개정 정보통신망법의 주요 내용: 침해사고 대응 및 불법스팸에 관한 규제


법무법인 대륙아주 김정은 변호사¹
법무법인 대륙아주 나희수 변호사



1. 들어가며

이동통신사, 금융회사 등에서 대규모 고객정보 유출 사고가 반복되는 상황에서 정보보호 관련 제도의 전면 개편이 필요하다는 지적에 따라 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”) 개정안이 2026. 3. 12. 국회 본회의를 통과하였습니다. 

개정안은 침해사고 예방·대응 체계 강화 및 불법스팸 전송 규제 강화를 핵심 내용으로 하며, 그 외 정보보호 최고책임자(CISO)에 관한 규정 정비, 과학기술정보통신부장관의 정보보호수준 평가, 정보보호 관리 체계 인증(ISMS) 제도 개선 등을 포함하고 있습니다. 

이하에서 개정 정보통신망법의 주요 내용을 살펴보겠습니다.



2. 정보통신망법 개정안의 주요 내용

가. 정보보호 최고책임자(CISO)에 관한 규정 정비

개정안은 정보보호 거버넌스 체계가 기업 내부에서 실질적으로 작동할 수 있도록 책임 구조에 관한 규정을 정비하였습니다.

먼저, 주요 정보통신서비스 제공자, 집적정보통신시설 사업자, 그 밖에 대통령령으로 정하는 정보통신서비스 제공자는 정보보호 분야 전문성을 갖춘 인력과 충분한 예산을 확보하도록 노력하여야 한다는 규정이 마련되었습니다(제45조 제5항).

또한, 정보통신서비스 제공자는 임원을 정보보호 최고책임자(CISO)로 지정하도록 하고[다만, 중기업의 정보보호 최고책임자(CISO) 지정에 대해서는 시행령으로 규정할 예정입니다], 정보보호 최고책임자(CISO)의 업무로 정보보호에 필요한 인력 관리 및 예산 편성, 정보보호 현황 및 주요 사항에 대한 이사회 보고, 그 밖에 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 사항이 명시되었습니다(제45조의3).

나아가, 자산총액, 매출액 등이 대통령령으로 정하는 일정 규모 이상의 정보통신서비스 제공자는 정보보호에 관한 사항을 심의하기 위하여 정보보호 최고책임자(CISO)를 위원장으로 하는 정보보호위원회를 설치·운영하도록 하였습니다(제45조의4).


나. 과학기술정보통신부장관의 정보보호수준 평가

개정안에 따르면, 과학기술정보통신부장관은 사업의 종류, 매출액 규모, 이용자의 수 등이 대통령령으로 정하는 기준에 해당하는 자로 하여금 매년 정보보호수준 평가를 실시하도록 하여야 합니다. 과학기술정보통신부장관은 위 평가에 따른 결과를 인터넷 홈페이지 등을 통하여 공개하거나, 위 평가 결과를 기반으로 사업자에게 개선 권고를 할 수 있습니다(제45조의5).


다. 정보보호 관리 체계 인증(ISMS) 제도 개선

개정안에 따르면, 과학기술정보통신부장관은 생성·처리하는 정보의 규모와 사회적 파급력으로 인해 침해사고 발생 시 중대한 위험을 초래할 우려가 있는 자에 대해서는 정보보호 관리 체계 인증(ISMS) 기준 및 절차를 강화하여 적용할 수 있습니다(제47조의7 제2항).

한편, 인증을 받은 자가 정보보호 관련 법령을 중대하게 위반한 경우에는 과학기술정보통신부장관이 정보보호 관리 체계 인증을 취소할 수 있도록 하였습니다(제47조 제10항 제4호).


라. 침해사고 대응 체계 강화

개정안은 침해사고 대응을 위해 과학기술정보통신부에 침해사고 조사심의위원회를 설치하도록 하였습니다. 위 위원회는 침해사고 발생 여부에 대한 조사 필요성, 민관합동 조사단 구성 필요성, 공무원 및 민관합동조사단의 사업장 출입 조사, 그 밖에 침해사고 조사에 필요한 사항으로서 대통령령으로 정하는 사항을 심의합니다(제48조의2 제7항).

