FMI 사이버 복원력 감시기준(CROE)
유럽중앙은행(ECB)은 지속적으로 새로운 형태의 사이버 공격이 나타남에 따라 FMI의 사이버 복원력 향상이 긴요하다는 인식을 반영하여 2018년 12월「FMI 사이버 복원력 감시기준」(CROE, Cyber Resilience Oversight Expectations for FMIs)을 공표하였다.
CROE는 CPMI-IOSCO가 2016년 6월 제정한「FMI 사이버 복원력 지침」을 보다 구체화한 것으로 FMI에게는 사이버 복원력과 관련하여 보다 세부적인 지침을 제시하고, 감시자에게는 FMI평가를 위한 명확한 기준을 제시함과 아울러 FMI와 감시자 간 사이버 복원력 제고를 위한 논의를 활성화하는 데 목적을 두고 있다.
CROE는 리스크관리의 주요사항을 다루는 5개 장과 이를 지원하는 3개 장 등 총 8개 장으로 구성되어 있다.
5개 주요사항은 ①지배구조, ②식별, ③보호, ④탐지, ⑤대응으로, 3개 지원항목(overarching components)은 ⑥시험, ⑦상황인지, ⑧학습 및 발전으로 각각 구성되어 있다.
각 장에서는 사이버 복원력 향상을 위해 FMI가 준수해야 할 기대수준(level of expectation)을 발전단계(evolving), 심화단계(advancing), 혁신단계(innovating) 등 3단계로 나누어 기술하였다.
발전단계는 FMI가 기본적으로 갖추어야 하는 기준을 제시하고 있으며, 심화단계는 발전단계에 더하여 FMI가 사이버 복원력 향상을 위해 보다 진보된 수단을 활용하는 방안 등을 포함한다.
그리고 최상위수준인 혁신단계는 발전·심화단계에 더하여 FMI 및 에코시스템 전체의 사이버 복원력 강화를 위해 필요한 권고사항 등에 대해 기술하고 있다.
ECB는 ECB가 감시권한을 갖는 중요지급시스템(SIPS, Systemically Important Payment Systems)과 증권대금결제시스템(T2S, Target2-Securities) 등의 감시 기준으로 CROE를 채택하여 적용할 예정이다.
이 때 적용되는 감시수준으로는 중요지급시스템과 증권대금결제시스템은 심화단계를, 기타지급시스템은 발전단계를 충족할 것을 권고하고 있다.
한편 ECB는 역내 각국 중앙은행 등이 독자적인 감시권한을 갖는 중앙예탁기관(CSD), 증권결제시스템(SSS), 중앙거래당사자(CCP) 등에 대해서는 관련 당국이 CROE 채택 여부를 결정할 수 있도록 하였다.
아울러 ECB는 관련 감시·감독 당국이 FMI의 규모, 거래량, 금융시스템에서의 역할 등을 고려하여 어느 정도의 감시수준을 적용하는 것이 적합한지 스스로 판단하도록 하는 등 CROE를 유연하게 적용할 수 있도록 하였다.