정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)
Enforcement Decree of the Act on Promotion of Information and Communications Network Utilization and Information Protection, Article 36-7 (Designation of Chief Information Security Officers, Prohibition of Concurrent Duties, etc.)
① 법 제45조의3제1항 본문에서 "대통령령으로 정하는 기준에 해당하는 임직원"이란 다음 각 호의 구분에 따른 사람을 말한다. <신설 2021.12.7, 2024.12.31>
(1) The term "executive officer meeting the criteria prescribed by Presidential Decree" in the main text of Article 45-3 (1) of the Act means the following persons, according to the following categories:
1. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자
1. An information and communications service provider falling under any of the following items: the business owner or representative;
가. 자본금(법인의 경우 납입자본금을 말하고, 법인이 아닌 경우 영업용 자산평가액을 말한다)이 1억원 이하인 자
(a) A person whose capital (for a corporation, paid-in capital; for a non-corporation, the appraised value of business assets) is 100 million won or less;
(b) A small enterprise under Article 2 (2) of the Framework Act on Small and Medium Enterprises;
다. 「중소기업기본법」 제2조제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자
(c) A medium enterprise under Article 2 (2) of the Framework Act on Small and Medium Enterprises that does not fall under any of the following:
1) 「전기통신사업법」에 따른 전기통신사업자
1) A telecommunications business operator under the Telecommunications Business Act;
2) 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자
2) A person required to obtain certification of an information security management system under Article 47 (2) of the Act;
3) 「개인정보 보호법」 제30조제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자
3) A personal information controller required to disclose its privacy policy under Article 30 (2) of the Personal Information Protection Act;
4) 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조에 따라 신고를 해야 하는 통신판매업자
4) A mail-order distributor required to file a report under Article 12 of the Act on Consumer Protection in Electronic Commerce;
2. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
2. An information and communications service provider falling under any of the following items: a director (including a person under Article 401-2 (1) 3 of the Commercial Act and an executive officer under Article 408-2 of the same Act);
가. 직전 사업연도 말 기준 자산총액이 5조원 이상인 자
(a) A person whose total assets as of the end of the immediately preceding business year are at least 5 trillion won;
나. 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자
(b) Among persons required to obtain certification of an information security management system under Article 47 (2) of the Act, a person whose total assets as of the end of the immediately preceding business year are at least 500 billion won;
3. 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람
3. An information and communications service provider that does not fall under subparagraph 1 or 2: any of the following persons:
가. 사업주 또는 대표자
(a) The business owner or representative;
나. 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
(b) A director (including a person under Article 401-2 (1) 3 of the Commercial Act and an executive officer under Article 408-2 of the same Act);
다. 정보보호 관련 업무를 총괄하는 부서의 장
(c) The head of the department in overall charge of information protection work.
② 법 제45조의3제1항 단서에서 "자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자"란 정보통신서비스 제공자로서 제1항제1호 각 목의 어느 하나에 해당하는 자를 말한다. 다만, 다음 각 호의 어느 하나에 해당하는 자는 제외한다. <개정 2021.12.7, 2025.11.4>
(2) The term "information and communications service provider meeting the criteria prescribed by Presidential Decree, such as total assets and sales revenue" in the proviso to Article 45-3 (1) of the Act means an information and communications service provider that falls under any of the items of paragraph (1) 1. However, a person falling under any of the following subparagraphs is excluded:
1. 「전기통신사업법」 제38조제1항에 따라 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자
1. A telecommunications business operator that receives mobile communications services from a facilities-based telecommunications business operator and resells them under Article 38 (1) of the Telecommunications Business Act;
2. 「전기통신사업법」 제22조에 따른 부가통신사업자로서 제1호에 따른 재판매를 중개하여 이동통신서비스의 가입을 대행하는 자
2. A value-added telecommunications business operator under Article 22 of the Telecommunications Business Act that intermediates the resale under subparagraph 1 and acts on behalf of customers in subscribing to mobile communications services.
③ 법 제45조의3제1항 단서에 해당하는 자가 정보보호 최고책임자를 신고하지 않은 경우에는 사업주나 대표자를 정보보호 최고책임자로 지정한 것으로 본다. <신설 2021.12.7>
(3) Where a person falling under the proviso to Article 45-3 (1) of the Act has not reported a chief information security officer, the business owner or representative shall be deemed to have been designated as the chief information security officer.
