정보통신망법 개정 시행일 10월 1일, 달라지는 점 — 해킹 24시간 신고·불법스팸 과징금

침해사고 대응부터 광고 문자 제재까지, 사업자 의무가 바뀝니다

10월 1일 시행되는 법률 제21500호의 개정 내용을 침해사고 신고·통지, 반복 침해사고 제재, 기업 정보보호 체계, 불법스팸 과징금의 네 가지로 나누어 개정 전후 조문과 시행령 의결안 기준으로 정리했습니다.

개정 이유는 주요 이동통신사와 금융회사 등을 대상으로 심각한 침해사고가 발생했거나 발생 의심 정황이 있고, 이용자 피해도 계속 발생한 데 있습니다. 사이버보안 강화를 목표로 발의된 여야 의원들의 20여 개 법안을 통합한 개정안은 3월 12일 국회 본회의를 통과해 3월 31일 공포됐고, 공포 후 6개월이 지난 10월 1일부터 시행돼요.

---

2026년 정보통신망법 개정 세 건, 시행일이 모두 달라요

같은 ‘정보통신망법 개정’이라도 올해 공포된 개정은 세 건이고 담긴 내용과 시행일이 서로 다릅니다. 공포일과 시행일, 핵심 내용은 다음과 같습니다.

세 건 중 법률 제21305호는 이미 시행돼 적용되고 있어요.

침해사고 신고 기한이 바뀌고 이용자 통지 의무와 불법스팸 과징금이 새로 생기는 개정은 10월 1일 시행되는 법률 제21500호예요. 정보보호수준 평가와 평가 자료제출 거부·거짓 제출에 대한 과태료만 1년 뒤인 2027년 4월 1일부터 시행됩니다.

---

해킹 등 침해사고, 24시간 신고와 이용자 통지

정보통신서비스 제공자는 침해사고가 발생하면 그 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고해야 합니다. 지금까지는 ‘즉시’ 신고하도록 했는데, 이제는 신고 기한이 시간 단위로 규정되고 신고할 내용도 발생 일시와 대응 현황 등 대통령령으로 정하는 사항으로 구체화됐어요.

침해사고 발생 사실을 이용자에게 통지하는 의무는 제48조의3제4항에 신설됐어요.

정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하여야 한다. 이 경우 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지를 하였으면 전단에 따른 통지를 한 것으로 본다.

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3제4항(2026.10.1. 시행)

이용자 통지는 10월 1일 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 적용됩니다. 통지의 대상과 시기, 방법, 절차도 대통령령에 위임돼 있어서 시행령이 공포돼야 어떤 사고를 언제, 어떤 방식으로 알리는지 확정돼요.

신고를 하지 않은 경우뿐 아니라 늦게 신고한 경우도 이제 과태료 대상이에요. 또 침해사고가 발생했거나 과학기술정보통신부에 두는 침해사고조사심의위원회가 침해사고 발생 여부에 대한 조사가 필요하다고 인정하면, 과학기술정보통신부장관이 침해사고의 발생 여부와 원인을 분석할 수 있어요. 과학기술정보통신부장관은 침해사고조사심의위원회의 심의 결과에 따라 소속 공무원이나 민·관합동조사단이 관계인의 사업장에 출입해 조사하도록 할 수도 있습니다.

---

반복 침해사고 과징금과 이행강제금 신설

이번 개정으로 과학기술정보통신부장관이 부과하는 반복 침해사고 과징금과 이행강제금 제도가 도입됐고, 두 제재의 부과 조건과 상한은 다음과 같습니다.

다만 「개인정보 보호법」 제64조의2제1항제9호에 해당하는 경우에는 반복 침해사고 과징금을 적용하지 않습니다.

침해사고 뒤 이용자 피해구제 조치 의무

침해사고가 발생하면 정보통신서비스 제공자 등 정보통신망을 운영하는 자는 이용자 피해 확산 방지와 신속한 피해구제를 위해 필요한 조치를 해야 합니다. 정보통신서비스 제공자는 그 조치의 내용과 결과를 과학기술정보통신부장관에게 제출해야 하고, 과학기술정보통신부장관은 침해사고에 관한 이용자 보호기준을 고시할 수 있어요.

피해구제 조치 의무도 10월 1일 이후 발생한 침해사고부터 적용됩니다.

