|
세계 각국의 사이버 침해사고 규제 제도
최근 인공지능의 발전과 디지털 기술의 고도화로 해킹·랜섬웨어·DDoS 등 사이버 침해사고가 증가함에 따라 우리나라는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(정보통신망법)을 중심으로 침해사고 예방 및 대응체계를 강화하고 있다. 특히 2026년 3월 31일 개정에 따라 10월 1일부터 정보보호 최고책임자(CISO)의 역할과 정보보호 인력·예산 관리, 침해사고 신고 및 이용자 통지, 정부의 침해사고 조사체계 등을 강화하도록 규정하였다. 우리나라에서는 정보통신망에 대한 무단 침입, 악성프로그램 유포, 정보통신망 장애 발생 등의 행위에 대하여 정보통신망법에 따라 처벌하고 있으며, 해킹으로 업무를 방해하거나 재산상 이익을 취득한 경우에는 「형법」상 컴퓨터등 장애 업무방해죄 또는 컴퓨터등 사용사기죄 등을 적용하여 처벌하고 있다. 특히 컴퓨터등 사용사기죄의 경우 20년 이하의 징역 또는 5,000만원 이하의 벌금에 처해진다(제347조).
이와 관련하여 세계 각국의 사이버 침해사고 규제 제도는 어떠한지 살펴보고자 한다.
대만
대만은 「정보통신 보안관리법」에 따라 사이버 침해사고의 예방·신고·대응 체계를 운영하고 있다. 2025년 9월 24일 개정된 이 법은 공공기관과 중요 기반시설 운영자 등 특정 비공공기관에 보안관리 의무를 부과하고, 사이버 침해사고의 신고·대응에 관한 사항을 규정하고 있다. 이에 따라 2026년 1월 5일 개정된 「정보통신 보안사고 신고·대응 및 훈련에 관한 규정」은 사고 발생 시 적용되는 구체적인 신고 및 대응 기한을 정하고 있다. 해당 기관은 사고를 인지한 후 1시간 이내에 신고하여야 하고, 사고 등급에 따라 36시간 또는 72시간 이내에 피해 통제 또는 복구 조치를 완료하여야 한다. 한편, 법률상 신고 의무를 위반하거나 보안관리계획을 수립·이행하지 아니하는 경우, 과태료가 부과될 수 있으며 중대 사고에 대한 조사 방해 역시 제재 대상이 된다.
독일
독일은 「연방정보기술보안청법」을 중심으로 사이버 침해사고를 규제하고 있다. 유럽연합 「유럽연합 전역에서 보다 높은 공동 사이버보안 수준을 위한 조치에 관한 지침(EU) 제2022/2555호(NIS2 지침)」의 국내 이행을 위해 2025년 12월 시행된 이 법은 중요기관 등에 사이버보안 위험관리조치 및 보안사고 신고의무를 부과하며, 제32조는 중대한 보안사고에 대해 24시간 이내 최초 신고, 72시간 이내 후속 신고 및 후속 신고 후 1개월 이내 최종 보고를 하도록 규정한다. 관련 의무 위반 시 제65조에 따라 최대 1,000만 유로(한화 약 149억원) 또는 총매출액의 최대 2%까지 과태료가 부과될 수 있다. 또한 「형법」 제202a조는 보호조치를 우회한 무단 데이터 접근을 3년 이하의 자유형 또는 벌금형에 처하고, 제202b조 및 제202c조는 비공개 데이터의 무단 가로채기와 관련 준비행위를 각각 2년 이하의 자유형 또는 벌금형에 처한다. 제303b조는 컴퓨터 사보타주 행위를 3년 이하의 자유형 또는 벌금형에 처하며, 사업체·기업 또는 행정기관에 중요한 데이터 처리를 대상으로 한 경우에는 5년 이하의 자유형 또는 벌금형에 처한다.
