I. 배경
최근 대규모 해킹 및 데이터 유출 사고가 잇따라 발생하면서 정보보호 체계 전반에 대한 재검토 필요성이 제기되어 왔습니다. 특히 현행 제도는 사업자의 신고에 기하여 규제기관의 조사가 개시되는 구조로 되어 있어, 초기 대응이 지연되고 피해가 확산될 수 있다는 한계가 지적되어 왔습니다.
이러한 문제의식을 바탕으로 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”) 개정안이 2026년 3월 12일 국회 본회의를 통과하였습니다.
이번 개정은 단순히 제재 수단을 보강하는 데 그치지 않고, 침해사고 대응 체계를 구조적으로 재편하는 한편, 정보보호를 기업의 내부 통제 및 경영 책임 수준으로 격상시켰다는 데 그 의의가 있습니다. 더불어 영리목적의 광고성 정보 전송에 대한 제재 규정 등을 강화하여 불법스팸으로 인한 피해 방지에도 초점을 두고 있습니다.
II. 주요 개정 내용
1. 기업 내부 통제 강화
이번 개정안은 정보보호를 기업의 거버넌스 및 경영 책임의 문제로 명확히 하고 있습니다.
-
CISO 자격 제한 및 권한·책임 확대: 정보통신서비스 제공자는 임원을 정보보호 최고책임자(CISO)로 지정하여야 하며(단, 중기업의 CISO 지정에 대해서는 시행령으로 규정 예정), CISO의 업무에 정보보호에 필요한 인력 관리 및 예산 편성, 이사회에 대한 정보보호 현황 및 주요 사항의 보고 등이 포함됩니다(안 제45조의3).
-
정보보호위원회 설치 의무화: 일정 기준에 해당하는 정보통신서비스 제공자는 정보보호에 관한 심의기구인 정보보호위원회를 설치·운영하여야 하며, CISO를 그 위원장으로 하여야 합니다(안 제45조의4).
2. 정부의 관리•감독 체계 정비
이번 개정안은 기업 내부 통제를 강화함과 동시에 정부의 상시 감독 기능을 제도적으로 확대하고 있습니다.
-
연1회 정보보호 수준 평가 및 공개: 과학기술정보통신부장관은 매년 일정 기준에 해당하는 정보통신서비스 제공자 등에 대하여 정보통신망법상 의무 준수 여부와 정보통신망의 안정성·정보의 신뢰성 수준을 평가하여 그 결과를 인터넷 홈페이지 등에 공개할 수 있습니다. 과학기술정보통신부장관은 평가 과정에서 자료 제출을 요구할 수 있으며, 평가 결과 미흡한 사항에 대해서는 개선을 권고할 수 있습니다. 이때 개선 권고를 받은 대상자는 그 조치 결과를 제출하여야 합니다(안 제45조의5).
-
정보보호 관리체계 인증 차등 적용: 생성·처리되는 정보의 규모 및 사회적 파급력 등을 고려하여 일정 사업자에 대하여 강화된 정보보호 관리체계(ISMS) 인증 기준 및 절차를 적용할 수 있도록 하였습니다(안 제47조의7 제2항).
3. 침해사고 발생시 통지•조사 및 제재 체계 강화
이번 개정안은 침해사고 발생시 정보통신서비스 제공자의 책임을 강화하고 있습니다.
-
이용자 통지 의무 규정: 정보통신서비스 제공자는 일정 기준에 해당하는 침해사고 발생 시 그 사실을 이용자에게 지체 없이 통지하여야 합니다(안 제48조의3 제4항).
-
조사 개시 요건 확대 및 심의기구 신설: 침해사고조사심의위원회가 신설되고(안 제48조의2 제7항 및 제8항), 침해사고가 발생한 경우뿐만 아니라 발생하였다고 의심할 만한 정황이 있어 침해사고조사심의위원회가 그 발생 여부에 대한 조사가 필요하다고 인정하는 경우까지 ‘침해사고 발생 여부 및 원인’을 분석하고 피해 확산 방지 등을 위한 조치를 취하거나 과학기술정보통신부장관이 그 조치의 이행을 명령할 수 있도록 하였습니다(안 제48조의4 제1항 및 제2항).
-
반복적 침해사고에 대한 과징금 및 이행강제금 도입: 정보통신서비스 제공자의 고의 또는 중과실로 5년 이내 2회 이상 침해사고가 발생한 경우 시행령으로 정하는 매출액의 3% 이하 범위 내에서 과징금을 부과할 수 있으며, 과징금 부과시 침해사고의 횟수, 정보 유출과의 관련성 및 그 규모, 업무 형태·규모, 이용자 피해 규모 등을 고려하도록 하였습니다(안 제48조의8). 또한 조사 과정에서의 자료 미제출 또는 허위 제출, 현장조사 방해, 시정명령 불이행 등에 대하여는 이행기간을 정하여 다시 명령하되, 이를 이행하지 않은 경우에는 이행기한이 지난 날부터 1일당 시행령으로 정하는 1일 평균매출액의 0.03% 범위 내에서 이행강제금을 부과할 수 있도록 하였습니다(안 제48조의7).
4. 불법스팸 관련 제재 강화
이번 개정안은 침해사고와 관련된 규정 외에도 불법스팸을 방지하기 위한 전송자격 제한 및 제재 규정 등을 강화하고 있습니다.
-
광고성 정보 전송 위탁 제한: 문자메시지 발송시스템을 전기통신사업자의 전기통신설비에 직접 또는 간접적으로 연결하여 문자메시지를 발송하는 부가통신역무(전기통신사업법 제2조 제14호 나목)를 이용한 영리목적의 광고성 정보 전송을 위탁하는 경우에는 전기통신사업법 제22조의11 제1항에 따라 방송미디어통신위원회의 전송자격인증을 받은 자에게만 위탁하여야 합니다(안 제50조의3 제1항).
-
광고성 정보 전송 관련 규정 위반시 과징금 도입: 영리목적의 광고성 정보 전송 관련 규정(수신자의 사전 동의를 받도록 하는 정보통신망법 제50조 등) 위반시 시행령으로 정하는 매출액의 6% 이하 범위 내에서 과징금을 부과할 수 있도록 하였습니다(안 제50조의9 제1항).
III. 시행 시기 및 시사점
이번 개정안은 원칙적으로 공포 후 6개월이 경과한 날부터 시행되며, 다만, 정보보호 수준에 대한 정기적 평가 제도(안 제45조의5) 및 관련 과태료 규정(안 제76조 제2항 제6호의8)은 공포 후 1년이 경과한 날부터 시행될 예정입니다(부칙 제1조).
시행까지 6개월의 기간이 주어지는 만큼, 기업은 해당 기간 내에 특히 내부 통제제도 및 침해사고 대응 매뉴얼을 선제적으로 정비할 필요가 있으며, 개정법 시행 후 조사 과정에서 이행강제금 규정 등이 적용될 수 있음에 유의하여야 합니다.
법무법인 태평양은 이번 정보통신망법 개정안과 관련하여 시행령 개정 및 세부 기준 마련 과정과 기업의 요구 사항을 지속적으로 모니터링하여, 구체적 사정을 고려한 맞춤형 자문과 최적의 대응 방안을 제공하겠습니다.
[영문 더보기]
