[법령 ②-보완] 정보통신망법 10월 1일 시행 — 확정본에서 정해진 것과 아직 남은 것

통과에서 시행으로 — 무엇이 채워졌나

9월 3일 [법령 ②] 글은 국회를 통과한 개정안을 기준으로 썼다. 그때는 "CISO 임원급 격상", "정보보호위원회 설치"처럼 방향만 있었고 누가, 언제까지, 어떤 기준으로는 시행령에 맡겨져 있었다.

과학기술정보통신부는 개정 정보통신망법과 시행령을 2026년 10월 1일부터 시행했다. 지난해 잇따른 대형 침해사고 이후 나온 '범부처 정보보호 종합대책'을 제도로 옮긴 것이다. 이 글은 그때 비어 있던 칸이 어떻게 채워졌는지, 그리고 아직 비어 있는 칸이 무엇인지를 정리한다.

① CISO — 임원이어야 한다, 단 예외와 유예가 있다

지금까지는 임직원 중에서 CISO를 지정할 수 있었다. 이제 중기업을 제외한 일정 규모 이상의 정보통신서비스 제공자는 임원을 CISO로 지정해야 한다.

일부 보도는 대상을 "중견기업 등"으로 표현했다. 자사가 중기업에 해당하는지 경계에 있다면 중소기업기본법상 규모 기준과 시행령 조문을 함께 대조하는 것이 안전하다.

② 정보보호위원회 — 구성과 보고선이 정해졌다

CISO 신고 의무가 있는 기업은 정보보호위원회를 설치 · 운영해야 한다. 시행령은 형식을 구체적으로 정했다.

• 위원장: CISO
• 위원: IT개발 · 개인정보보호 · 인사 · 재무 등 주요 부서장
• 심의: 정보보호 예산과 인력 확보 등 전사 협의가 필요한 사항
• 보고: 심의 결과는 CEO에게, 주요 사항은 이사회에도

눈여겨볼 것은 인사와 재무가 위원으로 들어간다는 점이다. 보안 예산과 인력은 늘 보안 부서의 요청으로 시작해 재무 부서에서 끝났다. 이제는 같은 회의에서 심의하고, 그 결과가 이사회까지 올라간다. 개인정보보호법의 CPO 이사회 의결(9월 11일 시행)과 함께, 보안 거버넌스를 이사회 단위로 끌어올리는 2026년 입법의 흐름이 여기서 완성된다.

③ ISMS 강화인증 — 대상 세 갈래

침해사고가 났을 때 국민 생활에 영향이 큰 사업자에게는 일반 ISMS보다 무거운 강화인증이 적용된다. 대상은 ISMS 인증 의무자 중 다음 중 하나에 해당하는 곳이다.

세 번째 기준이 중요하다. 매출 규모와 상관없이 사고 이력만으로 강화인증 대상이 된다. 한 번의 사고가 이후 3년간의 인증 부담으로 이어진다는 뜻이다.

심사 방식도 바뀐다. 서면심사에 현장심사를 병행하고, 강화인증 대상과 사고 발생 기업에는 취약점 점검 등 기술심사를 실시한다. "문서로는 갖춰져 있다"만으로는 통과하기 어려워진다.

④ 조사 — 신고를 기다리지 않는다

과기정통부 소속 침해사고조사심의위원회가 정식 운영된다. 위원장을 포함해 민간 · 공공 위원 15명, 민간위원 임기는 2년이다. 침해사고 정황이 확보되면 정부의 신속한 조사가 필요한지를 심의하고, 정부는 직권으로 조사할 수 있다.

기업이 신고하기 전에, 혹은 사고를 확정하기 전에 조사가 시작될 수 있다. 사고 대응 매뉴얼에 "정부 조사가 먼저 들어온 경우" 시나리오가 있어야 하는 이유다.

⑤ 돈 — 과징금과 이행강제금은 성격이 다르다

과징금은 고의 또는 중대한 과실로 침해사고를 반복한 사업자에게 사고의 중대성에 따라 관련 매출액의 3% 이내에서 부과된다. 이미 일어난 일에 대한 제재다.

이행강제금은 다르다. 정부의 시정명령이나 자료제출 요구를 이행하지 않으면 미이행 일수마다 1일 평균 매출액의 0.02%가 붙는다. 시정을 미루는 하루하루가 비용이 되는 구조다.

이 밖에 침해사고 지연신고에 대한 과태료도 상향됐다.

아직 정해지지 않은 것

• 6개월 유예의 기산점 — 시행일(10월 1일)부터인지, 대상이 된 시점부터인지 보도로는 확인되지 않는다
• 강화인증 세부 기준 — 심사 항목과 절차는 별도 고시가 나와야 한다(시행 후 수개월 안에 고시될 예정으로 알려졌다)
• 지연신고 과태료의 상향 후 금액 — 시행령 별표로 확인 필요
• 이행강제금의 매출 산정 범위 — 전체 매출인지 관련 매출인지 시행령 조문 확인 필요

이 네 가지는 확정되는 대로 이 글과 홈페이지 시행일 캘린더에 반영한다.

기업 대응 체크리스트

• ☐ 자사가 임원 CISO 지정 대상인지(중기업 여부) 판단하고, 대상이면 선임 일정을 6개월 안에 확정
• ☐ 정보보호위원회 운영 규정 제정 — 위원 구성(IT개발·개인정보·인사·재무), 심의 사항, CEO·이사회 보고 주기
• ☐ 첫 위원회 안건으로 차년도 보안 예산 · 인력 상정
• ☐ 최근 3년 사고 · 조사 · 과징금 이력을 정리해 강화인증 대상 여부 확인
• ☐ ISMS 심사 대비 — 문서 외에 현장 · 기술심사(취약점 점검)에 대응할 증적 준비
• ☐ 사고 대응 매뉴얼에 정부 직권조사 선행 시나리오와 자료 제출 창구 추가
• ☐ 시정명령 수령 시 당일 가동되는 대응 조직 지정 (이행강제금은 일 단위)

국회 통과 때의 질문이 "얼마나 무거워지나"였다면, 시행된 지금의 질문은 "누가 회의실에 앉아 있나"다.

※ 본 정리는 2026년 10월 12일까지 공개된 과학기술정보통신부 발표와 보도를 기준으로 합니다. 적용 대상 · 유예 기산점 · 과태료 금액 등은 시행령 조문으로 최종 확인하시기 바랍니다. 이전 글 [법령 ②] 정보통신망법 전면 개정의 "공포 후 6개월 시행"은 이번 시행으로 확정됐습니다.

참고 자료

• 정보통신신문 — 개정 정보통신망법·시행령 10월 1일 시행 (과기정통부 발표)
• 중부뉴스통신 — 과기정통부 보도자료 전문
• ZDNet Korea — CISO 직위 임원 격상, 10월 1일 시행
• 보안뉴스 — CISO 임원 격상, 중과실엔 매출 3% 과징금
• 국가법령정보센터 — 정보통신망법 · 시행령 조문 확인