핵심 요약 — 2026년 10월 1일부터 정보통신서비스 제공자는 CISO의 임원 요건을 점검해야 합니다. 직함만으로 판단할 수는 없습니다. 같은 날 시행된 시행령(대통령령 제36735호, 2026년 9월 30일 공포) 제36조의7 제1항이 사업자를 네 가지로 구분했고, 정보보호 관련 업무를 총괄하는 부서의 장을 CISO로 둘 수 있는 것은 제3호에 해당하는 중기업뿐입니다. 자산총액 기준에 걸리는 제2호와 그 밖의 사업자인 제4호는 임원급에서만 지정할 수 있습니다. 부서의 장을 신고해 둔 제4호 사업자는 시행령 부칙 제2조에 따라 2027년 3월 31일까지 다시 지정·신고해야 합니다. CISO 지정·신고 위반 조항은 제76조 제2항 제6호의2로 이동했고 상한은 3천만원을 유지합니다. 침해사고 미신고의 상한은 3천만원에서 5천만원으로 올라갔으므로 사내 문서의 금액과 항·호를 함께 확인해야 합니다.

목차

정보보호 최고책임자 신고는 한 번 해 두면 잊게 되는 항목입니다. 그러나 인사 변동뿐 아니라 회사 규모와 지정·겸직 요건의 변동도 확인해야 합니다. 2026년 10월 1일에는 CISO가 바뀌지 않았는데도 지정 요건이 바뀌었습니다.

무엇이 바뀌나

2026년 9월 30일까지 시행된 종전 제45조의3 제1항은 이렇게 되어 있었습니다.

① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다.

2026년 10월 1일 시행된 개정법은 「임직원」을 「임원」으로 바꾸고, 그 임원의 범위를 괄호로 열어 두었습니다.

① … 대통령령으로 정하는 기준에 해당하는 임원(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)을 정보보호 최고책임자로 지정하고 … 신고하여야 하되, 「중소기업기본법」 제2조제2항에 따른 중기업의 정보보호 최고책임자의 지정에 대해서는 대통령령으로 정한다.

괄호 안이 중요합니다. 상법 제401조의2 제1항 제3호는 이사가 아니면서 명예회장·회장·사장·부사장·전무·상무·이사 그 밖에 회사의 업무를 집행할 권한이 있는 것으로 인정될 만한 명칭을 사용하여 회사의 업무를 집행한 자를 말합니다. 제408조의2는 집행임원 설치회사의 집행임원입니다. 즉 등기임원이어야 한다는 뜻은 아닙니다.

중기업을 제외한 정보통신서비스 제공자는 현재 신고한 CISO가 개정법상 임원에 해당하는지 확인해야 합니다. 부장·실장·팀장이라는 직함만으로 결론을 내리기보다 선임 관계, 대외적으로 사용하는 직명, 실제 업무집행 권한과 보고체계를 함께 살펴보아야 합니다. 중기업의 지정기준은 대통령령에 별도로 위임되어 있으므로 같은 결론을 일률적으로 적용할 수 없습니다.

과태료 조문의 번지가 바뀌었습니다

이보다 적용 범위가 넓은 변화도 하나 있습니다. 개정법이 제76조에 제1항을 신설하면서 종전의 제1항부터 제4항까지가 각각 제2항부터 제5항까지로 밀렸습니다.

신설된 제1항은 5천만원 이하의 과태료이고 두 가지입니다.

  1. 제48조의2제4항에 따른 시정명령을 이행하지 아니한 자
  2. 제48조의3제1항을 위반하여 침해사고의 신고를 하지 아니하거나 지연하여 신고한 자

2026년 9월 30일까지 침해사고 미신고에는 제76조 제1항 제6호의6에 따라 3천만원 이하의 과태료가 적용됐습니다. 10월 1일부터는 제76조 제1항 제2호가 미신고와 지연신고를 명시하고 상한을 5천만원으로 올렸습니다.

