TLDR; 아래는 중국의 핵심정보인프라 보안 보호 조례(关键信息基础设施安全保护条例, 국무원령 제745호)의 영어 번역본에서 옮긴 한국어 번역으로, 2021년 7월 30일 공포되고 2021년 9월 1일부터 시행되었습니다.
귀사가 중국 본토에서 핵심정보인프라(CII) 운영자로 지정된다면, 본 조례는 그 나라 사이버보안 제도에서 가장 무거운 의무의 원천입니다 — 전담 보안 관리 기구, 연례 시험과 위험 평가, 사고 보고, 그리고 특정 네트워크 제품 조달에 대한 필수 보안 심사. 사이버보안법 아래 발행된 그것은 무엇이 CII에 해당하는지, 운영자가 어떻게 식별되는지, 그에 따르는 의무를 정의합니다; 국가안전에 영향을 줄 수 있는 조달은 추가로 사이버보안 심사 방법이 정한 심사를 통과하여야 합니다. CII 지위는 또한 운영자를 데이터 현지화 요건으로 끌어들이는 것이므로, 귀사가 범위 안에 드는지 확인하는 것은 국제 사업자가 자격 있는 자문과 가장 먼저 제기할 질문 중 하나입니다.
핵심정보인프라 보안 보호 조례(2021년 7월 30일 국무원령 제745호로 공포; 2021년 9월 1일 시행)
제1장 — 총칙
제1조 본 조례는 핵심정보인프라의 보안을 지키고 사이버보안을 유지하기 위하여 「중화인민공화국 사이버보안법」에 따라 제정한다.
제2조 본 조례에서 말하는 “핵심정보인프라”란 공공 통신·정보 서비스, 에너지, 교통, 수리, 금융, 공공 서비스, 전자정부, 국방 과학기술·공업 부문 같은 중요 산업·분야의 중요한 네트워크 설비, 정보 시스템 등 — 그리고 파괴되거나, 기능을 상실하거나, 데이터 유출을 당하면 국가안전, 국민 경제와 민생, 또는 공공 이익을 심각하게 위태롭게 할 수 있는 그 밖의 것 — 을 말한다.
제3조 국가 인터넷정보 부문의 총괄 조율 아래, 국무원 공안 부문은 핵심정보인프라 보안 보호 업무를 지도·감독하는 일을 담당한다. 국무원 전신 당국과 그 밖의 관련 부문은 각자의 직무 범위 내에서 본 조례와 관련 법률·행정법규의 규정에 따라 핵심정보인프라의 보안 보호와 감독·관리를 담당한다.
성급 인민정부의 관련 부문은 각자의 직무에 따라 핵심정보인프라의 보안 보호와 감독·관리를 수행한다.
제4조 핵심정보인프라의 보안 보호는 종합적 조율, 책임 분담, 법에 따른 보호를 견지한다; 핵심정보인프라 운영자(이하 “운영자”라 한다)의 주된 책임을 강화·시행한다; 그리고 핵심정보인프라의 보안을 공동으로 보호하는 데 정부와 사회 각계의 역할을 충분히 발휘한다.
제5조 국가는 핵심정보인프라의 중점 보호를 시행하고, 중화인민공화국 영역 내외에서 비롯되는 사이버보안 위험과 위협을 모니터링·방어·처리하는 조치를 취하여, 핵심정보인프라를 공격·침입·간섭·사보타주로부터 보호하고, 핵심정보인프라의 보안을 위태롭게 하는 위법·범죄 활동을 법에 따라 처벌한다.
어떤 개인이나 조직도 핵심정보인프라를 불법으로 침입·간섭·사보타주하거나 그 보안을 위태롭게 하는 활동에 종사해서는 안 된다.
제6조 운영자는 본 조례, 관련 법률·행정법규의 규정, 국가 표준의 강제 요건에 따라, 사이버보안 등급 보호 체계에 기초하여, 사이버보안 사고에 대응하고, 사이버 공격과 위법·범죄 활동을 방지하며, 핵심정보인프라의 안전하고 안정적인 운영을 확보하고, 데이터의 완전성·기밀성·가용성을 유지하기 위한 기술적 보호 조치와 그 밖의 필요한 조치를 취하여야 한다.
제7조 핵심정보인프라 보안 보호 업무에서 현저한 성과를 거두거나 뛰어난 기여를 한 주체와 개인은 관련 국가 규정에 따라 표창한다.
제2장 — 핵심정보인프라의 식별
제8조 본 조례 제2조가 포괄하는 중요 산업·분야의 주관 부문과 감독·관리 부문이 핵심정보인프라 보안 보호 업무를 담당하는 부문(이하 “보호 업무 부문”이라 한다)이다.
