요약

  • 현재 영국 규정은 장관이 NIS 국가 전략을 공개하도록 요구하고, 규제 기관이 그 전략을 고려하도록 한다. 사이버 보안 및 복원력 법안(Cyber Security and Resilience Bill)은 이 조항들을 삭제하고 국무장관이 대체 우선순위 성명서를 지정할 수 있도록 한다.
  • 이 법안은 첫 규제 기관 준수 보고서를 의무로 만들지만, 그 첫 12개월 기간은 해당 성명서가 공개된 때에만 시작된다. 법안 본문에는 그 첫 공개 시점에 대한 날짜가 없으며, 별도의 더 광범위한 검토는 법률이 통과된 때부터 5년 주기를 시작한다.

첫 해에는 날짜가 비어 있다

영국 의회가 각 부문 규제 기관이 국가 사이버 우선순위를 어떻게 실행하는지 비교하고 싶다고 가정해 보자. 법안 초안인 사이버 보안 및 복원력(네트워크 및 정보 시스템) 법안(Cyber Security and Resilience (Network and Information Systems) Bill)은 그 목적을 위한 반복적 보고서를 제공한다. 그러나 첫 보고서가 언제 제출되어야 하는지 물어보기 전에, 하나의 날짜가 먼저 존재해야 한다: 첫 전략 우선순위 성명서가 공개되는 날이다.

그 날짜가 제28조의 경첩이다. 첫 보고 기간은 제25조에 따라 지정된 첫 성명서가 공개된 날부터 시작되는 12개월이다. 각 기간이 끝나면 국무장관은 의회에 보고서를 제출하고 공개해야 한다. 보고서는 그 해에 규제 기관들이 자신의 의무를 어떻게 준수했는지, 다음 해에는 어떻게 준수할 계획인지를 대체적인 수준에서 기술하도록 되어 있다.

그러나 제25조는 국무장관이 제26조의 절차를 따르는 조건에서 성명서를 지정할 수 있다고, 즉 ‘할 수 있다’고 규정한다. 법안은 첫 성명서가 나와야 하는 외부 기한을 정하지 않는다. 두 조항을 함께 읽으면, 첫 성명서 이후의 연간 보고는 의무가 되지만 첫 해에는 달력상 시작점이 주어지지 않는다. 이는 제안된 문구에서 도출되는 결론이며, 장관이 성명서 공개를 보류할 것이라는 예측이 아니다.

“반드시”에서 “할 수 있다”로의 전환

이 대조는 이미 시행 중인 규정과 나란히 놓으면 더 명확해진다. 2018년 네트워크 및 정보 시스템 규정(NIS Regulations 2018) 제2규정은 왕실 장관이 NIS 국가 전략을 지정하고 공개하도록 요구한다. 제3규정(6)은 주관 당국과 정보위원회가 그 전략을 고려하도록 요구한다. HL Bill 49의 본문은 규정에서 이 두 조항을 모두 삭제한다.

대체안은 그대로의 이어받기가 아니다. 제25조는 국무장관이 정부 우선순위, 역할과 책임, 규제 기관을 위한 목표를 담은 성명서를 지정할 수 있도록 한다. 제27조는 그 후 성명서가 지정되어 있는 동안 각 규제 기관이 그것을 고려하고 관련 목표 달성을 추구하도록 요구한다. 2월 하원 위원회 토론에서 장관은 이 성명서가 기존 국가 전략을 대체한다고 밝히고, 3년 규칙은 규제 기관이 계획할 수 있을 만큼의 안정성을 주기 위한 것이라고 설명했다.

이 변경에는 실용적 근거가 있다. 정부는 12개 부문 규제 기관이 NIS 체계를 운영한다고 말한다. 사이버 위험은 에너지, 보건, 통신, 수자원, 디지털 서비스 사이에서 서로 다르기 때문에 그들의 전문성이 중요하다. 동시에 정부는 규제 기관들이 때때로 서로 다른 접근을 취해 왔다고 주장해 왔다. 공유된 우선순위 성명서는 동일한 부문 규칙을 요구하지 않으면서 공통 방향을 줄 수 있다.

그러나 법적 전환 자체가 중요하다. 현재 규정 아래에서 국가 전략 작성 의무는 상시 체계의 일부이다. 이 법안 아래에서는 새로운 의무를 작동시키는 성명서가 행정부의 선택이다. 해당 조항은 국무장관에게 날짜를 정하거나, 일정표를 공개하거나, 지정하지 않기로 한 결정을 설명하도록 요구하지 않는다. 그 결과 첫 연간 책임 기간은 별도의 장관 공개 행위에 의존하게 된다.

성명서에는 견제 장치가 있지만 시작 기한은 없다

국무장관이 진행하기로 선택한다면 제26조가 절차를 정한다. 장관은 규제 당국에 초안을 협의하고 응답을 위해 최소 40일을 허용해야 한다. 응답을 고려한 뒤 장관은 성명서를 의회에 제출해야 한다. 그 뒤 40일 기간이 더 이어진다. 어느 한 원이라도 그 기간 동안 승인하지 않기로 결의하면 성명서는 지정될 수 없다.