항 번호가 밀린다는 것은 사내 문서에 실질적인 영향을 줍니다. 위·수탁 계약서, 정보보호 정책, 사고대응 절차서에 「정보통신망법 제76조 제1항 제6호의2에 따른 과태료」라고 적어 두었다면, 10월 1일부터 존재하지 않는 항·호 조합을 인용하게 됐습니다. 신설 제1항에는 제1호와 제2호만 있습니다. CISO 지정·신고 위반을 가리키려면 제76조 제2항 제6호의2로 고쳐야 하며, 해당 위반의 과태료 상한은 계속 3천만원입니다.

같은 종류의 이동이 보름 전에도 있었습니다. 9월 11일 시행된 개정 개인정보 보호법이 제34조 제2항에 유출등의 가능성 통지를 신설하면서 신고의 근거가 제3항에서 제4항으로 밀렸습니다. 그 정리는 2026년 개정 개인정보 보호법 가이드에 있습니다. 9월과 10월에 두 법의 조문 번지가 각각 이동하므로, 사내 문서 점검은 한 번에 하는 편이 낫습니다.

그러면 무엇이 오나

위반하면 과태료가 부과됩니다. 근거는 제76조 제2항 제6호의2입니다.

6의2. 제45조의3제1항을 위반하여 대통령령으로 정하는 기준에 해당하는 임원을 정보보호 최고책임자로 지정하지 아니하거나 정보보호 최고책임자의 지정을 신고하지 아니한 자

3천만원 이하입니다. 이 조문의 「임직원」도 같은 날 「임원」으로 함께 바뀌었습니다. 개정법은 지정 요건만 바꾸고 제재 조문을 그대로 두지 않고, 두 조문을 함께 고쳤습니다. 따라서 해당 회사에 적용되는 지정 요건을 충족하지 못하면 과태료 대상이 될 수 있습니다.

법률은 기존 CISO 지정을 별도로 유예하는 적용례·경과조치를 두고 있지 않습니다. 유예는 시행령 부칙 제2조에 있고, 그 내용은 아래 시행령 절에서 다룹니다. 다만 법률 부칙 제9조에 따라 시행 전 행위의 과태료에는 종전 규정을 적용합니다. 중기업은 대통령령이 따로 정한 지정기준도 확인해야 합니다. 시행일이 지났으므로 회사별 적용 요건을 확인하고 필요한 지정·신고를 준비해야 합니다.

CISO의 업무에 무엇이 들어오나

제45조의3 제4항 제1호에 목이 셋 추가됐습니다.

마. 정보보호에 필요한 인력 관리 및 예산 편성 바. 정보보호 현황 및 주요 사항의 이사회에 대한 보고 사. 그 밖에 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 사항

바목을 눈여겨보시기 바랍니다. 이사회 보고가 CISO의 총괄 업무로 조문에 들어왔습니다.

사목이 대통령령에 위임한 사항은 시행령 제36조의7 제7항(대통령령 제36735호로 신설)이 두 가지로 정했습니다. 제1호는 「정보통신시스템 또는 정보통신서비스의 도입·개시 또는 변경 시 보안성 검토」이고, 제2호는 「정보통신시스템의 구축·운영·관리 또는 정보처리 업무를 위탁받거나 대행하는 자 및 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제4호에 따른 클라우드컴퓨팅서비스 제공자에 대한 정기적인 보안수준 점검 및 감독」입니다.

앞서 9월 11일에는 개정 개인정보 보호법이 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 CPO 지정·변경·해제에 관한 이사회 의결(법인인 경우)과 신고 의무를 신설하고 그 위반에 과태료를 붙였습니다. 두 법은 3주 간격으로 보안·개인정보 책임자를 경영진 라인에 붙이는 같은 방향으로 개정됐습니다.

CISO가 CPO를 겸하는 회사에서는 두 개정이 한 사람에게 겹칩니다. 겸직의 근거 조문이 9월 11일에 어떻게 정리됐는지는 CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다에서 다뤘습니다. 이 글에서 다룬 개정은 그 위에 지정 요건 자체를 임원으로 높이는 변화를 하나 더하는 것입니다.

