정보통신망법에는 정보통신서비스 제공자가 정기적으로 수행해야 하는 다양한 의무가 있습니다.
다만 기업 규모나 서비스 유형에 따라 적용 대상이 달라지기 때문에, 실제 업무에서는 "우리 회사는 어떤 의무를 이행해야 하는가?"를 판단하는 것이 쉽지 않습니다.
이번 글에서는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(하위법령 포함) 중 정보보호(보안) 관점의 정기 이행 의무만 선별하여 정리했습니다.
법령의 세부 내용보다는 적용 대상, 수행해야 하는 업무, 주기, 관련 조항을 빠르게 확인할 수 있도록 구성했으며, 세부 기준은 각 법령을 참고하시기 바랍니다.
정보통신망법상 정보보호 정기 이행 의무
① 광고성 정보 수신동의 정기 확인
적용 대상
전자적 전송매체를 이용하여 영리목적 광고성 정보를 발송하는 사업자
해야 하는 일
주기
✔ 2년마다
관련 조항
② 정보보호 최고책임자(CISO) 지정 및 직무 수행
적용 대상
정보통신서비스 제공자
※ CISO 지정은 원칙적으로 모든 정보통신서비스 제공자에게 적용됩니다.
다만 자산총액 5조 원 이상 또는 ISMS 의무대상 중 자산총액 5천억 원 이상인 기업은 전담·상근 CISO를 두어야 합니다.
해야 하는 일
CISO 지정 및 신고
정보보호 감사
정보보호 교육 및 훈련
정보보호 현황 보고 등 법정 직무 수행
주기
✔ 상시 운영 (감사·교육 등은 정기 수행)
관련 조항
③ 정보보호 관리체계(ISMS) 인증
적용 대상
다음 중 하나에 해당하는 경우
주요정보통신서비스 제공자
집적정보통신시설(IDC) 사업자
상급종합병원·대학교 등 법령상 대상 기관
정보통신서비스 부문 매출 100억 원 이상
일일평균 이용자 100만 명 이상
해야 하는 일
주기
✔ 인증 유효기간 3년
✔ 매년 1회 이상 사후심사
관련 조항
④ 집적정보통신시설(IDC) 보호조치 및 이행점검
적용 대상
법령에서 정한 기준 이상의 집적정보통신시설(IDC)을 운영하는 사업자
해야 하는 일
보호조치 상시 이행
내부관리계획 수립 및 운영
연 1회 이행점검 수검
주기
✔ 보호조치 상시
✔ 이행점검 연 1회
관련 조항
2027년 4월 1일 시행 예정
2027년부터는 다음과 같은 정보보호 관련 제도가 새롭게 도입될 예정입니다.
※ 아래 제도는 2027년 4월 1일 시행 예정이며, 적용 대상 등 세부 기준은 시행령 개정에 따라 확정될 예정입니다.
⑤ 정보보호위원회 설치·운영
해야 하는 일
관련 조항
제45조의4(정보보호위원회) ① 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자는 정보보호에 관한 사항을 심의하기 위하여 정보보호위원회(이하 “정보보호위원회”라 한다)를 설치ㆍ운영하여야 한다.
② 정보보호위원회의 위원장은 정보보호 최고책임자가 된다.
③ 그 밖에 정보보호위원회의 구성 및 운영 등에 필요한 사항은 대통령령으로 정한다.
[본조신설 2026. 3. 31.]
⑥ 정보보호수준 평가 대응
해야 하는 일
관련 조항
제45조의5(정보보호수준 평가) ① 과학기술정보통신부장관은 제45조제1항 각 호의 어느 하나에 해당하는 자 중 사업의 종류, 매출액 규모, 이용자의 수 등이 대통령령으로 정하는 기준에 해당하는 자(이하 “대상자”라 한다)에 대하여 매년 이 법에 따른 의무의 준수 여부 등 정보통신망의 안정성 및 정보의 신뢰성 수준을 평가(이하 “정보보호수준 평가”라 한다)하여야 한다.
