10월 1일부터 개정된 정보통신망법과 시행령이 시행되면서 기업의 보안 책임 체계가 크게 바뀝니다. 이제 정보보호 최고책임자(CISO)는 일반 직원이 아닌 임원급으로 지정해야 하고, 경영진이 참여하는 정보보호위원회도 의무적으로 만들어야 합니다. 매출이 크거나 최근 사고 이력이 있는 기업은 더 까다로운 보안 인증(ISMS 강화인증)을 받아야 하며, 정부는 사고 정황만 있어도 먼저 조사에 나설 수 있게 됐습니다. 정부 명령을 계속 따르지 않으면 매일 매출액의 0.02%씩 이행강제금이 쌓이고, 고의나 중대한 실수로 같은 사고가 반복되면 관련 매출액의 최대 3%까지 과징금을 물 수 있습니다. 결국 보안을 단순한 인증 취득 문제가 아니라 경영진이 직접 챙겨야 할 책임으로 못 박은 것이 핵심입니다.
개정 정보통신망법과 시행령이 2026년 10월 1일부터 시행돼 기업의 사이버보안 책임 체계가 전면 개편됐다.
대상 기업은 CISO를 임원급으로 지정하고 정보보호위원회를 운영해야 하며, 대형·고위험 기업은 더 엄격한 ISMS 강화인증을 받아야 한다. 정부 명령 불이행 시 이행강제금, 반복 사고 시에는 매출액 3% 이내 과징금이 부과될 수 있다.
잇따른 대형 침해사고로 보안을 실무 부서만의 문제가 아닌 경영진 차원의 책임으로 다뤄야 한다는 문제의식이 반영됐다.
과기정통부는 침해사고조사심의위원회를 통해 사고 정황만으로도 직권 조사에 나설 수 있도록 하고, ISMS 인증 심사도 서면과 현장심사를 병행하며 기술적 취약점 점검까지 강화했다.
기업은 ISMS 인증 취득만으로 의무를 다했다고 볼 수 없으며, 경영진의 보안 위험 보고 체계, 예산·인력 확보, 취약점 적시 조치, 재발방지 이행 여부가 핵심 점검 대상이 된다.
본문
대형 사이버 침해사고가 잇따르면서 기업의 정보보호를 단순한 실무 부서의 업무가 아닌 경영진 차원의 책임으로 끌어올리는 제도 변화가 본격화됐다.
과학기술정보통신부는 개정된 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)'과 시행령이 10월 1일부터 시행됐다고 밝혔다. 이번 개정의 핵심은 정보보호 최고책임자(CISO)의 지위와 권한 강화, 정보보호위원회 의무 설치, 정보보호 관리체계(ISMS) 강화인증 도입, 정부의 선제적 침해사고 조사 권한 확대, 반복적인 침해사고에 대한 과징금 신설 등이다.
특히 이번 법 개정은 사고 발생 이후 조사와 복구에 치중했던 기존 제도에서 벗어나 기업의 평상시 보안 거버넌스와 예방 조치를 강화하고, 사고가 반복될 경우 경영 차원에서 경제적 책임까지 지도록 하는 방향으로 규제의 무게중심을 옮겼다는 점에서 주목된다.
CISO 지위 '임직원'에서 '임원'으로…보안 의사결정 경영진 수준으로
가장 큰 변화 중 하나는 CISO의 지위 강화다.
개정 정보통신망법 제45조의3은 일정 기준에 해당하는 정보통신서비스 제공자가 CISO를 임원급으로 지정하도록 규정했다. 법률상 임원뿐 아니라 상법상 업무집행지시자와 집행임원 등도 포함될 수 있다. 기존에는 임직원 가운데 CISO를 지정할 수 있었지만 앞으로 대상 기업은 원칙적으로 경영 의사결정에 참여할 수 있는 임원급 인사를 CISO로 둬야 한다.
다만 기업 규모와 인력 여건을 고려해 중기업은 기존과 같이 정보보호 관련 부서장을 CISO로 지정할 수 있도록 예외를 뒀다. 새롭게 임원급 CISO 지정 대상이 되는 기업에는 6개월의 유예기간도 적용된다.
이번 조치는 CISO에게 책임만 부여하면서 정작 예산과 인력 확보, 사업부서와의 조정 권한은 부족하다는 그간의 지적을 반영한 것으로 풀이된다. 보안조직이 경영진에게 사고 위험을 보고하는 수준을 넘어 투자와 사업 의사결정 과정에 직접 관여할 수 있도록 제도적 지위를 높인 것이다.
