험관리를 한 규칙으로 묶었다.
02
2단계
경영진 책임·사고보고·복원력 시험과 제3자 계약관리를 연결했다.
03
3단계
금융회사는 주요 ICT 제공자와 계약·서비스 위치를 등록부로 구조화했다.
04
4단계
유럽 감독기구는 중요 제3자 제공자를 공동 감독해 개별 회사 외 집중위험을 다루게 됐다.

사건 연표

2022.12.14
EU가 DORA를 채택한다
2022.12.27
규정이 관보에 게재된다
2023~2024
기술표준과 위임법령이 마련된다
2025.1.17
금융주체에 DORA가 적용된다
2025년 이후
ICT 제3자 등록부와 중대사고 보고가 시행된다

왜 가능했나

DORA는 금융회사의 ICT 위험관리, 경영진 책임, 중대사고 보고와 복원력 시험을 공통 규칙으로 연결했다. 금융회사는 주요 ICT 제공자와 계약·서비스 위치를 등록부에 구조화해 공급망 의존을 감독기관에 설명한다. 사고의 심각도와 서비스 영향을 공통 기준으로 보고하게 해 국가별 보고양식 차이도 줄이려 했다.

유럽 감독기구는 중요 제3자 ICT 제공자를 공동 감독해 개별 회사 밖의 집중위험을 다룬다. 2025년 적용 개시 뒤에도 위임법령과 중요 제공자 감독은 계속 갱신된다. 법률 한 개가 모든 기업에 같은 통제나 같은 제재를 부과한다는 뜻은 아니다. 중요 제공자 감독은 금융회사의 자체 책임을 대신하지 않고 계약관리와 복구시험 의무 위에 추가된다.

03 · 같은 일이 여기서 일어난다면

DORA는 한국의 전자금융 복원력과 비교할 수 있지만 적용 주체와 제3자 감독권한은 국내 법으로 다시 확인해야 한다.

01
한국에서는 전자금융거래법과 감독규정상 금융회사·전자금융업자의 책임을 본다. DORA의 20개 유형은 EU 법의 분류이며 국내 적용 회사 수가 아니다. 국내 중요정보통신기반시설 지정과도 범위가 다르다.
02
카카오 데이터센터 장애와 책임지도 사례처럼 공통 공급자 장애가 다수 서비스로 번지는 구조는 같다. DORA는 계약등록부와 중요 ICT 제3자 공동감독을 법제화한 점이 다르다. 책임지도는 내부 역할, DORA는 권역 법률이라는 차이가 있다.
03
국내 금융회사가 EU 현지 법인이나 ICT 제공자를 이용하면 계약·사고보고 요구가 공급망을 통해 닿을 수 있다. 이는 한국 소비자의 자동 배상이나 EU법 직접 적용을 뜻하지 않는다. 국외 데이터 위치와 재위탁자까지 계약망을 따라 본다.

연결해서 볼 국내 사건

카카오 데이터센터 화재와 금융서비스 장애 →금융회사 책무구조도 →

DORA의 핵심은 금융회사 내부 보안에서 공통 ICT 공급망까지 감독범위를 넓힌 데 있다. 한국에서는 실제 위탁계약과 서비스 위치를 기준으로 간접 적용과 책임을 판단해야 한다. 제도 시행 뒤의 관건은 명목상 적용 여부보다 중요 제공자 지정과 사고보고·복구시험이 실제 공급망에서 작동하는지다.

관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.

04 · 근거 자료

판단을 다시 확인할 자료

사실관계 기준일은 2026.09.04입니다. 사건 규모의 숫자는 각 항목에 적힌 범위와 시점을 함께 읽어야 합니다.