② 과학기술정보통신부장관은 정보보호수준 평가의 결과를 인터넷 홈페이지 등을 통하여 공개할 수 있다.
③ 과학기술정보통신부장관은 정보보호수준 평가에 필요한 경우 대상자에게 관련 자료의 제출을 요구할 수 있다.
④ 과학기술정보통신부장관은 정보보호수준 평가 결과 정보보호수준이 미흡하거나 개선이 필요하다고 인정되는 대상자에 대하여 정보보호를 위하여 필요하다고 인정하면 개선을 권고할 수 있다. 이 경우 권고를 받은 대상자는 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 과학기술정보통신부장관에게 제출하여야 한다.
⑤ 그 밖에 제1항부터 제3항까지에 따른 평가 기준ㆍ방법ㆍ절차, 자료제출의 범위 및 평가 결과의 공개 등에 필요한 사항은 대통령령으로 정한다.
[본조신설 2026. 3. 31.]
⑦ 침해사고 관리·대응 매뉴얼 작성·운용
해야 하는 일
정부 표준안에 따른 매뉴얼 작성
변경 시 갱신
정기·수시 점검 대응
관련 조항
제48조의9(침해사고 관리ㆍ대응 매뉴얼) ① 과학기술정보통신부장관은 침해사고의 예방 및 피해 확산 방지를 위하여 침해사고 관리ㆍ대응 매뉴얼 표준안을 마련하여 보급하여야 한다.
② 과학기술정보통신부장관은 제1항에 따른 표준안 마련 및 보급에 관한 업무의 전부 또는 일부를 한국인터넷진흥원에 위탁할 수 있다.
③ 정보통신서비스 제공자 등 정보통신망을 운영하는 자로서 대통령령으로 정하는 자(이하 이 조에서 “정보통신서비스제공자등”이라 한다)는 제1항의 표준안에 따라 해당 정보통신서비스의 규모 및 특성에 적합한 침해사고 관리ㆍ대응 매뉴얼을 작성하여 과학기술정보통신부장관과 한국인터넷진흥원에 제출하여야 한다. 이를 새로이 작성하거나 변경한 때에도 또한 같다.
④ 과학기술정보통신부장관은 제3항에 따른 침해사고 관리ㆍ대응 매뉴얼의 작성 및 운용 실태를 정기적으로 또는 수시로 점검하여야 하며, 그 결과에 따라 이를 시정 또는 보완하기 위하여 정보통신서비스제공자등에게 필요한 조치를 명할 수 있다. 이 경우 정보통신서비스제공자등은 그 명령을 따라야 한다.
⑤ 그 밖에 침해사고 관리ㆍ대응 매뉴얼의 작성ㆍ운용 및 제출ㆍ점검 등에 필요한 사항은 대통령령으로 정한다.
[본조신설 2026. 3. 31.]
한눈에 정리하기
마지막으로, 지금까지 살펴본 내용을 한눈에 확인할 수 있도록 인포그래픽으로 정리했습니다.
적용 대상별 정보보호 정기 이행 의무를 빠르게 확인해보세요.
정보보호 관련 법적 의무는 기업의 규모와 서비스 유형에 따라 적용 대상과 범위가 달라질 수 있습니다.
이번 글이 기업에 적용되는 정보보호 의무를 빠르게 확인하고, 필요한 사항을 점검하는 데 도움이 되었기를 바랍니다.
세부 적용 기준이나 예외 사항은 반드시 최신 법령 및 하위법령을 함께 확인하시기 바랍니다.
※ 본 글은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 정보보호(보안) 분야의 정기 이행 의무를 중심으로 정리한 내용입니다. 청소년보호책임자, 불법촬영물등 유통방지 책임자, 허위·조작정보 투명성 보고 등 서비스 운영·플랫폼 정책 중심의 의무는 제외하였습니다.