또한, 개정안은 침해사고의 신고와 관련하여 정보통신서비스 제공자로 하여금 ‘침해사고의 발생 사실을 알게 된 때부터 24시간 이내’에 ‘침해사고의 발생 일시 및 대응 현황 등 대통령령으로 정하는 사항’을 신고하도록 하여, 신고 기간 및 신고 사항을 보다 구체화하였습니다(제48조의3 제1항).

나아가, 개정안에 따르면, 정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생한 경우에는 지체 없이 이용자에게 해당 침해사고의 발생 사실을 통지하여야 합니다(제48조의3 제4항).

한편, 기존 정보통신망법은 침해사고가 발생하면 사후적으로 그 원인을 분석하고 재발 방지 등에 필요한 조치를 하도록 정하였으나, 개정안은 침해사고가 발생하였거나 내부 정보 유출 등 침해사고가 발생하였다고 의심할 만한 정황이 있어 침해사고 조사심의위원회가 침해사고 발생 여부에 대한 조사가 필요하다고 인정하는 경우에는 침해사고의 발생 여부 및 원인을 분석하고 그 결과에 따라 피해의 확산 방지를 위하여 사고대응, 복구 및 재발 방지에 필요한 조치를 하도록 함으로써, 침해사고 분석 등의 범위를 확대하였습니다(제48조의4).


마. 침해사고 관련 제재 강화

개정안에서는, 정보통신서비스 제공자의 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 반복적으로 발생한 경우, 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 하였습니다(제48조의8 제1항). 과징금을 부과함에 있어서는 ① 침해사고의 횟수, ② 정보통신서비스 제공자의 고의·과실 여부, ③ 침해사고로 인해 정보가 유출·위조·변조·훼손된 경우 위반행위와의 관련성 및 유출·위조·변조·훼손의 규모, ④ 침해사고로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부, ⑤ 정보통신서비스 제공자의 업무 형태 및 규모, ⑥ 침해사고가 이용자에게 미치는 영향 및 이용자의 피해 규모, ⑦ 침해사고 예방 및 신속한 대응을 위한 노력이 고려됩니다(제48조의8 제2항). 다만, 개인정보처리자가 처리하는 개인정보가 분실·도난·유출·위조·변조·훼손된 경우에 해당하여 개인정보 보호법 제64조의2 제1항 제9호에 따른 과징금 부과 대상이 되는 경우에는, 위 규정의 적용대상이 되지 아니합니다(제48조의8 제4항).

또한, 정보통신서비스 제공자가 시정명령 불이행, 자료 제출 거부, 조사 방해 등을 하는 경우에는 이행강제금을 부과할 수 있도록 하였습니다(제48조의7). 구체적으로, 과학기술정보통신부장관은 정보통신서비스 제공자가 시정명령을 따르지 아니하거나 자료를 제출하지 아니하거나 거짓으로 제출하는 경우 또는 사업장 출입 및 조사를 방해하거나 거부 또는 기피하는 경우에는 이행기한을 정하여 시정명령의 이행, 자료의 제출 또는 조사 협조를 다시 명령할 수 있으며, 이를 이행하지 아니한 자에게는 이행기한이 지난 날부터 1일당 대통령령으로 정하는 1일 평균매출액의 1만분의 3의 범위에서 이행강제금을 부과할 수 있습니다(제48조의7 제1항).

나아가, 침해사고 발생 시 정보통신서비스 제공자는 이용자의 피해 확산 방지 및 신속한 피해 구제를 위하여 필요한 조치를 하여야 하며, 조치의 내용 및 결과 등 침해사고로 인한 이용자 피해 구제 등에 관한 사항을 대통령령으로 정하는 바에 따라 과학기술정보통신부장관에게 제출하여야 합니다(제48조의10).