CISO 중심 '정보보호위원회' 의무화…CEO·이사회까지 보고
기업 내부의 보안 의사결정 구조도 달라진다.
일정 기준에 해당하는 정보통신서비스 제공자는 정보보호위원회를 설치·운영해야 한다. 법률은 CISO를 위원장으로 지정하도록 명시하고 있다.
정보보호위원회에는 IT 개발, 개인정보보호, 인사, 재무 등 주요 부서 책임자가 참여하며 정보보호 예산과 인력, 주요 보안 정책과 투자 등 부서 간 협력이 필요한 사안을 심의한다.
위원장은 심의 결과를 CEO에게 보고하고, 주요 사안은 이사회에도 보고하도록 했다.
이는 사이버보안을 특정 보안조직만의 업무에서 벗어나 전사적 리스크 관리 체계에 포함시키려는 조치다. 대규모 침해사고가 발생할 경우 기술적 취약점뿐 아니라 예산 부족, 노후 시스템 방치, 보안 인력 부족, 경영진의 투자 판단 등이 복합적으로 작용하는 만큼 주요 보안 위험을 경영진 차원에서 관리하도록 제도화한 것이다.
대형·고위험 사업자는 'ISMS 강화인증' 적용
정보보호 관리체계 인증제도도 강화된다.
기존 ISMS 인증 의무대상 가운데 사고 발생 시 국민 생활과 사회에 미칠 영향이 큰 사업자에는 별도의 '강화인증'이 적용된다.
시행령을 보면 강화인증 대상은 ▲전년도 매출액 1조원 이상인 주요 정보통신서비스 제공자와 집적정보통신시설 사업자 ▲전년도 매출액 3조원 이상인 정보통신서비스 제공자 ▲최근 3년 이내 침해사고가 발생해 민·관합동조사단 조사를 받았거나 과징금 처분을 받은 정보통신서비스 제공자 등이다.
특히 한 차례 중대한 사고를 겪은 기업이 인증만 다시 받고 기존 수준의 보안체계를 유지하는 것을 막기 위해 최근 사고 이력이 있는 기업도 강화인증 대상으로 포함한 점이 눈에 띈다.
인증 방식도 달라진다. 기존에는 상황에 따라 선택적으로 이뤄지던 심사를 서면심사와 현장심사를 병행하는 방식으로 강화한다. 강화인증 대상 기업이나 침해사고 발생 기업에는 취약점 점검 등 기술적 심사도 실시한다.
정부는 이를 통해 문서와 규정이 갖춰져 있는지만 확인하는 인증에서 실제 시스템의 보안 수준까지 검증하는 방향으로 전환한다는 방침이다.
현재 ISMS 의무대상에는 정보통신서비스 부문 매출액 100억원 이상인 사업자와 전년도 일평균 이용자 수 100만명 이상 사업자 등이 포함되며, 매출 또는 세입 1,500억원 이상인 상급종합병원과 재학생 1만명 이상 대학 등도 일정 요건에서 대상이 된다.
'사고 났다는 정황'만 있어도 정부 선제 조사 가능
침해사고 조사 방식도 크게 바뀐다.
그동안 정부 조사는 기업이 침해사고를 신고하거나 사고 사실이 명확하게 드러난 이후 시작되는 경우가 많았다. 앞으로는 침해사고가 발생했다는 정황이 확보될 경우 정부가 직권으로 조사에 착수할 수 있는 법적 기반이 강화된다.
이를 위해 과기정통부 소속 '침해사고조사심의위원회'가 운영된다. 위원회는 위원장을 포함한 민간·공공 분야 전문가 15명으로 구성되고 민간위원 임기는 2년이다.
정부가 확보한 기술적 징후와 사고 정황을 바탕으로 조사의 필요성을 판단해 보다 신속하게 대응하겠다는 취지다.
기업의 신고 여부에만 의존하지 않고 정부가 외부에서 포착된 공격 흔적이나 유출 정황 등을 바탕으로 선제적으로 움직일 수 있다는 점에서 침해사고 대응체계의 변화가 예상된다.
정부 명령 계속 무시하면 '하루 평균 매출액 0.02%' 이행강제금
정부 조사와 시정조치의 실효성을 높이기 위한 경제적 제재도 강화됐다.