시행령은 누구를 CISO로 지정하라고 정했나요?

정보통신망법 시행령 개정령은 2026년 9월 30일 대통령령 제36735호로 공포되어 2026년 10월 1일 시행됐습니다. 법 제45조의3 제1항이 대통령령에 위임한 지정기준은 시행령 제36조의7 제1항에 들어갔습니다. 따라서 회사는 이제 입법예고안이 아니라 공포된 기준으로 재지정 필요 여부를 판단할 수 있습니다.

시행령 제36조의7 제1항은 사업자를 네 가지로 구분합니다. 제1호는 자본금이 1억원 이하인 자(법인은 납입자본금, 법인이 아니면 영업용 자산평가액을 봅니다), 소기업, 그리고 중기업 가운데 전기통신사업자·ISMS 인증을 받아야 하는 자·개인정보 처리방침을 공개해야 하는 개인정보처리자·통신판매업 신고를 해야 하는 자 어디에도 해당하지 않는 자입니다. 이들은 사업주 또는 대표자를 지정합니다. 제2호는 직전 사업연도 말 자산총액이 5조원 이상인 자와, ISMS 인증 의무자 가운데 직전 사업연도 말 자산총액이 5천억원 이상인 자입니다. 제3호는 중기업으로서 앞의 네 가지 중 하나에 해당하는 자이고, 제4호는 제1호부터 제3호까지에 해당하지 않는 자입니다.

지정할 수 있는 사람의 범위는 구분마다 다릅니다. 정보보호 관련 업무를 총괄하는 부서의 장(마목)을 지정할 수 있는 것은 제3호, 즉 앞의 네 가지 중 하나에 해당하는 중기업뿐입니다. 제2호와 제4호에 해당하는 사업자는 가목부터 라목까지에서만 지정할 수 있습니다. 가목은 사업주 또는 대표자, 나목은 이사·업무집행자·업무집행사원, 다목은 상법 제401조의2 제1항 제3호에 따른 사람, 라목은 같은 법 제408조의2에 따른 집행임원입니다. 그러므로 자산총액 기준에 걸리는 대기업과 그 밖의 사업자는 부서의 장을 CISO로 둘 수 없습니다.

경과조치는 한 구분에만 붙었습니다. 시행령 부칙 제2조는 이 영 시행 당시 종전 규정에 따라 정보보호 관련 업무를 총괄하는 부서의 장을 CISO로 지정·신고한 경우, 제36조의7 제1항 제4호 개정규정에도 불구하고 시행일부터 6개월 이내에 가목부터 라목까지의 어느 하나에 해당하는 사람을 CISO로 지정·신고해야 한다고 정합니다. 시행일이 2026년 10월 1일이므로 그 기한은 2027년 3월 31일입니다. 다만 이 유예는 제4호 사업자에게만 주어집니다. 제2호 사업자에게는 같은 유예가 없는데, 필자는 종전 제2호가 이미 이사급을 요구하고 있어서 부서의 장을 지정해 둔 경우가 생기지 않기 때문으로 봅니다. 한편 시행령 부칙 제1조 단서는 별표 9 제2호러목 개정규정만 2027년 4월 1일에 시행하도록 정했습니다.

회사가 확인할 순서는 셋입니다. 먼저 회사가 네 구분 가운데 어디에 들어가는지를 자본금, 직전 사업연도 말 자산총액, 중소기업기본법상 규모, ISMS 인증 의무 여부로 확정합니다. 그다음에 현재 신고한 CISO가 그 구분이 허용하는 사람에 해당하는지를 봅니다. 마지막으로 회사가 제4호에 해당하면서 정보보호 관련 업무를 총괄하는 부서의 장을 CISO로 신고해 둔 상태라면, 2027년 3월 31일이 재지정과 신고의 기한입니다.