바. 불법 스팸 규제 강화

개정안에 따르면, 누구든지 영리 목적의 광고성 정보 전송을 타인에게 위탁하려는 경우, 전기통신사업법상 전송자격인증을 받은 사업자에게만 위탁하도록 하여야 합니다(제50조의3). [다만, 이는 전기통신사업법 제2조 제14호 나목의 역무(문자메시지 발송시스템을 전기통신사업자의 전기통신설비에 직접 또는 간접적으로 연결하여 문자메시지를 발송하는 부가통신역무)를 이용한 영리목적의 광고성 정보 전송을 위탁하는 경우에 한정됩니다.]

또한, 정보통신서비스 제공자는 자신이 제공하는 서비스가 위법한 광고성 정보 전송에 이용되고 있는 경우에는, 대통령령으로 정하는 유형 및 기준에 따라 광고성 정보 전송의 즉시 중단, 서비스 거부 또는 이용 계약 해지, 보안 체계 취약점 점검·개선, 이용 약관 및 이용 계약 개선, 위반행위 재발 방지 계획 수립 및 점검 등 조치를 취하여야 합니다(제50조의4 제4항).

나아가, 영리 목적의 광고성 정보 전송 관련 규정을 위반한 경우에는 방송미디어통신위원회가 대통령령으로 정하는 매출액(단, 위반행위와 관련이 없는 매출액은 제외)의 6%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 하였습니다(제50조의9). 이때, 정보통신서비스 제공자가 정당한 사유 없이 매출액 산정 자료의 제출을 거부하거나 거짓 자료를 제출하였을 때에는 해당 정보통신서비스 제공자의 전체 매출액을 기준으로 산정하되 해당 정보통신서비스 제공자 및 비슷한 규모의 정보통신서비스 제공자의 재무제표 등 회계자료와 가입자 수 및 이용요금 등 영업 현황 자료를 근거로 매출액을 추정할 수 있습니다(제50조의9 제2항 단서).



3. 시사점

이번 개정안은 정보통신서비스 제공자에게 임원을 정보보호 최고책임자(CISO)로 지정할 의무를 부여하고 CISO를 위원장으로 하는 정보보호위원회를 설치·운영하도록 하고 있는바, 정보보호에 관한 책임을 임원 등 경영진 차원으로 끌어올리려는 정책적 의지를 드러내는 것으로 볼 수 있습니다. 이에 따라 기업으로서는 정보보호 최고책임자(CISO)를 형식적으로 임원으로 지정하는 데 그칠 것이 아니라, 정보보호 관련 인력·예산에 대한 실질적 통제 권한을 부여하고, 이사회 보고체계를 구축하는 등 내부 통제체계가 실제로 작동할 수 있도록 정비하는 것이 바람직합니다.

한편, 이번 개정안은 정보보호 수준 평가의 정기 실시 및 결과 공개, 정보보호 관리 체계 인증(ISMS) 제도의 개선 등을 통해 기업의 정보보호 체계를 사후 대응을 넘어 사전 예방 중심으로 전환하고자 하는 것으로 이해됩니다. 따라서 기업으로서는 보안 점검 프로세스, 침해사고 대응 매뉴얼 등을 사전에 정비하고, 침해사고 대응을 넘어 예방 중심의 정보보호 체계가 실질적으로 작동할 수 있도록 준비할 필요가 있습니다.

이번 개정안은 공포 후 6개월이 경과한 날부터 시행되므로[정보보호 수준에 대한 평가 제도(안 제45조의5) 및 관련 과태료 규정(안 제76조 제2항 제6호의8)은 공포 후 1년이 경과한 날부터 시행(부칙 제1조)], 기업으로서는 해당 기간 내에 개정법에 맞추어 정보보호에 관한 내부 시스템을 점검하고 정비하는 것이 필요합니다.


 

1. 현재 법무법인(유한) 대륙아주의 파트너변호사로서, 주요 업무분야는 지적재산, 정보보안, TMT (Technology, Media & Telecom), 엔터테인먼트, 바이오/헬스케어 등입니다. 지적재산권, 영업비밀, 부정경쟁행위, 개인정보보호 관련 민·형사 소송 및 자문 등의 업무를 주로 담당하고 있으며, 개인정보보호위원회 개인정보보호 기본계획(2024-2026) 수립 연구반으로 활동하였습니다.