핵심 요약 — 본사에 Global Security Council이 있더라도 한국법인이 정보통신망법 제45조의4 제1항의 대상이라면 한국법인 기준의 정보보호위원회를 설치·운영해야 할 가능성이 높습니다. 2026년 10월 1일 시행된 시행령(대통령령 제36735호) 제36조의10은 설치 대상을 제36조의7 제1항 제2호부터 제4호까지의 사업자로 정했으므로, 대상에서 빠지는 것은 원칙적으로 자본금 1억원 이하인 자·소기업 등 제1호 사업자입니다. 위원장은 그 회사의 정보보호 최고책임자(CISO)이고(법 제45조의4 제2항), 시행령 제36조의11은 여섯 개 업무 부서의 장을 위원으로 하고 매년 1회 이상 정기회의를 열며 과반 출석·과반 찬성으로 의결하고 심의 결과를 최고경영자에게, 중대한 사항은 이사회에 보고하도록 정합니다. 법령에는 본사 위원회로 이를 갈음한다는 규정이 없으므로, 한국법인은 본사 위원회와 겹치게 설계하되 위원 구성·정족수·보고·회의록을 한국법인 명의로 갖추는 편이 안전하다고 판단됩니다.
목차
외국계 한국법인 가운데에는 보안 거버넌스를 본사 체계에 맞추어 운영하는 곳이 있습니다. 예를 들어 본사의 Global Security Council이 정기적으로 열리고, 한국법인 보안 담당자는 그 회의에 참석하거나 결과를 전달받는 구조입니다. 그런데 2026년 10월 1일 시행된 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 "정보통신망법") 시행령 개정령이 정보보호위원회의 설치 대상과 구성·운영 방법을 정하면서, 한국법인 담당자는 본사 회의만으로 한국법의 요구를 채울 수 있는지 확인해야 하는 상황이 됐습니다.
이 글은 한국법인이 정보통신망법상 정보통신서비스 제공자에 해당한다는 전제에서 설치 대상 여부, 본사 위원회와 다른 점, 회의와 보고를 문서로 남기는 방법을 다룹니다. 누구를 CISO로 지정해야 하는지는 우리 CISO는 임원이 아닙니다에서, CISO가 CPO를 겸할 수 있는지는 CISO가 CPO를 겸할 수 있나요?에서 다뤘습니다.
우리 한국법인도 정보보호위원회 설치 대상인가요?
정보통신망법 제45조의4 제1항은 자산총액·매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자에게 정보보호에 관한 사항을 심의하는 정보보호위원회를 설치·운영하도록 의무를 지웁니다. 시행령 제36조의10은 그 기준을 따로 만들지 않고, CISO 지정기준을 정한 제36조의7 제1항의 구분을 그대로 가져왔습니다. 설치 대상은 그 가운데 제2호부터 제4호까지의 사업자입니다.
CISO 지정기준의 구분을 위원회 쪽에서 다시 읽으면 이렇습니다. 위원회를 두지 않아도 되는 제1호에는 세 부류가 있습니다. 납입자본금(법인이 아니면 영업용 자산평가액)이 1억원 이하인 회사, 중소기업기본법상 소기업, 그리고 중기업 가운데 전기통신사업자·정보보호 관리체계(이하 "ISMS") 인증 의무자·개인정보 처리방침 공개 의무가 있는 개인정보처리자·통신판매업 신고 의무자 중 어느 것도 아닌 회사입니다. 위원회를 두어야 하는 쪽은 나머지 셋입니다. 제2호는 규모가 가장 큰 사업자로, 직전 사업연도 말 자산총액 5조원 이상이면 해당하고 ISMS 인증 의무자라면 그 기준이 5천억원 이상으로 내려갑니다. 제3호는 앞의 네 요건 중 하나라도 갖춘 중기업이며, 제4호는 제1호부터 제3호까지 어디에도 속하지 않는 사업자입니다.
따라서 정보보호위원회 설치 여부는 자산총액 5조원이나 5천억원 같은 큰 기준에서 갈리지 않습니다. 설치 대상에서 빠지는 것은 제1호 사업자뿐이므로, 중소기업이 아닌 한국법인은 제1호 가목의 자본금 기준에 걸리지 않는 한 제2호나 제4호로 대상에 들어옵니다. 중기업도 네 요건 중 하나만 갖추면 제3호로 들어오므로, 중기업이라는 이유만으로 대상에서 빠진다고 보기는 어렵습니다. 한편 제1호 가목의 자본금 1억원 이하 기준은 문언상 회사 규모를 따지지 않으므로, 납입자본금이 작은 외국계 한국법인은 이 기준과 제2호의 자산총액 기준이 함께 걸리는지를 따로 검토해야 합니다. 외국계 한국법인이 소기업·중기업에 해당하는지도 이 글이 다루는 조문 밖의 판단이므로, 회사는 중소기업기본법 기준으로 별도로 확인해야 합니다.
본사 Security Council로 갈음할 수 있나요?