함께 신설된 정보보호위원회(제45조의4)의 설치 대상도 같은 개정령이 정했습니다. 시행령 제36조의10은 그 대상을 제36조의7 제1항 제2호부터 제4호까지의 사업자로 정하고, 제36조의11은 회의를 매년 1회 이상 정기적으로 개최하도록 하며 심의 결과를 최고경영자에게 보고하도록 합니다. 그 가운데 위원장이 정보보호에 중대한 영향이 있다고 본 사항은 이사회에도 올려야 합니다. 한편 정보보호수준 평가(제45조의5)는 부칙 제1조 단서에 따라 2027년 4월 1일에 시행됩니다.

담당자는 자료를 모으는 데서 끝내지 말고, 자료별로 확인할 질문과 후속 조치를 붙여 두는 편이 좋습니다.

확인 자료확인할 사실확인 결과에 따른 조치
현재 CISO 신고서신고된 사람·직위·신고일이 현재 인사 상태와 일치하는가불일치하면 변경 신고 필요 여부와 제출서류를 확인
임원 선임 문서·인사발령등기 여부와 별개로 선임 관계와 업무집행 권한이 확인되는가직함만 있고 권한 근거가 없으면 이사회·인사 문서를 보완
직무분장·전결규정·보고체계정보보호 업무, 예산·인력, 이사회 보고 책임이 문서와 실제 운영에 반영되어 있는가법정 업무와 내부 문서의 공백을 정리하고 보고 일정을 확정
회사 규모 확인자료중소기업기본법상 중기업에 해당하는가, 그리고 전기통신사업자·ISMS 인증 의무자·처리방침 공개 의무자·통신판매업 신고 의무자 중 하나에 해당하는가둘 다 해당하면 시행령 제36조의7 제1항 제3호이므로 부서의 장도 지정할 수 있다
직전 사업연도 말 자산총액5조원 이상인가, ISMS 인증 의무자로서 5천억원 이상인가해당하면 제2호이고 경과조치의 6개월 유예가 없다
현재 신고된 CISO의 지위가목부터 라목까지에 해당하는가, 아니면 부서의 장인가제4호이면서 부서의 장이면 2027년 3월 31일까지 재지정·신고

이 표를 바탕으로 회사가 어느 구분에 들어가는지와 CISO의 선임 관계·실제 업무집행 권한을 살펴보고, 시행령 제36조의7 제1항에 맞추어 재지정과 신고 필요 여부를 판단해야 합니다.

외부 전문가를 CISO로 둘 수 있나요?

보안 전문 인력을 채용하기 어려운 회사는 외부 전문가에게 CISO 역할을 맡기는 방식을 검토합니다. 개정 뒤에는 그 사람과 회사의 관계가 어떤 형태인지에 따라 결론이 갈립니다.

용역계약만으로는 어렵습니다. 제2호와 제4호 사업자가 CISO로 지정할 수 있는 사람은 시행령 제36조의7 제1항 제3호 가목부터 라목까지, 즉 사업주 또는 대표자, 이사·업무집행자·업무집행사원, 상법 제401조의2 제1항 제3호에 따른 사람, 집행임원입니다. 보안 자문 계약이나 위탁 계약을 맺었다는 사실만으로는 이 가운데 어디에도 해당하지 않습니다.

다만 임원은 고용 여부가 아니라 지위로 정해집니다. 이사와 집행임원은 회사와 위임 관계에 있으므로(상법 제382조 제2항, 제408조의2 제2항), 회사 밖에 있던 전문가라도 회사가 그 사람을 임원으로 선임하면 지정 대상에 들어옵니다. 법령이 CISO에게 상근을 요구하는 것은 제2호 사업자뿐이고(시행령 제36조의7 제6항), 다른 업무의 겸직을 금지하는 것도 같은 사업자뿐입니다(법 제45조의3 제3항). 제4호 사업자에 대해서는 상근이나 전담을 요구하는 조문이 없습니다.

