I. 배경 최근 대규모 해킹 및 데이터 유출 사고가 잇따라 발생하면서 정보보호 체계 전반에 대한 재검토 필요성이 제기되어 왔습니다. 특히 현행 제도는 사업자의 신고에 기하여 규제기관의 조사가 개시되는 구조로 되어 있어, 초기 대응이 지연되고 피해가 확산될 수 있다는 한계가 지적되어 왔습니다. 이러한 문제의식을 바탕으로 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”) 개정안이 2026년 3월 12일 국회 본회의를 통과하였습니다. 이번 개정은 단순히 제재 수단을 보강하는 데 그치지 않고, 침해사고 대응 체계를 구조적으로 재편하는 한편, 정보보호를 기업의 내부 통제 및 경영 책임 수준으로 격상시켰다는 데 그 의의가 있습니다. 더불어 영리목적의 광고성 정보 전송에 대한 제재 규정 등을 강화하여 불법스팸으로 인한 피해 방지에도 초점을 두고 있습니다. II. 주요 개정 내용 1. 기업 내부 통제 강화 이번 개정안은 정보보호를 기업의 거버넌스 및 경영 책임의 문제로 명확히 하고 있습니다. CISO 자격 제한 및 권한·책임 확대 : 정보통신서비스 제공자는 임원을 정보보호 최고책임자(CISO)로 지정하여야 하며(단, 중기업의 CISO 지정에 대해서는 시행령으로 규정 예정), CISO의 업무에 정보보호에 필요한 인력 관리 및 예산 편성, 이사회에 대한 정보보호 현황 및 주요 사항의 보고 등이 포함됩니다(안 제45조의3). 정보보호위원회 설치 의무화 : 일정 기준에 해당하는 정보통신서비스 제공자는 정보보호에 관한 심의기구인 정보보호위원회를 설치·운영하여야 하며, CISO를 그 위원장으로 하여야 합니다(안 제45조의4). 2. 정부의 관리•감독 체계 정비 이번 개정안은 기업 내부 통제를 강화함과 동시에 정부의 상시 감독 기능을 제도적으로 확대하고 있습니다. 연1회 정보보호 수준 평가 및 공개: 과학기술정보통신부장관은 매년 일정 기준에 해당하는 정보통신서비스 제공자 등에 대하여 정보통신망법상 의무 준수 여부와 정보통신망의 안정성·정보의 신뢰성 수준을 평가하여 그 결과를 인터넷 홈페이지 등에 공개할 수 있습니다. 과학기술정보통신부장관은 평가 과정에서 자료 제출을 요구할 수 있으며, 평가 결과 미흡한 사항에 대해서는 개선을 권고할 수 있습니다. 이때 개선 권고를 받은 대상자는 그 조치 결과를 제출하여야 합니다(안 제45조의5). 정보보호 관리체계 인증 차등 적용: 생성·처리되는 정보의 규모 및 사회적 파급력 등을 고려하여 일정 사업자에 대하여 강화된 정보보호 관리체계(ISMS) 인증 기준 및 절차를 적용할 수 있도록 하였습니다(안 제47조의7 제2항). 3. 침해사고 발생시 통지•조사 및 제재 체계 강화 이번 개정안은 침해사고 발생시 정보통신서비스 제공자의 책임을 강화하고 있습니다. 이용자 통지 의무 규정 : 정보통신서비스 제공자는 일정 기준에 해당하는 침해사고 발생 시 그 사실을 이용자에게 지체 없이 통지하여야 합니다(안 제48조의3 제4항). 조사 개시 요건 확대 및 심의기구 신설 : 침해사고조사심의위원회가 신설되고(안 제48조의2