러시아
러시아는 「러시아연방 주요정보기반시설 안전에 관한 법률」을 통해 주요 정보기반시설을 대상으로 하는 사이버 공격 및 컴퓨터 침해사고의 예방·대응체계를 규정하고 있다. 러시아는 정보자원에 대한 컴퓨터 공격의 탐지·예방 및 피해 복구를 위한 국가 통합 대응시스템을 운영하고 있으며, 그 일환으로 '국가 컴퓨터 침해사고 조정센터'를 두고 있다. 주요 정보기반시설 운영자는 사이버 공격 및 컴퓨터 침해사고 발생 사실을 소관기관에 지체 없이 통보하고, 공격의 탐지·예방 및 피해 복구에 협조하여야 한다. 「형법」 제274.1조는 주요 정보기반시설에 대한 불법적인 영향력 행사, 보호 대상 정보에 대한 불법 접근 및 정보 훼손 등의 행위를 처벌 대상으로 규정하고 특히 해당 행위로 중대한 결과가 발생한 경우 5년 이상 10년 이하의 징역형을 부과하도록 규정하고 있다.
미국
사이버 침해사고와 관련한 미국의 법령을 처벌 및 신고 의무를 중심으로 살펴본다. 우선, 해킹과 같은 범죄 행위는 연방법과 주법에 따라 형사처벌의 대상이며, 연방법은 국가안보 누설, 무단접근, 사기, 타인의 컴퓨터 손상, 무단으로 취득한 정보 거래 등 행위 유형과 피해 정도에 따라 처벌의 수위를 달리한다(「형법」 제1030조). 일례로, 타인의 컴퓨터를 고의로 손상시켜 일정 규모 이상의 피해를 야기한 경우 초범은 10년 이하, 재범은 20년 이하의 징역에 처하며, 사망을 초래한 때는 최대 무기징역까지 선고할 수도 있다. 민간 사업장에서 발생한 사고를 당국에 신고해야 할 의무는 개별법마다 다르게 규정한다. 「경제·임상 건전성을 위한 의료정보기술법」 제13402조(미국법전 제42편제17932조)에 따라, 병원이나 보험사 등은 500명 이상의 의료기록이 유출된 사고가 발생한 즉시 이를 보건부로 알려야 하며, 500명 미만의 유출 사고는 연 1회 보건부로 기록을 제출해야 한다. 은행은 사고 발생 36시간 이내에 감독기관으로 알려야 한다(연방규정 제12편제53.3조, 제225.302조, 제304.23조). 이와 별도로, 미국은 2022년에 에너지, 금융, 의료 등 핵심기반시설의 사이버 침해사고 신고를 의무화하는 법적 근거를 「국토안보법 2002」 제2242조(미국법전 제6편제681b조)에 마련한 뒤 현재 그 시행을 위한 규칙의 입법절차를 밟고 있다. 이 규정이 시행되면 핵심기반시설의 운영자는 중대한 사고가 발생한 경우 72시간 이내에 그리고 랜섬웨어로 인해 금전을 지급한 경우 24시간 이내에 사이버보안기반시설보안청(CISA)으로 신고해야 한다.
베트남
베트남은 2026년 7월 1일부터 시행된 「사이버보안법」을 중심으로 사이버 침해사고의 예방·탐지·대응체계를 운영하고 있다. 이 법은 정보시스템의 보안등급별 보호조치와 침해사고 대응체계를 규정한다. 또한 「사이버보안 및 개인정보 보호 분야의 행정위반 처분에 관한 규정」은 정보통신망의 정상적인 작동을 방해하거나 권한 없이 데이터에 접근·개입하는 등의 행위에 대해 2,000만~3,000만 동(한화 약 103만~155만원)의 벌금을 부과하고, 악성프로그램의 제작·매매 또는 불법 사이버공격 서비스 제공에는 3,000만~5,000만 동(한화 약 155만~258만원)의 벌금을 부과하도록 규정하고 있다.
브라질
브라질은 「개인정보보호법(LGPD)」과 「형법전」 등을 통해 개인정보 침해 대응 및 사이버범죄 처벌 체계를 마련하고 있다. 「형법전」은 타인의 정보기기에 무단으로 침입하거나 악성프로그램을 이용하는 행위, 전자·정보기기를 이용한 사기성 절취, 전자적 수단을 이용한 사기, DDoS 등 정보통신 서비스를 방해하는 행위 등을 처벌한다. 특히 정보기기 침입죄는 제154조의A에 따라 1년 이상 4년 이하의 징역 및 벌금에 처하고, 전자·정보기기 등을 이용한 사기성 절취는 제155조제§4항B에 따라 4년 이상 10년 이하의 징역 및 벌금에 처한다. 브라질 형법전상 벌금은 일수벌금제로 산정되므로 개별 범죄조항에는 구체적인 벌금액이 명시되지 않는다.