정보통신망법 제45조의4와 시행령 제36조의10·제36조의11에는 모회사나 그룹의 위원회로 정보보호위원회를 갈음할 수 있다는 규정이 없습니다. 의무를 지는 주체는 기준에 해당하는 정보통신서비스 제공자, 즉 한국법인 자신입니다. 그러므로 본사 위원회가 존재한다는 사실만으로 한국법인의 설치 의무가 채워졌다고 단정하기는 어렵습니다.
위원장 요건에서 차이가 먼저 드러납니다. 법 제45조의4 제2항은 정보보호위원회의 위원장을 정보보호 최고책임자로 정하고 있고, 조문의 흐름상 이 정보보호 최고책임자는 그 회사가 제45조의3에 따라 지정·신고한 CISO로 읽는 것이 자연스럽다고 판단됩니다. 본사 위원회의 의장이 한국법인이 신고한 CISO가 아니라면, 본사 위원회는 위원장 요건부터 한국법 기준과 맞지 않습니다.
한국법인은 과태료 조항도 확인해 둘 필요가 있습니다. 2026년 11월 7일 기준으로 정보통신망법 제76조에서 정보보호위원회 미설치를 직접 겨냥한 과태료 조항은 보이지 않습니다. 제76조 제2항이 정보보호 최고책임자와 관련해 정한 것은 제6호의2(CISO 미지정·미신고)와 제6호의3(겸직)입니다. 그렇다고 위원회를 두지 않아도 된다는 뜻은 아닙니다. 법 제45조의4 제1항은 「설치ㆍ운영하여야 한다」고 정한 의무 조항이므로, 한국법인은 갈음 규정이 없다는 점을 전제로 한국법인 기준의 구성 요건을 맞추어 두는 편이 안전합니다.
본사 위원회와 정보보호위원회는 무엇이 다른가요?
비교의 기준은 시행령 제36조의11입니다. 이 조는 심의사항(제1항), 위원(제2항), 정기회의(제3항), 정족수(제4항), 보고(제5항)를 정합니다. 아래 표는 각 항목을 본사 위원회만 운영하는 경우와 나란히 놓은 것입니다.
| 항목 | 법령이 정한 것 | 본사 위원회만 있을 때 확인할 점 | 한국법인이 맞추는 방법 |
|---|---|---|---|
| 위원장 | 정보보호 최고책임자(법 제45조의4 제2항) | 본사 의장이 한국법인 신고 CISO와 같은 사람인가 | 한국법인이 신고한 CISO를 위원장으로 정한다 |
| 위원 | ① 정보보호 ② 개인정보 처리 ③ 전산 운영·개발 ④ 준법·법무 ⑤ 재무 ⑥ 인사 업무 부서의 장, 부서가 없으면 그 업무 담당자, ⑦ CISO가 지정하는 사람(시행령 제36조의11 제2항) | 본사 위원이 본사 부서의 장이라면 한국법인의 재무·인사·법무 책임자가 빠져 있지 않은가 | 한국법인 조직도에서 여섯 업무별 책임자를 정해 명단을 만든다. 한국법인에 그 부서가 없으면 해당 업무 담당자를 적는다 |
| 심의사항 | 정보보호 전문 인력·예산 확보(법 제45조 제5항), CISO 총괄 업무 중 법 제45조의3 제4항 제1호 가목부터 라목까지, 위원장이 필요하다고 인정하는 사항(시행령 제36조의11 제1항) | 한국법인의 보안 인력과 예산이 독립 안건으로 다뤄지는가 | 한국법인 인력·예산을 별도 안건으로 올린다 |
| 정기회의 | 매년 1회 이상, 위원장이 필요하다고 인정하면 수시 소집(같은 조 제3항) | 본사 회의가 열린 사실이 한국 위원회 회의로 설명되는가 | 연간 정기회의 시기를 한국법인 운영규정에 적는다 |
| 의결 | 구성원 과반수 출석으로 개의, 출석구성원 과반수 찬성으로 의결(같은 조 제4항) | 본사 위원 기준의 출석·찬성이 한국 위원 기준의 정족수를 충족하는가 | 개의는 한국 위원 전체 명단을, 의결은 출석한 한국 위원 수를 분모로 출석과 찬반 수를 기록한다 |
| 보고 | 위원장이 심의 결과를 최고경영자에게 보고, 정보보호에 중대한 영향을 미친다고 판단하는 사항은 이사회에 보고(같은 조 제5항) | 본사 경영진·본사 이사회 보고가 한국법인 최고경영자·이사회 보고를 대신하는가 | 한국법인 대표이사에게 보고하고, 중대 사항은 한국법인 이사회 안건으로 올린다 |
| 기록 | 시행령 제36조의11 제1항부터 제5항까지에는 회의록 형식을 정한 조항이 없음 | 회의록이 본사에만 있고 한국법인이 사본을 보관하지 않는가 | 한국법인 명의의 회의록·출석부·보고 결재 기록을 보관한다 |
보고 수신자는 특히 주의할 부분입니다. 시행령 제36조의11 제5항의 「최고경영자」와 「이사회」는 의무를 지는 정보통신서비스 제공자의 것을 말하므로, 한국법인의 대표이사 등 최고경영자와 한국법인 이사회로 읽는 것이 자연스럽다고 판단됩니다. 본사 CEO나 본사 이사회에 보고했다는 기록만으로는 이 요건을 설명하기 어려울 수 있습니다.