---

정보보호 최고책임자·정보보호위원회·2027년 수준 평가

사고 대응뿐 아니라 기업 안의 정보보호 체계도 달라집니다. 주요정보통신서비스 제공자와 집적정보통신시설 사업자 등은 정보보호 분야 전문성을 갖춘 인력과 충분한 예산을 확보하도록 노력해야 해요.

정보보호 관리체계 인증도 달라집니다. 과학기술정보통신부장관은 생성·처리하는 정보의 규모와 사회적 파급력으로 인해 침해사고 발생 시 국민의 생명·신체 또는 재산에 중대한 위험을 초래할 우려가 있는 자로서 대통령령으로 정하는 자에게 인증 기준과 절차를 강화해 적용할 수 있고, 대통령령으로 정하는 정보통신서비스제공자등은 침해사고 관리·대응 매뉴얼을 작성해 제출해야 합니다.

---

불법스팸 과징금, 관련 매출액의 최대 6%

그동안 불법스팸 규제는 3천만원 이하의 과태료 부과에 그쳐 영리 목적의 광고성 정보 전송 사업자가 얻는 이익에 비해 제재 수준이 낮았어요. 10월 1일부터 방송미디어통신위원회는 수신자의 명시적인 사전 동의 없이 광고성 정보를 전송하는 등 불법스팸을 전송한 자와 불법스팸 방지 의무를 소홀히 한 사업자에게 과징금을 부과할 수 있습니다.

과징금은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외하고 산정하며, 매출액이 없거나 산정하기 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원 이하의 과징금을 부과할 수 있습니다. 구체적인 산정 방법은 방송미디어통신위원회가 9월 9일 의결한 시행령 개정령안과 고시 제정안에 담겼고, 산정 순서는 다음과 같습니다.

불법스팸 과징금을 부과한 행위에는 과태료를 따로 부과할 수 없어요. 불법스팸 과징금은 10월 1일 이후 발생한 위반행위부터 적용됩니다. 정보통신서비스 제공자는 자신의 서비스가 불법스팸 전송에 이용되면 대통령령으로 정하는 유형과 기준에 따라 광고성 정보 전송 중단, 이용계약 해지 등의 조치를 해야 하죠.

광고 문자 위탁은 전송자격인증을 받은 사업자에게

누구든지 대량문자 서비스를 이용한 영리목적의 광고성 정보 전송을 타인에게 위탁하려면 「전기통신사업법」에 따른 ‘전송자격인증’을 받은 자에게 위탁해야 합니다. 이를 위반해 위탁하면 3천만원 이하의 과태료 대상이 돼요.

광고 문자 발송을 대행업체에 맡기는 사업자라면 위탁 업체가 전송자격인증을 받았는지 확인해야 합니다.

---

개정 이후 이용자와 사업자가 확인할 것

정리하면 10월 1일부터 정보통신서비스 제공자는 침해사고를 알게 된 때부터 24시간 이내에 신고하고 대통령령으로 정하는 침해사고는 이용자에게 통지해야 하며, 반복 침해사고와 불법스팸에는 매출액 기준 과징금이 부과될 수 있습니다. 이용자 통지 기준처럼 대통령령에 맡긴 사항은 시행령 공포 후 확정되므로, 사업자라면 시행령 조문까지 함께 확인해 두는 것이 좋아요.

---

출처·참고자료

• 법제처 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 법률 제21500호(2026.3.31. 공포, 2026.10.1. 시행)
• 법제처 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 법률 제21445호(2026.9.11. 시행)
• 법제처 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 법률 제21305호(2026.7.7. 시행)
• 법제처 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 법률 제21988호(2026.10.2. 시행)
• 방송미디어통신위원회, ‘불법스팸 ‘최대 6% 과징금’, 10월 시행’ (2026년 9월 9일)
• 방송미디어통신위원회, ‘불법스팸 관련자, 매출액 6% 이하 과징금 내야’ (2026년 3월 24일)
• 과학기술정보통신부, ‘국민의 사이버보안 불안감 해소를 위한 제도적 기반 마련’ (2026년 3월 24일)
• Cjb8293, ‘Republic of Korea capitol’, Wikimedia Commons (CC BY-SA 4.0)

위 자료를 수집·분석하여 본문 작성에 참고하였으며 2026년 9월 29일 확인 기준입니다. 불법스팸 과징금 부과기준율은 9월 9일 의결된 시행령 개정령안 기준이고, 침해사고 이용자 통지 기준 등 대통령령 위임 사항은 아직 공포되지 않았으므로 시행령 공포 후 다시 확인하시기 바랍니다.

본 글은 법률 자문을 대신하지 않습니다.