※ (2026년 6월 기준) 시행예정 법령을 포함하여 작성되었으며, 향후 법령 또는 하위법령 개정에 따라 적용 대상, 기준 및 내용이 변경될 수 있습니다.
정보통신망법 [시행 2027. 4. 1.] [법률 제21500호, 2026. 3. 31., 일부개정]
정보통신망법 시행령 [시행 2026. 3. 24.] [대통령령 제36220호, 2026. 3. 24., 타법개정]
정보통신망법 시행규칙 [시행 2021. 3. 31.] [과학기술정보통신부령 제71호, 2021. 3. 31., 일부개정]
 신하린 | shr@cela.kr |
정보통신망법에는 정보통신서비스 제공자가 정기적으로 수행해야 하는 다양한 의무가 있습니다.
다만 기업 규모나 서비스 유형에 따라 적용 대상이 달라지기 때문에, 실제 업무에서는 "우리 회사는 어떤 의무를 이행해야 하는가?"를 판단하는 것이 쉽지 않습니다.
이번 글에서는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(하위법령 포함) 중 정보보호(보안) 관점의 정기 이행 의무만 선별하여 정리했습니다.
법령의 세부 내용보다는 적용 대상, 수행해야 하는 업무, 주기, 관련 조항을 빠르게 확인할 수 있도록 구성했으며, 세부 기준은 각 법령을 참고하시기 바랍니다.
정보통신망법상 정보보호 정기 이행 의무
① 광고성 정보 수신동의 정기 확인
② 정보보호 최고책임자(CISO) 지정 및 직무 수행
③ 정보보호 관리체계(ISMS) 인증
④ 집적정보통신시설(IDC) 보호조치 및 이행점검
2027년 4월 1일 시행 예정
2027년부터는 다음과 같은 정보보호 관련 제도가 새롭게 도입될 예정입니다.
※ 아래 제도는 2027년 4월 1일 시행 예정이며, 적용 대상 등 세부 기준은 시행령 개정에 따라 확정될 예정입니다.
⑤ 정보보호위원회 설치·운영
⑥ 정보보호수준 평가 대응
⑦ 침해사고 관리·대응 매뉴얼 작성·운용
한눈에 정리하기
마지막으로, 지금까지 살펴본 내용을 한눈에 확인할 수 있도록 인포그래픽으로 정리했습니다.
적용 대상별 정보보호 정기 이행 의무를 빠르게 확인해보세요.
정보보호 관련 법적 의무는 기업의 규모와 서비스 유형에 따라 적용 대상과 범위가 달라질 수 있습니다.
이번 글이 기업에 적용되는 정보보호 의무를 빠르게 확인하고, 필요한 사항을 점검하는 데 도움이 되었기를 바랍니다.
세부 적용 기준이나 예외 사항은 반드시 최신 법령 및 하위법령을 함께 확인하시기 바랍니다.
※ 본 글은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 정보보호(보안) 분야의 정기 이행 의무를 중심으로 정리한 내용입니다. 청소년보호책임자, 불법촬영물등 유통방지 책임자, 허위·조작정보 투명성 보고 등 서비스 운영·플랫폼 정책 중심의 의무는 제외하였습니다.
※ (2026년 6월 기준) 시행예정 법령을 포함하여 작성되었으며, 향후 법령 또는 하위법령 개정에 따라 적용 대상, 기준 및 내용이 변경될 수 있습니다.
정보통신망법 [시행 2027. 4. 1.] [법률 제21500호, 2026. 3. 31., 일부개정]
정보통신망법 시행령 [시행 2026. 3. 24.] [대통령령 제36220호, 2026. 3. 24., 타법개정]
정보통신망법 시행규칙 [시행 2021. 3. 31.] [과학기술정보통신부령 제71호, 2021. 3. 31., 일부개정]
신하린 | shr@cela.kr