본사 위원회와 겹치게 설계하려면 어떻게 하나요?
한국법인이 본사 위원회를 없앨 필요는 없습니다. 이 글이 확인한 조문 범위에서는 한국 위원회를 본사 회의와 같은 날 연달아 열거나, 본사 회의 자료를 한국 위원회의 심의 자료로 쓰는 것을 막는 규정이 보이지 않습니다. 다만 그렇게 하더라도 위원장·위원 명단·정족수·보고는 한국 위원회 기준으로 따로 갖추어야 요건 충족을 설명할 수 있습니다.
한국법인이 검토할 수 있는 방식은 세 가지입니다. 첫째는 한국법인이 독립된 정보보호위원회를 두고 본사 위원회와 별도로 회의를 여는 방식입니다. 둘째는 본사 회의 직후 한국 위원만 남아 한국 위원회 회의를 여는 방식이고, 이때 한국법인 안건(인력·예산, CISO 총괄 업무)은 별도 순서로 심의합니다. 셋째는 본사 위원회 규정에 한국 위원회를 하위 위원회로 적되, 한국 위원회의 구성과 의결은 시행령 제36조의11 기준을 따르도록 규정하는 방식입니다. 어느 방식이든 한국 위원회의 출석과 의결이 본사 위원회 결론에 흡수되지 않도록 기록을 분리하는 것이 핵심입니다.
한국법인의 규모와 본사 정책에 따라 적합한 방식은 달라질 수 있습니다. 한편 본사 위원회 규정이 영문 정책 문서로만 있고 한국법인 내규에는 근거가 없다면, 한국법인은 위원회 운영규정을 내부 규정으로 따로 두는 편이 좋겠습니다. 본사 정책 문서를 한국법인에 옮길 때 생기는 다른 공백은 본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다에서 정리했습니다.
연 1회 회의와 최고경영자·이사회 보고를 어떻게 문서로 남기나요?
시행령 제36조의11은 회의록 작성 방법을 정하지 않았지만, 회사가 요건을 지켰다는 사실을 가장 분명하게 보여 주는 것은 문서입니다. 한국법인은 아래 여섯 가지를 한국법인 명의로 보관해 두는 편이 좋습니다.
- 운영규정: 위원장, 위원의 직위별 명단, 정기회의 시기, 정족수, 보고 절차를 적습니다. 인사 변동으로 부서의 장이 바뀌면 명단도 함께 고칩니다.
- 소집 통지와 안건: 정기회의인지 위원장이 소집한 수시회의인지, 그리고 안건이 제1항 각 호 중 어디에 해당하는지를 적습니다.
- 출석부: 구성원 전체 수와 출석자 수를 함께 적어 과반 출석으로 개의했다는 점을 보여 줍니다.
- 회의록: 안건별 심의 내용과 찬성·반대 수를 적습니다. 본사 자료를 썼다면 그 자료를 첨부합니다.
- 최고경영자 보고 기록: 위원장이 한국법인 대표이사에게 심의 결과를 보고한 날짜와 결재 기록을 남깁니다.
- 이사회 보고 기록: 위원장이 정보보호에 중대한 영향을 미친다고 판단한 사항은 한국법인 이사회 안건과 의사록에 남깁니다.
6번에서 「중대한 영향」의 판단 기준은 시행령에 정해져 있지 않습니다. 조문상 그 판단은 위원장이 하는 것으로 읽히므로, 위원장은 이사회에 올린 사항뿐 아니라 올리지 않기로 한 사항에 대해서도 그 이유를 회의록에 짧게 남겨 두는 편이 안전하다고 판단됩니다. 어떤 사항이 중대한지는 회사의 사업과 사안에 따라 결론이 달라질 수 있습니다.
자주 묻는 질문
Q. 본사 Global Security Council 회의록을 한국법인 정보보호위원회의 기록으로 쓸 수 있나요?
Q. 한국법인이 중기업이면 정보보호위원회를 두지 않아도 되나요?
Q. 정보보호위원회를 설치하지 않으면 과태료가 있나요?
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21988호, 2026. 10. 2. 시행본) 제45조의3, 제45조의4, 제76조 제2항. 국가법령정보센터
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(대통령령 제36735호, 2026. 9. 30. 공포, 2026. 10. 1. 시행) 제36조의7 제1항, 제36조의10, 제36조의11. 국가법령정보센터. 국가법령정보센터 Open API 조회에서 「현행」으로 표시되는 대통령령 제36728호(타법개정) 판에는 제36조의10·제36조의11이 들어 있지 않았으므로, 이 글은 제36735호 판을 기준으로 했습니다(2026년 11월 7일 확인)
- 우리 CISO는 임원이 아닙니다: CISO 지정기준과 시행령 제36조의7 제1항의 네 구분
- CISO가 CPO를 겸할 수 있나요?: 겸직 근거 조문