그렇다고 직함만 주면 되는 것은 아닙니다. 과학기술정보통신부와 한국인터넷진흥원의 「정보보호 최고책임자 지정·신고제도 안내서」(2판, 2024년 9월)는 CISO의 지위를 「대내외적으로 인정될 만한 이사급 호칭」과 「실질적 의사 결정」으로 종합해 확인한다고 적습니다. 안내서는 등기되지 않은 임원에 대해서는 직무·직위기술서, 조직도, 인사명령서, 인사카드처럼 실질적 업무집행 권한과 책임 범위가 드러나는 서류로 소명하도록 안내합니다. 개정법은 여기에 인력 관리와 예산 편성, 이사회 보고를 CISO의 업무로 더했습니다(법 제45조의3 제4항 제1호 마목·바목). 회사 인사 체계에 들어와 있지 않고 예산과 인력에 관한 권한도 없는 사람은 이 소명을 하기 어렵습니다.

신고서만으로는 이 차이가 드러나지 않습니다. 지정신고서(시행규칙 별지 제2호서식)는 CISO의 성명, 직책·직급, 겸직 여부, 업무경력을 적게 할 뿐이고 재직이나 임원 지위를 증명하는 서류를 요구하지 않습니다. 안내서가 지위를 소명하는 방법으로 위 서류들을 들고 있으므로, 회사는 점검에 대비해 그 자료를 갖추어 두어야 합니다.

유의할 점이 둘 있습니다. 위 안내서는 개정 전에 나온 판이어서 개정 전 문언인 「임직원」을 기준으로 쓰여 있고, 그 지위 기준은 당시 이사급 지정 의무가 있던 제2호 사업자를 대상으로 한 것입니다. 10월 1일부터 같은 요건을 적용받게 된 제4호 사업자에게 이 기준이 그대로 쓰일지는 개정판이 나와야 확인할 수 있습니다. 그리고 보안 운영을 외부에 맡기는 것 자체가 막힌 것은 아닙니다. 시행령 제36조의7 제7항 제2호는 정보통신시스템의 구축·운영·관리를 위탁받거나 대행하는 자에 대한 보안수준 점검과 감독을 CISO의 업무로 정합니다. 외부 업체가 운영을 맡더라도 CISO는 회사 안에서 그 업체를 점검하고 감독하는 자리에 있어야 한다는 뜻입니다.

자주 묻는 질문

Q. 부장급 직원을 CISO로 신고해 두었는데 10월 1일 이후에도 유효한가요?

회사가 시행령 제36조의7 제1항의 네 구분 가운데 어디에 들어가는지에 따라 갈립니다. 제3호에 해당하는 중기업, 즉 전기통신사업자·ISMS 인증 의무자·개인정보 처리방침 공개 의무자·통신판매업 신고 의무자 중 하나에 해당하는 중기업은 같은 호 마목에 따라 정보보호 관련 업무를 총괄하는 부서의 장을 CISO로 둘 수 있습니다. 반면 제2호(직전 사업연도 말 자산총액 5조원 이상, 또는 ISMS 인증 의무자 중 5천억원 이상)와 제4호(그 밖의 사업자)는 가목부터 라목까지에서만 지정할 수 있습니다. 가목부터 라목까지는 상법 제401조의2 제1항 제3호에 따른 자와 제408조의2에 따른 집행임원을 포함하므로 등기임원만을 뜻하지는 않습니다. 직함만으로 단정하지 말고 선임 관계와 실제 업무집행 권한을 확인해야 합니다.

Q. 기존 CISO 지정을 유예하는 규정이 있나요?

시행령에 있습니다. 시행령 부칙 제2조는 이 영 시행 당시 종전 규정에 따라 정보보호 관련 업무를 총괄하는 부서의 장을 CISO로 지정·신고한 경우, 제36조의7 제1항 제4호 개정규정에도 불구하고 시행일부터 6개월 이내에 같은 항 제3호 가목부터 라목까지의 어느 하나에 해당하는 사람을 지정·신고해야 한다고 정합니다. 시행일이 2026년 10월 1일이므로 기한은 2027년 3월 31일입니다. 다만 이 유예는 제4호 사업자에게만 주어지고 제2호 사업자에게는 없습니다. 법률 부칙 제9조에 따라 시행 전 행위의 과태료에는 종전 규정을 적용합니다.