스페인
스페인은 「네트워크 및 정보시스템 보안에 관한 국왕령」 및 「형법」을 중심으로 사이버 침해사고를 규제하고 있다. 「네트워크 및 정보시스템 보안에 관한 국왕령」은 유럽연합의 네트워크 및 정보시스템 보안 지침(NIS)을 국내법으로 수용한 것으로 필수 서비스 운영자와 디지털 서비스 제공자에게 사이버보안 위험관리 및 중대한 침해사고 신고 의무를 부과하고 있다. 특히 같은 법 제19조는 필수 서비스 운영자가 서비스 제공에 중대한 영향을 미치는 침해사고를 관할 당국에 신고하도록 규정하고 있으며, 제37조부터 제39조까지는 의무 위반의 중대성에 따라 경고 또는 최대 100만 유로의 과징금을 부과할 수 있도록 규정하고 있다. 또한 「형법」 제197조의2는 정보시스템에 대한 무단 접근 또는 권한 없는 접속 상태 유지 행위를, 제264조는 컴퓨터 데이터의 무단 삭제·훼손·변경 등을 처벌 대상으로 규정하고 있다. 특히 제264조의2는 정보시스템의 정상적인 작동을 중대하게 방해하거나 중단시키는 행위에 대해 6개월 이상 3년 이하의 징역에 처하도록 하고 있으며 중요 기반시설에 영향을 미치는 등 가중처벌 사유에 해당하는 경우에는 3년 이상 8년 이하의 징역 및 벌금에 처하도록 규정하고 있다.
싱가포르
싱가포르에서는 「2018 사이버보안법」 제7조에 따라 핵심정보인프라를 지정하며 해당 인프라 소유자에게 같은 법 제14조 및 제15조에 따라 사이버보안 사고 신고, 정기 보안감사, 위험평가 등의 보안 의무를 부과하고 있다. 또한, 「1993 컴퓨터오용법」 제3조 및 제5조부터 제7조까지에 따라 컴퓨터 자료에 대한 무단 접근 또는 변경, 컴퓨터 이용의 무단 방해 등의 행위로 피해가 발생하는 경우 7년 이하의 징역 및/또는 5만 싱가포르달러(한화 약 5,219만원) 이하의 벌금에 처하며, 그러한 범죄 과정에서 같은 법 제11조에 따른 보호대상 컴퓨터에 접근한 경우에는 20년 이하의 징역 및/또는 10만 싱가포르달러(한화 약 1억 438만원) 이하의 벌금에 처한다.
영국
영국의 사이버 침해사고 규제 제도는 「2018 네트워크 및 정보시스템 규정」(이하 ‘2018 NIS 규정’)과 「1990 컴퓨터 오용법」을 중심으로 구성된다. 2025년 11월에는 「2018 NIS규정」을 개정·강화하여 공급망 보안과 신속한 대응체계를 법제화한 「사이버 보안 및 복원력(네트워크 및 정보시스템) 법안」(Cyber Security and Resilience (Network and Information Systems) Bill)이 발의되어 현재 의회 심의 중에 있다. 「2018 NIS 규정」 제11조는 침해사고 신고의무를 부과하고 있고, 제17조는 의무 위반 시 시정명령을, 제18조제(5)항 및 제(6)항은 위반의 중대성 등에 따라 최대 1,700만 파운드(한화 약30억원)의 과징금을 부과할 수 있음을 규정하고 있다. 또한 「1990법」 제1조는 컴퓨터 자료에 대한 무권한접근(최대 징역 1년), 제2조는 추가 범죄를 목적으로 한 무권한접근 등을 규정하고 있다. 이 법은 중대한 피해를 야기하거나 그 위험을 발생시키는 행위의 처벌에 대해 규정하고 있으며 가중 유형의 경우에는 최대 무기징역까지 부과할 수 있음을 규정하고 있다.
