자본금 1억 이하 소기업, CISO 의무 대상에서 제외

CISO(정보보호 최고책임자)를 지정하고 신고를 의무화 해야하는 정보통신서비스 제공자가 19만9000여개에서 3만9000여개로 감소(올해 5월 기준)하게 됐다. 소상공인, 소기업 등은 CISO 지정과 신고 의무의 부담을 완화하게 돼 규제 개선의 직접적 혜택을 보게 될 예정이다.

과학기술정보통신부는 기업의 CISO 지정 제도를 개선하는 법률 시행령 개정안이 4일 국무회의를 통과했다고 이날 밝혔다. 완화된 규제는 향후 공포절차를 거쳐 이달 13일부터 시행될 예정이다.

개정된 정보통신망법 시행령은 CISO 지정·신고 의무 대상에서 자본금 1억원 이하의 부가통신사업자와 소상공인, 소기업(전기통신사업자, 집적정보통신시설사업자 제외) 등을 제외했다.

아울러 과기정통부는 CISO를 정보보호 관련 학력과 경력 등의 자격요건을 갖춘 자로 지정·신고하도록 했다. 정보보호의 전문성과 경험을 갖춘 전문가가 해당 정보통신서비스 제공자의 정보보호 업무를 담당하게 됨으로써, 기업의 사이버 침해사고 대응능력이 강화될 것으로 보고 있다.

과기정통부는 CISO의 요건을 △정보보호 업무를 4년 이상 수행한 경력이 있는 사람이나 △정보보호와 정보기술 업무 수행 경력을 합산한 기간이 5년 이상(그 중 2년 이상은 정보보호 업무 수행 경력)인 사람으로 규정했다.

아울러 △자산총액 5조원 이상인 정보통신서비스 제공자와 △정보보호 관리체계 인증을 받아야 하는 정보통신서비스 제공자 중 자산총액 5000억 원 이상인 기업의 CISO는 정보보호 관리체계 수립, 취약점 분석·평가, 침해사고 예방·대응 등의 정보보호 업무에 전념할 수 있도록 다른 직무의 겸직을 제한했다.

오용수 과기정통부 정보보호정책관은 "이번 정보보호 최고책임자 제도 개선은 대기업, 중견기업, 중기업, 소기업 등 기업 규모에 따라 의무 부담을 차등화함에 따라 규제 부담을 합리화 했다"며 "5G 상용화와 함께 사이버 위협과 사고 위험 증가가 우려되는 초연결 환경에서 5G의 안전한 이용 환경 마련에 기여할 것으로 기대된다"고 말했다.

한편, 대상 기업이 CISO를 지정·신고하지 않은 경우 3000만원 이하의 과태료가 부과된다. CISO 지정·신고는 과학기술정보통신부 전자민원센터를 통해 온라인으로 신고하거나, 관할 전파관리소에 방문, 우편, 팩스 등을 통해 신고 할 수 있다. 김은지기자 kej@dt.co.kr