NIA, 3000억 규모 공공 DR 9차 ISP 사업 발주…ISO 22301 기반 재해복구 청사진 완성 단계

핵심 요약

- 한국지능정보사회진흥원(NIA)이 2026년 공공 재해복구시스템(DR) 구축 ISP 사업 9차를 발주하며 총 3000억 원 규모 본 구축 사업의 마지막 설계 단계 진입 - 공공기관의 업무연속성관리(BCM) 및 ISO 22301 준수를 위한 DR 인프라 표준화 작업이 최종 단계에 도달 - IT 서비스 및 클라우드 업계의 대규모 수주전 본격화 예상, 재해경감 및 복구 역량이 핵심 평가요소로 부상

주요 내용

한국지능정보사회진흥원(NIA)이 2026년 8월 '공공 재해복구시스템(DR) 구축 ISP 사업(9차)'의 사전규격을 공개하고 정식 발주 절차에 돌입했다. 이번 9차 ISP 사업은 향후 추진될 총 3000억 원 규모의 본 구축 사업을 위한 최종 청사진을 마련하는 사업으로, 공공부문 전체의 재해복구 체계를 완성하는 핵심 단계다.

공공 DR 사업은 자연재해, 사이버 공격, 시스템 장애 등으로 인한 공공서비스 중단을 방지하기 위해 2010년대 중반부터 단계적으로 추진되어 왔다. 특히 2020년 이후 코로나19 팬데믹과 대규모 사이버 공격 사례가 증가하면서 공공기관의 업무연속성관리(Business Continuity Management, BCM) 필요성이 더욱 강조되고 있다. 이번 9차 ISP는 그동안 구축된 DR 인프라의 통합·표준화와 함께 클라우드 기반 DR 전환 방안을 포함할 것으로 예상된다.

NIA는 이번 사업을 통해 공공기관별로 상이하게 운영되던 재해복구 체계를 ISO 22301(사회안전-비즈니스연속성관리시스템) 국제표준에 부합하도록 재정비하고, 목표복구시간(RTO)과 목표복구시점(RPO) 기준을 명확히 설정할 계획이다. 또한 온프레미스와 클라우드를 아우르는 하이브리드 DR 아키텍처 설계가 핵심 과제로 다뤄질 전망이다.

이번 발주로 IT 서비스 기업, 클라우드 사업자, 보안 및 백업 솔루션 업체 간 치열한 수주 경쟁이 예상된다. 특히 재해경감우수기업 인증, 안전한국훈련 참여 경험, ISO 22301 인증 보유 여부 등이 사업자 선정 시 중요한 평가 기준이 될 것으로 보인다.

전문가 시각

재해경감 인증심사원이자 LH공사 재해경감우수기업 인증심사를 수행한 필자의 관점에서, 이번 9차 ISP 사업은 단순한 기술 구축이 아닌 '공공부문 리질리언스(회복탄력성) 체계 완성'이라는 전략적 의미를 지닌다. 공공기관은 이번 ISP 결과를 기반으로 자체 BIA(업무영향분석)와 RA(위험평가)를 재점검하고, 핵심 업무 프로세스별 RTO/RPO를 현실화해야 한다. 특히 기업재난관리사 자격을 갖춘 담당자를 배치하고 정기적인 DR 훈련 및 복구 테스트를 의무화하는 것이 필수적이다.

참여 사업자 입장에서는 단순한 백업·복구 기술 제안을 넘어, ISO 22301 기반의 BCM 컨설팅 역량과 안전한국훈련 등 실전 훈련 지원 경험을 강조해야 한다. 또한 재해경감우수기업 인증 취득 여부는 사업 수행 신뢰도를 입증하는 핵심 요소가 될 것이다. 클라우드 DR 전환 시에는 데이터 주권, 개인정보 국외이전 제한 등 ISMS-P 요구사항을 함께 고려한 설계가 필요하며, 이는 향후 심사 시 중요한 평가 포인트로 작용할 것이다.

CPPG·ISMS-P 연계 포인트

업무연속성관리(BCM) 및 재해복구(DR) 요구사항
ISMS-P 인증기준 2.9(업무연속성 관리)는 조직이 재해·재난 발생 시에도 핵심 업무를 지속할 수 있는 체계를 구축하도록 요구한다. BIA를 통해 핵심 자산과 업무를 식별하고, RTO/RPO를 설정하며, 정기적인 DR 훈련과 복구 테스트를 수행해야 한다. 공공 DR ISP 사업은 이러한 요구사항의 실무 적용 사례로, 시험에서 BCM 프로세스와 ISO 22301 연계 문제로 출제될 수 있다.

백업 및 복구 통제
ISMS-P 2.8.8(백업 및 복구 관리)은 중요 정보자산의 백업 주기, 보관 장소, 암호화, 복구 테스트 등을 명시하도록 규정한다. 특히 개인정보를 포함한 백업 데이터는 암호화 저장과 접근통제가 필수이며, 원격지 백업 시 물리적·논리적 분리 원칙을 준수해야 한다. DR 구축 시 클라우드 활용 여부와 관계없이 이러한 통제 사항이 반드시 반영되어야 하며, 시험에서는 백업 정책 수립 및 복구 절차 검증 방법에 대한 문제가 출제될 수 있다.