오만
오만은 「사이버방어센터 설치 및 관련 규정에 관한 술탄령」에 따라 사이버방어센터(CDC)를 설치해 침해사고의 예방‧신고‧대응‧조사 체계를 구축했다. 유관기관은 사이버위협‧침해사고를 즉시 CDC에 통보하고, CDC는 기술적 대응과 조사를 수행한다. 「통신망보안규정」상 통신망사업자는 보안사고 인지 후 24시간 내 통신규제청에 신고하고 15일 내 보고서를 제출해야 한다. 같은 규정은 주요 보안조치 의무 위반에 대해 20만 리알(한화 약 7억원)의 과징금을 부과한다. 또한 2026년 전부개정된 「정보기술범죄퇴치법」은 정보시스템 무단접속에 대해 1개월 이상 6개월 이하의 징역 또는 100리알(한화 약 35만원)이상 1,000리알(한화 약 350만원)의 벌금에 처하거나 병과하도록, 정보 훼손 또는 정부의 전자정보 침해의 경우 더 엄격하게 처벌하도록 규정하고 있다.
인도네시아
인도네시아 전자시스템 운영자는 「전자시스템 및 전자거래 운영에 관한 행정부령」 제24조에 따라 보안 절차와 수단을 마련해야 하며, 타인의 행위로 중대한 시스템 장애가 발생하면 정보를 보호하고 수사기관과 관련 정부기관에 신속히 보고해야 한다. 위반 시 제100조에 따라 서면 경고, 과태료, 서비스 중단, 접근 차단 등의 제재를 받을 수 있다. 개인정보 유출 발생 시 「개인정보보호법」 제46조에 따라 72시간 이내에 정보 주체와 관련 기관에 서면 통지해야 하며, 위반 시 제57조에 따라 연간 수입의 최대 2%에 해당하는 행정제재가 부과될 수 있다. 「전자정보거래법」 제30조는 권한 없이 타인의 전자시스템에 접근하는 행위를 금지하며, 제46조에 따라 접근 유형에 따라 최대 8년의 징역 및 최대 8억 루피아(약 5,904만원)의 벌금에 처한다. 제33조는 고의적·무권한 행위로 전자시스템을 방해하거나 정상적으로 작동하지 못하게 하는 행위를 금지하고, 제49조는 이에 대해 최대 10년의 징역 및 최대 100억 루피아(약 7억 3,800만원)의 벌금을 규정한다.
일본
일본은 「부정접속행위의 금지 등에 관한 법률」, 「사이버보안기본법」 등을 중심으로 사이버 침해사고를 규제하고 있다. 2025년 5월 「중요컴퓨터에 대한 부정 행위로 인한 피해 방지에 관한 법률」을 제정하여 주요 기반시설 사업자의 사고 보고와 정부의 대응을 강화하였다. 「개인정보 보호에 관한 법률」 제26조제1항 및 같은 법 시행규칙 제8조에 따라 신고 대상 개인정보 유출은 신속히 최초 보고하고, 사고를 인지한 날부터 원칙적으로 30일 이내에 확정 보고해야 한다. 「부정접속행위의 금지 등에 관한 법률」 제3조 및 제11조에 따라 타인의 식별정보 무단 사용이나 접근통제 우회로 정보시스템에 침입하면 3년 이하의 구금형 또는 100만 엔(한화 약 860만원) 이하의 벌금에 처한다. 「형법」 제168조의2는 악성프로그램 제작·제공에 3년 이하의 구금형 또는 50만 엔(한화 약 430만원) 이하의 벌금을, 제234조의2는 컴퓨터 손괴·부정한 명령 입력 등에 의한 업무방해에 5년 이하의 구금형 또는 100만 엔(한화 약 860만원) 이하의 벌금을 규정한다.
중국
중국의 「중화인민공화국 사이버보안법」은 사이버보안과 사이버 침해사고 예방 및 비상대응 체계 등에 대해 규정하고 있다. 같은 법 제57조에 따르면 사이버 침해사고가 발생한 경우 비상대응책을 가동하여야 하고, 네트워크 운영자에게 기술적 조치 등을 취하도록 요구하여 보안 관련 잠재적 리스크를 제거하여야 한다. 「네트워크 데이터 보안 관리 조례」는 데이터 보안 조치, 생성형 인공지능 데이터 보안 등에 대해 규정하고 있으며 해당 조례를 위반하여 제삼자의 손해를 유발한 경우, 법률에 따라 민사책임을 부담하거나 치안관리 처벌을 받는다고 규정하고 있다.
