핵심 요약 — 2026년 10월 1일 시행되는 개정 정보통신망법이 정보보호 최고책임자(CISO)의 지정 대상을 「임직원」에서 「임원」으로 바꿉니다(제45조의3 제1항). 조문은 상법 제401조의2 제1항 제3호에 따른 업무집행지시자와 제408조의2에 따른 집행임원을 임원에 포함한다고 적어 두었으므로 등기임원만을 뜻하지는 않습니다. 그러나 그 어느 쪽에도 해당하지 않는 부장·실장 직위를 CISO로 신고해 둔 회사는 지정을 다시 해야 합니다. 미지정·미신고에 붙는 과태료 조문(제76조)도 같은 날 「임원」으로 바뀝니다. 🔴 그리고 지정 대상이 아닌 회사에까지 걸리는 변화가 하나 더 있습니다 — 제76조에 제1항이 신설되면서 종전 제1항부터 제4항까지가 제2항부터 제5항까지로 밀립니다. 사내 문서가 항 번호만 인용해 두었다면 10월 1일부터 가리키는 조항이 달라집니다. 부칙에 제45조의3에 대한 적용례나 경과조치는 없어 시행일부터 바로 적용됩니다.

정보보호 최고책임자 신고는 한 번 해 두면 잊게 되는 항목입니다. 사람이 바뀌면 변경 신고를 하고, 그 외에는 확인할 일이 없습니다.

10월 1일에 그 전제가 바뀝니다. 사람이 바뀌지 않았는데 요건이 바뀌기 때문입니다.

무엇이 바뀌나

현행 제45조의3 제1항은 이렇게 되어 있습니다.

① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다.

개정법은 「임직원」을 「임원」으로 바꾸고, 그 임원의 범위를 괄호로 열어 두었습니다.

① … 대통령령으로 정하는 기준에 해당하는 임원(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)을 정보보호 최고책임자로 지정하고 … 신고하여야 하되, 「중소기업기본법」 제2조제2항에 따른 중기업의 정보보호 최고책임자의 지정에 대해서는 대통령령으로 정한다.

괄호 안이 중요합니다. 상법 제401조의2 제1항 제3호는 이사가 아니면서 명예회장·회장·사장·부사장·전무·상무·이사 그 밖에 회사의 업무를 집행할 권한이 있는 것으로 인정될 만한 명칭을 사용하여 회사의 업무를 집행한 자를 말합니다. 제408조의2는 집행임원 설치회사의 집행임원입니다. 즉 등기임원이어야 한다는 뜻은 아닙니다.

그렇더라도 「임직원」과 「임원」 사이에는 빠지는 층이 생깁니다. 정보보호팀장·보안실장·정보보호부장처럼 업무를 집행할 권한이 있는 것으로 인정될 만한 명칭을 쓰지 않는 직위가 그렇습니다. 이 층에 있는 사람을 CISO로 신고해 둔 회사가 10월 1일 이후 그대로 두면 지정 요건을 충족하지 못하게 됩니다.

과태료 조문의 번지가 바뀝니다

여기에 더 넓게 걸리는 변화가 하나 있습니다. 개정법이 제76조에 제1항을 신설하면서 종전의 제1항부터 제4항까지가 각각 제2항부터 제5항까지로 밀립니다.

신설되는 제1항은 5천만원 이하의 과태료이고 두 가지입니다.

  1. 제48조의2제4항에 따른 시정명령을 이행하지 아니한 자
  2. 제48조의3제1항을 위반하여 침해사고의 신고를 하지 아니하거나 지연하여 신고한 자

침해사고 신고를 지연한 것만으로 5천만원 이하의 과태료가 붙는 층이 새로 생깁니다. 종전에 이 위반은 제76조 제3항(종전 제2항)의 1천만원 이하 층에 있었습니다.

항 번호가 밀린다는 것은 사내 문서에 실질적인 영향을 줍니다. 위·수탁 계약서, 정보보호 정책, 사고대응 절차서에 「정보통신망법 제76조 제1항 제6호의2에 따른 과태료」라고 적어 두었다면, 10월 1일 이후에는 그 인용이 신설된 5천만원 조항을 가리키게 됩니다. 조문 내용을 옮겨 적은 경우가 아니라 조항 번호만 인용한 경우가 특히 그렇습니다.

같은 종류의 이동이 보름 전에도 있었습니다. 9월 11일 시행된 개정 개인정보 보호법이 제34조 제2항에 유출등의 가능성 통지를 신설하면서 신고의 근거가 제3항에서 제4항으로 밀렸습니다. 그 정리는 2026년 개정 개인정보 보호법 가이드에 있습니다. 9월과 10월에 두 법의 조문 번지가 각각 이동하므로, 사내 문서 점검은 한 번에 하는 편이 낫습니다.

그러면 무엇이 오나

과태료입니다. 제76조 제2항 제6호의2가 그 자리입니다.