이 절차들은 제안된 성명서에 대한 심의를 만들지만, 절차가 시작되어야 하는 날짜를 정하지는 않는다. 성명서가 지정된 뒤에도 법안은 통상 3년간 수정이나 철회를 금지한다. 다만 총선 이후 또는 국무장관이 정부 정책이나 위협의 성격이 크게 변했다고 판단하는 경우에는 더 이른 변경을 허용한다. 이 구조는 우선순위가 존재하는 한 계획 안정성을 제공하면서, 특정된 변화에 대응할 경로를 남겨둔다. 그러나 첫 우선순위를 얼마나 빨리 마련해야 하는지에 대해서는 적게 말한다.

연간 보고서도 그 명칭이 암시하는 것보다 좁은 역할을 한다. 규제 기관 준수와 계획을 “대체적인 수준에서” 기술해야 한다. 하원 토론이 예상했듯 의회에서 행동을 가시화하고 장관에 대한 질문을 뒷받침할 수 있다. 그러나 해당 조항은 그 자체로 사이버 복원력이 개선되었는지, 인시던트가 줄었는지, 공공 서비스의 회복 가능성이 높아졌는지에 대한 독립적 감사를 요구하지 않는다. 우선순위 성명서에 대한 준수와 제도 전체의 성과는 서로 다른 측정이다.

두 번째 시계는 다른 질문을 던진다

제40조는 더 광범위한 검토를 만든다. 국무장관은 법률이 통과된 날부터 최소 5년마다 한 번 보고해야 한다. 검토는 특정 NIS 법률의 운영, 그 목표가 달성되었고 여전히 적절한지, 더 경량의 대안이 그 목표를 달성할 수 있는지, 국무장관이 이 법안의 권한을 어떻게 행사했는지를 다룬다.

귀족원 헌법 위원회는 이 법안이 상당한 장관 권한을 부여하는 빠르게 변하는 분야에서 5년은 너무 길다고 주장했다. 10월 13일 클레멘트-존스 경(Lord Clement-Jones)은 제40조의 “5”를 “2”로 바꾸는 수정안을 제출했다. 이 제안은 조사 기준 시점에 계류 중이며, 인쇄된 법안을 바꾸지는 않았다. 이 수정안은 더 광범위한 검토 간격을 단축할 것이다. 그 자체로 제25조 첫 성명서의 날짜를 정하거나 제28조 첫 해를 시작하지는 않는다.

앞서의 하원 토론에서 정부의 반응은 부문 전반에 걸친 완전한 검토에는 시간이 걸리고, 우선순위 성명서에 대한 연간 보고가 더 잦은 모니터링을 제공한다는 것이었다. 이 구분은 방어 가능하다: 규제 기관 활동에 대한 짧은 연간 보고는 법률의 효과성, 대안, 장관 권한을 평가하는 것과 같은 작업이 아니다. 그러나 그 방어는 성명서가 공개된다고 전제한다. 첫 기간에 고정된 발동점이 없다면, 그 시작 전에는 연간 채널이 달력 기반의 최후 안전장치로 작동할 수 없다.

2026년 10월 14일 기준으로 이 법안은 아직 귀족원에 계류되어 있다. 9월 7일 전체위원회에서 수정된 HL Bill 49가 최신 재인쇄 본문이며, 보고 단계는 10월 26일로 예정되어 있다. 이 법안은 아직 법률이 아니다. 10월 13일 목록은 그 단계를 위한 제안을 기록한 것으로, 이미 이루어진 결정이 아니다. 미래의 어떤 효과도 법안의 통과와 시행에 의존할 것이다.

따라서 중요한 질문은 이 법안이 보고서를 약속하는지 여부가 아니다. 약속한다. 문제는 영국 의회가 첫 보고 연도가 행정부가 나중에 정하는 날짜에 시작되기를 원하는지, 아니면 새 체계를 작동시키기 위한 가시적 일정표를 요구하는지이다. 첫 성명서에 기한을 두면 협의와 의회 심의는 유지하면서 연간 주기의 시작을 알 수 있게 만들 수 있다. 대체 보고서는 지연을 노출할 수 있지만, 공통 우선순위가 존재하기 전에 규제 기관이 무엇을 보고해야 하는지에 대한 명확한 설명이 필요할 것이다. 어느 설계든 장관의 정책 방향 선택과 의회가 감독이 언제 시작되는지 볼 수 있는 능력을 분리하게 된다.

의무화된 국가 전략에서 재량적 성명서로의 이 법안의 전환은 유연성과 더 일관된 방향으로 가는 경로를 제공할 수 있다. 동시에 첫 책임 시계를 공개 관문 뒤로 옮긴다. 성명서가 존재하는 순간부터 연간 의무는 실제가 된다. 그 전까지는 이 법안이 대중이나 의회가 대기 기간을 측정할 수 있는 고정된 날짜를 제공하지 않는다.

출처