정부의 시정명령이나 자료제출 요구를 이행하지 않는 사업자에게는 미이행 기간에 따라 이행강제금을 부과할 수 있다.
부과 기준은 미이행 일수마다 1일 평균 매출액의 0.02%다.
즉 자료제출이나 보안조치 명령을 장기간 이행하지 않을수록 금액이 계속 늘어나는 구조다. 기존 과태료처럼 한 차례 부과하고 끝나는 것이 아니라 사업자가 실제 명령을 이행할 때까지 경제적 압박을 가하는 장치라는 점에서 차이가 있다.
침해사고 신고를 지연한 경우에 대한 과태료 수준도 상향돼 사고를 인지하고도 신고를 늦추거나 사실을 축소하려는 행위에 대한 규제 역시 강화됐다.
고의·중과실로 침해사고 반복되면 '관련 매출액 3%' 과징금
가장 강력한 변화는 반복적인 침해사고에 대한 과징금 도입이다.
고의 또는 중대한 과실로 침해사고가 반복적으로 발생한 사업자에게는 사고의 중대성 등을 고려해 관련 매출액의 3% 이내에서 과징금을 부과할 수 있다.
단순히 사이버 공격을 당했다는 이유만으로 과징금이 부과되는 구조는 아니다. 핵심은 '고의 또는 중과실'과 '반복적인 침해사고'다.
기업이 이미 취약점이나 보안 위험을 알고 있었거나 정부의 개선 요구를 받았음에도 적절한 조치를 하지 않아 같은 유형의 사고가 반복되는 경우 등이 주요 판단 대상이 될 가능성이 크다.
법령 개정 이유에서도 침해사고 예방과 신속한 대응, 피해자 보호를 강화하고 반복적으로 침해사고가 발생한 사업자에게 과징금을 부과할 수 있도록 한 것이 주요 개정 취지로 명시됐다.
이에 따라 앞으로 침해사고 조사에서는 공격자가 어떤 취약점을 악용했는지만큼 기업이 사고 이전 위험을 알고 있었는지, 개선조치를 했는지, 경영진과 CISO가 보안 위험을 어떻게 관리했는지가 중요해질 것으로 보인다.
보안 규제 중심축 '사후 책임'에서 '예방·경영 책임'으로
이번 정보통신망법 개정은 개별 보안 통제를 추가하는 수준을 넘어 기업 사이버보안 책임 구조를 바꾸는 데 초점이 맞춰져 있다.
CISO를 임원급으로 끌어올리고 정보보호위원회를 설치하도록 한 것은 사이버 위험을 기술부서 문제가 아닌 경영 리스크로 관리하라는 의미다. 여기에 ISMS 강화인증과 기술심사를 통해 사고 이전의 보안 수준을 점검하고, 사고 정황 단계에서 정부가 선제 조사에 나설 수 있도록 했다.
반대로 기업이 정부의 시정명령을 이행하지 않거나 충분한 개선 조치 없이 사고를 반복할 경우 이행강제금과 과징금으로 책임을 묻도록 했다.
기업 입장에서는 앞으로 ISMS 인증 취득 여부만으로 정보보호 의무를 충족했다고 보기 어려워졌다. 경영진이 주요 보안 위험을 정기적으로 보고받았는지, 필요한 예산과 인력을 확보했는지, 발견된 취약점을 적시에 처리했는지, 사고 이후 재발방지 조치를 실질적으로 수행했는지 등이 중요해질 전망이다.
특히 최근 3년 이내 민·관합동조사단 조사를 받거나 과징금 처분을 받은 기업을 ISMS 강화인증 대상으로 다시 관리하도록 한 것은 사고 발생 후 재발방지 대책이 실제 현장에서 이행됐는지를 지속적으로 검증하겠다는 의미도 담고 있다.
배경훈 부총리 겸 과기정통부 장관은 이번 법령 시행과 관련해 기업이 보안을 단순한 비용이 아니라 경영의 필수 요소로 인식하고 적극적인 투자로 이어가야 한다는 취지로 강조했다. 정부도 제도가 현장에 정착할 수 있도록 지원한다는 방침이다.
사이버 침해사고가 기업 내부의 기술적 사고를 넘어 대규모 개인정보 유출과 서비스 중단, 국민 생활 피해로 이어지는 사례가 증가하는 상황에서 이번 제도 시행은 기업 보안 책임을 CISO와 실무조직에서 CEO와 이사회 수준까지 확대하는 전환점이 될 것으로 보인다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