④ 법 제45조의3제1항 및 제7항에 따라 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는 다음 각 호의 어느 하나에 해당하는 자격을 갖추어야 한다. 이 경우 정보보호 또는 정보기술 분야의 학위는 「고등교육법」 제2조 각 호의 학교에서 「전자금융거래법 시행령」 별표 1 비고 제1호 각 목에 따른 학과의 과정을 이수하고 졸업하거나 그 밖의 관계법령에 따라 이와 같은 수준 이상으로 인정되는 학위로 하고, 정보보호 또는 정보기술 분야의 업무는 같은 비고 제3호 및 제4호에 따른 업무로 한다. <개정 2021.12.7, 2022.8.9>
(4) A chief information security officer whom an information and communications service provider must designate and report under Article 45-3 (1) and (7) of the Act shall have any of the following qualifications. In this case, a degree in the field of information protection or information technology means a degree obtained by completing and graduating from a course of a department under the items of Note 1 of Attached Table 1 of the Enforcement Decree of the Electronic Financial Transactions Act at a school under any subparagraph of Article 2 of the Higher Education Act, or a degree recognized as equivalent or higher under other relevant statutes; and work in the field of information protection or information technology means the work under Notes 3 and 4 of the same Table:
1. 정보보호 또는 정보기술 분야의 국내 또는 외국의 석사학위 이상 학위를 취득한 사람
1. A person who has obtained a master's degree or higher in the field of information protection or information technology in the Republic of Korea or abroad;
2. 정보보호 또는 정보기술 분야의 국내 또는 외국의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력(학위 취득 전의 경력을 포함한다)이 있는 사람
2. A person who has obtained a bachelor's degree in the field of information protection or information technology in the Republic of Korea or abroad and has at least three years of experience performing work in the field of information protection or information technology (including experience before obtaining the degree);
3. 정보보호 또는 정보기술 분야의 국내 또는 외국의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력(학위 취득 전의 경력을 포함한다)이 있는 사람
3. A person who has obtained an associate degree in the field of information protection or information technology in the Republic of Korea or abroad and has at least five years of experience performing work in the field of information protection or information technology (including experience before obtaining the degree);
4. 정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
4. A person who has at least 10 years of experience performing work in the field of information protection or information technology;
5. 법 제47조제6항제5호에 따른 정보보호 관리체계 인증심사원의 자격을 취득한 사람
5. A person who has obtained the qualification of an information security management system certification auditor under Article 47 (6) 5 of the Act;
6. 해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람
6. A person who has at least one year of experience working as the head of the department in charge of information protection work within the relevant information and communications service provider.
⑤ 법 제45조의3제3항에서 "자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자"란 정보통신서비스 제공자로서 제1항제2호 각 목의 어느 하나에 해당하는 자를 말한다. 다만, 제1항제2호가목에 해당하는 자 중 「독점규제 및 공정거래에 관한 법률」 제2조제7호에 따른 지주회사로서 자회사의 경영관리업무와 그에 부수하는 업무 외에 영리를 목적으로 하는 다른 업무를 영위하지 않는 자는 제외한다. <개정 2021.12.7, 2023.12.26>
(5) The term "information and communications service providers meeting the criteria prescribed by Presidential Decree, such as total assets and sales revenue" in Article 45-3 (3) of the Act means information and communications service providers that fall under any of the items of paragraph (1) 2. However, among persons falling under item (a) of paragraph (1) 2, a holding company under Article 2, subparagraph 7 of the Monopoly Regulation and Fair Trade Act that does not engage in any other business for profit besides managing its subsidiaries and work incidental to that is excluded.
⑥ 제5항에 따른 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는 제4항에 따른 자격과 다음 각 호의 어느 하나에 해당하는 자격을 추가로 갖춰야 하며, 상근(常勤)해야 한다. 이 경우 정보보호 또는 정보기술 분야의 업무는 「전자금융거래법 시행령」 별표 1 비고 제3호 및 제4호에 따른 업무로 한다. <개정 2021.12.7, 2022.8.9>
(6) A chief information security officer whom an information and communications service provider under paragraph (5) must designate and report shall, in addition to the qualifications under paragraph (4), have any of the following qualifications and shall work full-time. In this case, work in the field of information protection or information technology means the work under Notes 3 and 4 of Attached Table 1 of the Enforcement Decree of the Electronic Financial Transactions Act:
1. 정보보호 분야의 업무를 4년 이상 수행한 경력(제4항제1호부터 제3호까지에서 정한 학위 또는 같은 항 제5호의 자격 취득 전의 경력을 포함한다)이 있는 사람
1. A person who has at least four years of experience performing work in the field of information protection (including experience before obtaining a degree under paragraph (4) 1 through 3 or the qualification under subparagraph 5 of the same paragraph);
2. 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행(그중 2년 이상은 정보보호 분야의 업무를 수행해야 한다)한 경력(제4항제1호부터 제3호까지에서 정한 학위 또는 같은 항 제5호의 자격 취득 전의 경력을 포함한다)이 있는 사람
2. A person who has at least five years of experience performing work in the field of information protection or information technology, of which at least two years must be work in the field of information protection (including experience before obtaining a degree under paragraph (4) 1 through 3 or the qualification under subparagraph 5 of the same paragraph).
영어는 이 사이트가 원문에서 옮긴 비공식 번역으로, 영어 공부를 돕기 위한 것입니다. 법적 효력은 한국어 원문에만 있습니다. 낱말 위 한글은 소리 나는 대로 적은 발음이며 굵은 글자가 강세입니다.
시행 2026.10.2 · 대통령령 · 방송미디어통신위원회 소관