요약

  • 한국 통신사업자에게 부과되는 안전 의무는 전기통신사업법 제51조(사실조사 등)가 아니라 정보통신망법 제45조와 제48조의4에서 나온다.
  • Ministry of Science and ICT가 정보통신망법에 근거해 시정을 명하면, 이를 따르지 않은 데 대한 과태료 상한은 3천만 원이다. 전기통신사업법 제92조 제1항의 시정명령이라면 일반 상한은 1천만 원으로 내려간다. '이미 고쳤다'는 설명을 믿기 전에 먼저 볼 숫자다.

한국 통신법에서 가장 많이 잘못 인용되는 조항에는 외우기 쉬운 번호가 붙어 있다. 제51조다. 전기통신사업법 제51조의 공식 국문 제목은 「제51조(사실조사 등)」이며, 규율하는 것은 조사와 현장 확인, 자료의 제출 또는 보관 의무다(법제처, 전기통신사업법 제51조 국문 원문). 이 조항 자체가 일반적인 사이버보안 의무를 부과하지는 않는다. Korea Legislation Research Institute의 영문 통합본도 다른 경로로 같은 결론에 이른다. 제51조를 사실 확인 권한으로 설명하고, 개선명령은 제52조 제1항 제9호에 둔다(Korea Legislation Research Institute, 전기통신사업법 영문 통합본). 제51조를 '사업자는 스스로를 지켜야 한다'는 조항으로 인용하는 것은 조사 도구를 인용하는 일이지, 위반된 의무를 인용하는 일이 아니다.

진짜 의무는 다른 법에 적혀 있다. 정보통신망법은 통신사업자를 정보통신서비스 제공자의 정의에 명시적으로 포함시키고, 제45조 제1항에서 정보의 신뢰성을 확보하기 위한 보호조치를 요구하며, 같은 조 제3항에서 침입 차단과 유출 방지 통제, 연속성, 보안 거버넌스를 그 내용으로 든다. 제48조의4 제1항은 사고의 분석과 대응, 복구, 재발 방지라는 일련의 의무를 더한다(Korea Legislation Research Institute, 정보통신망법 영문 통합본).

여기에 중요한 설계가 있다. 제48조의4 제2항은 Ministry of Science and ICT가 필요한 이행 조치를 명할 권한을 주고, 공공기관은 제외한다. 같은 조 제3항은 점검을 허용하고, Ministry of Science and ICT가 "정보통신서비스 제공자에게 시정을 명할" 수 있게 한다. 제64조 제4항은 법령 위반에 대한 시정조치와 공표 요구를 정한다. 이와 나란히 전기통신사업법은 열거된 위반, 심각한 영업질서 침해, 구제되지 않은 서비스 중단 사고에 대해 Ministry of Science and ICT 또는 Korea Communications Commission이 관할 범위에서 시정을 명할 권한을 둔다(Korea Legislation Research Institute, 전기통신사업법 영문 통합본).

이 모든 권한에는 값이 붙어 있고, 그 값이 불편한 부분이다. 정보통신망법 제48조의4 제3항 또는 제64조 제4항의 명령을 따르지 않으면 과태료 상한은 3천만 원이다(정보통신망법 제76조 제1항). 전기통신사업법 체계에서는 제92조 제1항의 시정명령을 따르지 않을 때 일반 상한이 1천만 원이고, 조사 방해와 특정 대기업의 불이행에는 5천만 원까지 올라간다. 제104조의 과태료와 제53조의 과징금은 서로 다른 도구이므로 섞어 쓰면 안 된다(전기통신사업법 제104조 및 제53조).

이 틀은 두 해 전에 강화됐다. Kim & Chang의 해설에 따르면, 2024년 8월 14일 시행된 개정은 '권고'를 '필요한 예방조치를 명할 수 있는 권한'으로 바꿨고, 별표 9는 시정명령 위반에 대해 1차 750만 원, 2차 1,500만 원, 3차 이후 3,000만 원의 수준을 정한다. 이는 법무법인의 해설이지 법 조문이 아니며, 별표 9 자체도 확보하지 못했으므로 그 정체 그대로 인용한다(Kim & Chang, 2024년 개정 해설).

번호의 함정도 정리해 둘 만하다. 전기통신사업법 시행령 제51조의2는 모법 제62조 제1항에 따른 중요 통신설비의 설치 신고·승인과 관련해 설비 보안조치를 요구한다. 이는 설비에 관한 하위법령이지, 모법의 일반적 사이버보안 의무가 아니다(Korea Legislation Research Institute, 전기통신사업법 시행령).

법이 책상 위에 올라오면 질문은 기계적이 되고, 그래서 검증 가능해진다. 제3자는 누군가를 믿을 필요 없이 다섯 개의 칸을 요구하면 된다. 문서번호, 날짜, 수신자, 근거 조항, 이행 기한, 그리고 불이행의 결과다. 이 다섯이 공개된 문서에 있으면 복구는 감사할 수 있고, 없으면 복구는 발표에 그친다. 고객 보상이나 보안 투자에 관한 발표는 액수가 아무리 커도 기업이 이용자와 주주에게 하는 약속이지, Ministry of Science and ICT가 집행할 수 있는 결정이 아니다.

여기서 이 작업이 어디까지 읽었는지 밝혀 둔다. 2026년 11월 12일 16시 31분부터 11월 13일 2시 35분(UTC)까지 열여섯 차례의 검색은 2025년 4월 USIM 사고에 관한 날짜 있는 Ministry of Science and ICT 문서, 즉 명령이나 지시, 처분 결정을 돌려주지 않았다. 이는 실제로 읽은 자료의 범위를 긋는 것이지, 문서가 존재하지 않는다는 증명이 아니며, Ministry of Science and ICT가 아무 일도 하지 않았다는 주장을 허용하는 것도 아니다.

그러므로 증거는 문서의 형태를 띤다. 문서가 나오면 그것으로 충분하다. 나오지 않는 동안 사업자의 복구는 자기 말만을 근거로 서 있고, 스스로를 검증하는 복구는 검증되지 않은 복구다. Ministry of Science and ICT에게도 이 질문은 불편하다. 3천만 원이라는 상한은 '따르지 않는 일'을 작은 지출로 바꾸고, 작은 지출은 명령을 관인을 찍은 메모로 바꾼다.