카자흐스탄
카자흐스탄은 「사이버보안법」을 중심으로 사이버 침해사고의 예방·탐지·신고·대응·조사 체계를 구축하고 있다. 법률상 국가 차원의 사이버보안 사고 대응 서비스와 개별 정보화시설의 사고 대응 서비스를 두고 있으며, 사고 및 사이버 위협에 관한 정보를 수집·분석하고 대응하도록 하고 있다. 특히 국가 사이버보안 사고 대응 서비스는 개인정보 보안 침해가 확인된 경우 관련 개인정보 보호기관에 발견 후 3시간 이내 통보하도록 규정하고 있다. 또한, 카자흐스탄은 「형법」 제205조부터 제210조까지 정보화 및 통신 분야의 범죄를 규정하고 있다. 정보화 객체에 대한 무단 접근, 정보의 불법적인 삭제·변조, 정보화 객체의 작동 방해, 정보의 불법 취득 및 악성 컴퓨터 프로그램의 제작·사용·유포 등을 형사처벌 대상으로 하며, 특히 중요 정보통신 인프라를 대상으로 하거나 범죄집단에 의해 범행이 이루어진 경우 또는 중대한 결과가 발생한 경우에는 가중하여 처벌한다. 정보화 객체의 작동을 방해한 경우에는 최대 10년의 징역에 처하며, 사이버 침해사고에 대한 형사책임을 상당히 엄격하게 규정하고 있다.
태국
태국은 「2019년 사이버보안법」에 따라 사이버 침해사고의 예방·탐지·보고·대응 체계를 구축하고 있다. 국가사이버보안위원회가 관련 정책을 총괄하고, 국가사이버보안청이 사이버 위협 대응 및 기관 간 협력을 지원한다. 국가중요정보기반시설 운영기관에는 연 1회 이상의 위험평가·보안점검 및 사이버 위협 사고 보고 의무를 부과하며, 사이버 위협을 3단계로 구분하여 위협 수준에 따라 대응 조치를 시행할 수 있도록 규정하고 있다. 또한 사이버 위협 사고 미보고, 대응 명령 불이행, 정보 유출 등 위반행위에 따라 최대 30만 밧(한화 약1,187만원)의 벌금 또는 3년 이하의 징역에 처하거나 이를 병과할 수 있도록 규정하고 있으며, 일부 명령 불이행에 대해서는 의무를 이행할 때까지 1일 1만 밧(한화 약39먄원) 이하의 벌금을 추가로 부과한다.
튀르키예
튀르키예는 2025년 「사이버보안법」을 제정해 사이버 위협의 탐지·제거와 사이버 사고·공격에 대한 예방·대응 체계를 마련했다. 정보시스템을 이용해 서비스를 제공하거나 데이터를 수집·처리하는 자 등은 사이버 보안을 위해 법령상 조치를 취하고, 발견한 보안 취약점이나 사이버 사고를 지체 없이 사이버보안청에 신고해야 한다. 또한 데이터 유출로 사이버 공간에 노출된 개인정보 또는 핵심 공공서비스 관련 기관의 데이터를 허락 없이 타인이 접근할 수 있도록 하거나 공유ㆍ판매에 제공한 경우에는 최대 5년의 징역에 처한다. 한편, 「튀르키예 형법」은 정보시스템에 대한 불법 접근, 데이터 전송의 불법 감시, 시스템 작동 방해, 데이터의 훼손·삭제·변경 등을 형사처벌 대상으로 규정하고 있다. 특히 정보시스템의 작동을 방해한 자는 최대 5년의 징역에 처하며, 시스템 작동 방해나 데이터 훼손 등으로 부당한 이익을 얻고 다른 범죄를 구성하지 않는 경우에는 최대 6년의 징역과 5,000일 이하의 일수벌금을 병과한다.
프랑스
프랑스에서는 해킹과 같은 사이버 공격 행위를 “자동화된 데이터 처리시스템 침해”로 규정한다. 「형법전」 제323-1조 및 제323-2조에 따라 이러한 시스템에 부정한 방법으로 접근하는 행위는 징역 3년 및 벌금 10만 유로(한화 약 1억 4,000만원)에 처하며, 이러한 시스템의 작동을 방해∙왜곡하는 행위와 시스템에 포함된 데이터를 수정, 삭제하거나 추출, 복제, 전송하는 등의 행위는 징역 5년 및 벌금 15만 유로(한화 약 2억 2,000만원)에 처한다. 특히 이러한 행위가 국가가 운영하는 시스템을 대상으로 행해진 경우에는 징역 7년, 벌금 30만 유로(한화 약 4억 4,000만원)로 가중될 수 있다.
|
