[법령 ②] 정보통신망법 전면 개정 — 24시간 신고, CISO 임원급, 이행강제금 도입

개정 배경 — 2025년이 만든 법

2025년 대규모 침해사고와 개인정보 유출사고가 잇따르면서 입법 논의가 빠르게 진행됐다. 정보통신망법 개정안(의안번호 제14896호)과 전기통신사업법 개정안은 2026년 3월 12일 국회 본회의를 통과했고, 과기정통부는 3월 24일 국무회의에서 개정안을 의결했다.

① 침해사고 신고 — 24시간

개인정보보호법의 72시간(유출 가능성 인지 시점)과 정보통신망법의 24시간(침해사고 인지 시점)은 기산점도 시한도 다르다. 두 법이 동시에 적용되는 사업자는 하나의 사고에 대해 서로 다른 두 개의 시계를 동시에 돌려야 한다. 대응 매뉴얼에서 이 둘을 분리해 관리하지 않으면 반드시 사고가 난다.

② CISO 임원급 격상과 정보보호위원회

• CISO의 임원급 격상 및 정보보호위원회 설치가 의무화됐다
• 보안 책임자가 실질적 의사결정 권한을 갖도록 하는 것이 입법 취지다
• 개인정보보호법의 CPO 이사회 의결 요건과 짝을 이루는 구조 — 보안 거버넌스를 이사회 레벨로 끌어올리는 것이 2026년 입법의 공통 방향이다

③ 침해사고조사심의위원회 — 의심만으로 직권조사

해킹 의심 정황만으로 정부가 직권조사를 개시할 수 있는 침해사고조사심의위원회가 신설됐다. 기업이 신고하지 않아도, 사고가 확인되지 않아도 조사가 시작될 수 있다는 뜻이다. "일단 덮고 본다"는 선택지가 제도적으로 닫혔다.

④ 반복 침해사고 과징금 + 이행강제금

이 밖에 과기정통부장관의 침해사고 관리 · 대응 매뉴얼 표준안 마련 · 보급 의무와 이용자 피해구제 강화 규정이 신설됐다. (제48조의7~제48조의10)

⑤ 시행 시기

• 개정법은 공포 후 6개월이 경과한 날부터 시행
• 정보보호 수준 평가 관련 규정은 공포 후 1년 경과 후 시행
• ISMS-P 인증의무 규정은 준비 기간을 고려해 2027년 7월 1일부터 적용 예정 — 구체적 의무 대상 범위는 시행령에서 확정

※ 별도 개정 법률(법률 제21305호, 2026. 1. 6. 일부개정)은 2026년 7월 7일 시행된 것으로 나타나므로, 조문별 시행일은 국가법령정보센터에서 개별 확인이 필요하다.

기업 대응 체크리스트

• ☐ CISO 직위가 임원급인지 확인, 아니라면 인사 절차 착수
• ☐ 정보보호위원회 설치 및 운영 규정 제정
• ☐ 24시간 신고 체계 구축 — 야간 · 주말 인지 시나리오 포함
• ☐ 개인정보보호법 72시간 / 정보통신망법 24시간을 분리한 대응 흐름도 작성
• ☐ 과거 침해사고 이력 정리 — '반복' 판단 기준 대비
• ☐ 시정명령 수령 시 즉시 가동할 대응 조직 사전 지정 (이행강제금은 일 단위)
• ☐ 과기정통부 표준 매뉴얼 배포 시 사내 매뉴얼과 갭 분석