Q. 사내 문서에서 정보통신망법 과태료 조문을 인용한 곳도 고쳐야 하나요?

예. 종전 제76조 제1항부터 제4항까지가 제2항부터 제5항까지로 이동했습니다. 기존의 제76조 제1항 제6호의2는 2026년 10월 1일부터 존재하지 않는 항·호 조합입니다. CISO 지정·신고 위반을 가리키려면 제76조 제2항 제6호의2로 고쳐야 하며, 그 과태료 상한은 계속 3천만원입니다.

Q. 보안업체나 외부 전문가에게 CISO를 맡기는 방식은 10월 1일 이후에도 가능한가요?

용역계약만으로는 어렵습니다. 제2호와 제4호 사업자는 시행령 제36조의7 제1항 제3호 가목부터 라목까지에 해당하는 사람, 즉 사업주 또는 대표자, 이사·업무집행자·업무집행사원, 상법 제401조의2 제1항 제3호에 따른 사람, 집행임원 가운데서만 CISO를 지정할 수 있고, 자문·위탁 계약을 맺었다는 사실만으로는 여기에 해당하지 않습니다. 회사가 외부 전문가를 임원으로 선임하면 지정 대상에 들어오며, 상근 요건(시행령 제36조의7 제6항)과 겸직 금지(법 제45조의3 제3항)는 제2호 사업자에게만 적용됩니다. 다만 과학기술정보통신부·한국인터넷진흥원 안내서(2판, 2024년 9월)는 이사급 호칭과 실질적 의사 결정 권한을 인사명령서·조직도 등으로 소명하도록 안내하므로, 직함만 부여하는 방식으로는 요건을 채우기 어렵습니다. 다만 이 안내서는 개정 전 판이고 그 지위 기준은 당시 이사급 지정 의무가 있던 제2호 사업자를 대상으로 한 것이어서, 제4호 사업자에게 같은 기준이 쓰일지는 개정판이 나와야 확인할 수 있습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

2026년 9월 21일 수정: 침해사고 미신고의 종전 과태료와 인용번호를 바로잡고, 중기업·임원 판단·경과조치의 적용 범위 및 점검자료를 보완했습니다.

2026년 9월 22일 수정: 국가법령정보센터의 현행·시행예정 법령을 다시 확인해 후속 시행령의 공포 사실이 확인되지 않는다는 점을 핵심 요약·FAQ·본문에 반영하고, 입법예고안과 공포된 기준을 구분했습니다.

2026년 9월 24일 확인: 시행일을 일주일 앞두고 다시 확인했으나 후속 시행령의 공포 사실은 여전히 확인되지 않아, 확인일만 갱신했습니다. 판단은 달라지지 않았습니다.

2026년 9월 29일 확인: 시행 이틀 전에 다시 확인했으나 후속 시행령의 공포 사실은 여전히 확인되지 않았습니다. 같은 날 공포된 대통령령 제36728호는 공소청 신설에 따른 타법개정이어서 중기업 지정기준과는 무관합니다. 판단은 달라지지 않았습니다.

2026년 10월 1일 수정: 후속 시행령이 2026년 9월 30일 대통령령 제36735호로 공포되고 10월 1일 시행됐습니다. 시행령 제36조의7 제1항의 네 구분과 부칙 제2조의 6개월 경과조치를 원문으로 확인해 핵심 요약·FAQ·본문·점검표에 반영하고, 「아직 정해지지 않은 것」 절을 확정된 기준으로 다시 썼습니다. 정보보호위원회의 설치 대상도 함께 반영했습니다.

2026년 10월 2일 수정: 「그러면 무엇이 오나」 절에서 경과조치가 없다고 적은 문장을 법률에 한정된 서술로 바로잡고, 시행령 부칙 제2조의 유예를 가리키도록 고쳤습니다. 법 제45조의3 제4항 제1호 사목이 대통령령에 위임한 CISO 총괄 업무를 시행령 제36조의7 제7항 원문대로 덧붙였습니다. 시제와 법령 판 표기를 시행 뒤 기준으로 정리했습니다. 판단은 달라지지 않았습니다.