무슨 일이 있었나
2026년 7월 31일, 세 유럽 감독 당국(EBA, EIOPA, ESMA — 'ESAs')은 'ESA Statement Toward a consistent and risk-based approach for ICT risks from frontier AI models'(JC 2026 25)를 공동 발표했습니다. 본 성명은 DORA의 ICT 위험 관리 프레임워크와 AI Act의 GPAI 시스템 위험 규정을 토대로 금융, 보험 및 증권 전반에 걸친 AI 가속화 사이버 위험에 대한 부문 간 위험 기반 일관된 감독 접근 방식을 촉구합니다. 이는 세 가지 위험 완화 전략 — 예방(AI/ML 구성 요소를 포함한 자산 목록, 보안 설계, 패칭), 탐지(확대된 취약점 발견) 및 관리 — 를 제시하며, 중요 ICT 제3자 제공자(CTPPs)에 대한 계획된 DORA 감독 활동의 업데이트를 포함합니다. 본 성명은 ESRB의 2026년 6월 25일 경고(ESRB/2026/3)와 같은 달에 발표된 ENISA의 프론티어 AI 사이버보안 견해를 명시적으로 기반으로 합니다.
왜 중요한가
이는 프론티어 AI 주도의 ICT/사이버 위험을 구체적으로 다루는 세 EU 금융 감독 당국 모두의 첫 번째 공동 성명으로, AI 보안을 일반적인 사이버보안 관심사에서 EU 은행, 보험사 및 투자회사를 위한 명시적인 부문 간 감독 기대사항으로 격상시킵니다. '성명'으로 표현되었지만 구속력 있는 기술 표준이나 지침은 아니며, 임박한 감독 대화 및 검토 초점을 신호하고 DORA의 ICT 제3자 감독 체계에 직접 기여합니다.
필요한 조치
EU 규제 금융 기관은 감독 대화에 앞서 ICT 위험 관리 프레임워크, AI/ML 자산 목록 및 사건 대응/복구 계획을 ESAs의 예방/탐지/관리 프레임워크 대비 벤치마킹해야 하며, CTPPs는 관련 DORA 감독 활동 업데이트를 추적해야 합니다.