요약

  • Executive Order 14028 제5조가 Cyber Safety Review Board에 준 동사는 "검토하고 평가한다"와 "장관에게 권고한다"이다. 시행을 뜻하는 유일한 동사의 주어는 국토안보부 장관이며, 거기에 "as appropriate"라는 재량의 단서가 붙는다.
  • 그래서 위원회의 산출물은 증거 대장이지 구제 수단이 아니다. 대장이 구속력이 되려면 누군가가 그것을 의무로 바꿔야 한다. 입법, 조달이나 보험 조항, 또는 소송에서의 증거 사용이 그 경로다.

명령은 2021년 5월 12일에 서명됐고 닷새 뒤 문서번호 2021-10460으로 Federal Register에 실렸다 (Executive Order 14028, 백악관 게시문). 제5조는 Cyber Safety Review Board를 설치한다. 5(a)는 국토안보부 장관에게 설치를 지시하고, 5(b)는 작업 범위를 그린다. 위협 활동, 취약점, 완화 조치, 그리고 각 기관의 대응이며, 연방 민간 행정부 정보 시스템이나 비연방 시스템에 영향을 주는 중대한 사이버 사고가 그 범위에 들어간다.

결정적인 문장은 영어로 짧다. "The Board shall review and assess". 검토하고 평가한다. 판정하지도, 제재하지도 않는다. 5(d)와 5(h)는 산출물을 더 좁힌다. 권고, 자문, 정보가 그것이다. 5(d)의 원문은 "provide recommendations to the Secretary"다. 그리고 5(j)에 이르러서야 동사가 시행으로 바뀌는데, 주어는 다른 사람이 된다. "take steps to implement them as appropriate" — 장관이 권고를 검토하고 적절하다고 판단하는 조치를 취한다는 구문이다.

나는 Federal Register가 보여주는 제5조의 (a)부터 (j)까지를 항목별로 읽었다. 이 조 안에는 위원회의 결론이나 권고를 심의 대상 기관에 구속력 있게 만드는 명문이 없고, 보고 의무도, 기한도, 채택하지 않았을 때의 결과도 적혀 있지 않다. 말할 수 있는 데까지는 거기다. 이것은 "이 조에 없다"는 진술이지, "현실에 없다"는 주장이 아니다. 구속은 다른 곳에서 올 수 있고, 이 글의 질문이 바로 그것이다. 판단의 범위는 제5조이며 이후의 입법, 계약, 기관 관행으로 넓어지지 않는다.

기관 자신의 페이지는 위원회의 작업을 자문 성격으로 묘사하고, 그 결론과 권고가 민간 부문과 정부 기관 모두에 구속력이 없다고 적는다 (CISA 위원회 페이지, CISA 자료 페이지). 다만 자료의 성격은 분명히 밝혀야 한다. 이 두 페이지는 2026년 11월 12일 현재 읽을 수 있는 페이지 본문이 아니라 제공자가 작성한 요약으로 보관된 것이다. 따라서 이 진술은 2차적 단서이며 기관의 발언으로 인용할 수 없다. 조항의 문구는 Federal Register의 본문을 따른다.

이 논의에서 즐겨 인용되는 일반 조항도 있다. 제11(d)조는 이 명령이 집행 가능한 권리나 이익을 창출하지 않는다고 적는다 (명령 본문). 이는 권리 창설 일반에 관한 표현이지, 위원회 권고가 구속력이 없다는 명시적 선언이 아니다. 이 둘을 섞는 것이 이 주제에서 가장 흔한 의미 전환이다. 증거의 한계에 관한 솔직한 기록도 붙인다. Federal Register 페이지 자체가 XML판은 비공식 참고 자료이며 govinfo판과 대조하라고 안내한다. 손에 있는 것은 짧은 그대로의 인용과 정리이고, 명령의 완전한 복제가 아니다.

그렇다면 이 문서는 무엇인가. 제5조의 구조를 펼쳐 보면 행정과 집행의 분리가 보인다. 평가는 위원회에 남고, 재량은 장관에게 남고, 심의 대상 기관은 의무의 연결고리 바깥에 놓인다. 누구도 구속할 수 없는 조사 결론은 대장이다. 무슨 일이 있었는지, 왜 그랬는지, 누가 바뀌어야 하는지를 기록한다. 대장에도 값은 있다. 고립된 사고를 읽을 수 있는 유형으로 바꿔 주기 때문이다. 그러나 대장은 구제가 아니다. 구제는 누군가 기록을 의무로 바꾸는 지점에서 시작된다.

그 전환의 경로는 구체적이고, 어느 것도 제5조 안에 없다. 입법은 권고를 법적 의무로 만들고 기한과 제재를 붙인다. 조달 조항은 권고를 계약에 넣고 따르지 않는 쪽에서 발주를 거둔다. 보험 질문지는 권고를 인수 조건으로 바꿔 이행 여부를 보험료와 자기부담금으로 환산한다. 소송은 권고를 증거로 인용한다. 사례가 쌓이면 단일한 실패가 패턴으로 보인다. 위원회가 스스로 걷는 길은 하나도 없고, 행정명령 한 조항 안에 들어가는 길도 하나도 없다.

위원회를 얕보는 말이 아니다. 사고의 인과 사슬을 끝까지 재구성하는 능력 자체가 드물고, 많은 규제기관은 거기에 이르지 못한다. 문제는 기장 방식이다. 밝혀내는 일을 해결로 읽고, 보고서 발간을 사건의 종결로 읽는다. 사고 뒤에 가장 기분 좋게 찾아오는 것은 잘 쓴 보고서다. 그리고 심의 대상 조직은 누군가 그 보고서를 들고 다른 일을 할 때까지 예전처럼 움직인다.

미국 정부의 인명부에서 Cybersecurity and Infrastructure Security Agency는 번호 자원의 보유자이면서 동시에 안보의 중심이다 (디렉터리 항목). 위원회는 그 아래에 있어서 이 소속 관계는 권한으로 읽히기 쉽다. 이름에 security가 들어 있다는 사실이 강제 수단을 쥐었다는 뜻은 아니다.

마지막으로 취재의 경계다. 이 글은 위원회의 직무 문서도, 어떤 보고서의 읽을 수 있는 본문도 확보하지 못했기에 권고 건수, 수신처 목록, 보고서 숫자를 어디에도 적지 않는다. 내가 읽은 다섯 자료, 즉 Federal Register의 명령 본문, CISA 두 페이지, 백악관 게시문, dhs.gov 첫 화면의 범위에서는 위원회 구성이나 현재 지위에 관한 공식 설명이 나오지 않았다. 이 진술은 거기서 멈추며, 그런 설명이 존재하지 않는다고 주장하지 않는다.