6의2. 제45조의3제1항을 위반하여 대통령령으로 정하는 기준에 해당하는 임원을 정보보호 최고책임자로 지정하지 아니하거나 정보보호 최고책임자의 지정을 신고하지 아니한 자

3천만원 이하입니다. 이 조문의 「임직원」도 같은 날 「임원」으로 함께 바뀝니다. 지정 요건만 바꾸고 제재 조문을 그대로 두는 방식이 아니라, 두 조문을 같이 손봤습니다. 그래서 요건 미달 상태가 곧바로 과태료 요건에 걸립니다.

⚠️ 부칙에 이 조문의 적용례나 경과조치가 없습니다. 개정법 부칙 제2조부터 제8조까지가 인증취소·인증 차등적용·침해사고 이용자 통지·원인분석·이행강제금·과징금·피해구제에 대해 각각 적용례를 두었는데, 정보보호 최고책임자 조항은 그 목록에 없습니다. 기존 지정을 유예해 주는 규정도 없습니다. 시행일부터 바로 적용된다고 보고 준비하는 편이 안전합니다.

CISO의 업무에 무엇이 들어오나

제45조의3 제4항 제1호에 목이 셋 추가됩니다.

마. 정보보호에 필요한 인력 관리 및 예산 편성 바. 정보보호 현황 및 주요 사항의 이사회에 대한 보고 사. 그 밖에 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 사항

바목을 눈여겨보시기 바랍니다. 이사회 보고가 CISO의 총괄 업무로 조문에 들어옵니다.

앞서 9월 11일에는 개정 개인정보 보호법이 개인정보 보호책임자에 대해 이사회 의결과 신고 의무를 신설하고 그 위반에 과태료를 붙였습니다. 두 법이 3주 간격으로 보안·개인정보 책임자를 경영진 라인에 붙이는 같은 방향으로 움직입니다.

CISO가 CPO를 겸하는 회사에서는 두 개정이 한 사람에게 겹칩니다. 겸직의 근거 조문이 9월 11일에 어떻게 정리되는지는 CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다에서 다뤘습니다. 이 글의 개정은 그 위에 지정 요건 자체를 임원으로 올리는 층을 하나 더 얹는 것입니다.

아직 정해지지 않은 것

중기업의 CISO 지정 기준이 비어 있습니다. 개정 제45조의3 제1항 본문 뒷부분이 「중소기업기본법」 제2조 제2항에 따른 중기업의 정보보호 최고책임자 지정에 대해서는 대통령령으로 정한다고 새로 위임했는데, 그 대통령령이 아직 없습니다. 중기업에 완화된 기준이 적용될지, 지정 대상에서 빠질지는 시행령을 봐야 합니다.

2026년 9월 16일 현재 정보통신망법 시행령 개정령은 공포되지 않았습니다(현행은 대통령령 제36502호, 2026년 7월 7일 시행). 국가법령정보센터 시행예정법령에도 이 시행령의 개정 예정 건이 올라와 있지 않습니다. 시행일까지 보름이 남았습니다.

같은 조문 묶음에서 함께 신설되는 정보보호위원회(제45조의4)와 정보보호수준 평가(제45조의5)도 대상이 대통령령에 맡겨져 있어 지금은 우리 회사가 걸리는지 알 수 없습니다. 다만 제45조의5는 시행일이 다릅니다 — 부칙 제1조 단서에 따라 2027년 4월 1일에 시행됩니다.

시행령이 공포되면 이 글에 대상 기준을 붙이겠습니다. 그때까지 확정적으로 할 수 있는 준비는 현재 신고된 CISO가 임원인지 확인하고, 아니라면 지정을 다시 할 준비를 해 두는 일입니다. 이 판단에는 시행령이 필요하지 않습니다.

자주 묻는 질문

Q. 부장급 직원을 CISO로 신고해 두었는데 10월 1일 이후에도 유효한가요?

다시 보아야 합니다. 조문이 상법상 업무집행지시자와 집행임원을 임원에 포함한다고 명시했으므로 등기임원만을 뜻하지는 않지만, 그 어느 쪽에도 해당하지 않는 직위라면 지정을 다시 해야 하고 3천만원 이하의 과태료 대상이 될 수 있습니다.

Q. 이 개정에는 적용례나 경과조치가 있나요?

없습니다. 부칙 제2조부터 제8조까지의 적용례 목록에 제45조의3은 들어 있지 않습니다. 시행일부터 바로 적용된다고 보아야 합니다.

Q. 사내 문서에서 정보통신망법 과태료 조문을 인용한 곳도 고쳐야 하나요?

예. 제76조에 제1항이 신설되면서 종전 제1항부터 제4항까지가 제2항부터 제5항까지로 밀립니다. 조항 번호만 인용한 문서는 다른 조항을 가리키게 됩니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료