제9조 보호 업무 부문은 그 산업이나 분야의 실제 상황에 비추어 핵심정보인프라의 식별 규칙을 제정하고, 국무원 공안 부문에 비안하여야 한다.
식별 규칙을 제정할 때 다음 요소를 우선 고려하여야 한다:
(1) 네트워크 설비, 정보 시스템 등이 그 산업이나 분야의 핵심 업무에 대해 갖는 중요도;
(2) 네트워크 설비, 정보 시스템 등이 파괴되거나, 기능을 상실하거나, 데이터 유출을 당하면 초래될 수 있는 해의 정도;
(3) 다른 산업·분야에 미치는 연관 영향.
제10조 보호 업무 부문은 식별 규칙에 따라 그 산업이나 분야의 핵심정보인프라 식별을 조직하고, 식별 결과를 운영자에게 신속히 통지하며, 국무원 공안 부문에 보고하는 일을 담당한다.
제11조 핵심정보인프라가 그 식별 결과에 영향을 줄 수 있는 비교적 큰 변경을 겪는 경우, 운영자는 관련 사정을 보호 업무 부문에 신속히 보고하여야 한다. 보호 업무 부문은 보고를 받은 날로부터 3개월 이내에 재식별을 완료하고, 식별 결과를 운영자에게 통지하며, 국무원 공안 부문에 보고하여야 한다.
제3장 — 운영자의 책임과 의무
제12조 보안 보호 조치는 핵심정보인프라와 동시에 기획·구축·투입되어야 한다.
제13조 운영자는 사이버보안 보호 제도와 책임 제도를 수립·개선하고, 인적·재정적·물적 자원의 투입을 보장하여야 한다. 운영자의 주된 책임자는 핵심정보인프라의 보안 보호에 대한 전반적 책임을 지고, 핵심정보인프라의 보안 보호와 주요 사이버보안 사고 처리를 영도하며, 주요 사이버보안 문제의 연구·해결을 조직한다.
제14조 운영자는 전담 보안 관리 기구를 수립하고, 전담 보안 관리 기구의 책임자와 핵심 직위 인원에 대한 보안 신원 조회를 수행하여야 한다. 그러한 조회를 수행할 때, 공안 기관과 국가안전 기관은 협조하여야 한다.
제15조 전담 보안 관리 기구는 자기 주체의 핵심정보인프라 보안 보호 업무를 구체적으로 담당하고, 다음 직무를 수행한다:
(1) 사이버보안 관리와 평가·평정 제도를 수립·개선하고, 핵심정보인프라의 보안 보호 계획을 수립하는 것;
(2) 사이버보안 보호 능력의 개발을 조직·추진하고, 사이버보안 모니터링·시험·위험 평가를 수행하는 것;
(3) 국가와 업계의 사이버보안 사고 긴급 대응 계획에 따라 자기 주체의 긴급 대응 계획을 수립하고, 정기적으로 긴급 훈련을 수행하며, 사이버보안 사고를 처리하는 것;
(4) 핵심 사이버보안 직위를 식별하고, 사이버보안 업무의 평가를 조직·수행하며, 상벌 권고를 제시하는 것;
(5) 사이버보안 교육·훈련을 조직하는 것;
(6) 개인정보 보호와 데이터 보안에 대한 책임을 이행하고, 개인정보 보호와 데이터 보안 제도를 수립·개선하는 것;
(7) 핵심정보인프라의 설계, 구축, 운영, 유지보수 같은 서비스에 보안 관리를 시행하는 것;
(8) 규정에 따라 사이버보안 사고와 중요 사안을 보고하는 것.
제16조 운영자는 전담 보안 관리 기구의 운영 자금을 보장하고 그에 상응하는 인원을 제공하여야 하며, 전담 보안 관리 기구의 인원은 사이버보안·정보화 관련 결정에 참여하여야 한다.
제17조 운영자는 스스로 또는 사이버보안 서비스 기관에 위탁하여 그 핵심정보인프라의 사이버보안 시험과 위험 평가를 적어도 매년 1회 수행하고, 발견된 보안 문제를 신속히 시정하며, 보호 업무 부문이 요구하는 대로 상황을 보고하여야 한다.
제18조 핵심정보인프라에 주요 사이버보안 사고가 발생하거나 주요 사이버보안 위협이 발견되는 경우, 운영자는 관련 규정에 따라 보호 업무 부문과 공안 기관에 보고하여야 한다.
핵심정보인프라의 운영 전면 중단이나 주요 기능 장애, 국가 기초 정보나 그 밖의 중요 데이터의 유출, 비교적 대규모의 개인정보 유출, 비교적 큰 경제적 손실의 초래, 또는 위법 정보의 비교적 광범위한 유포 같은 특히 중대한 사이버보안 사고가 발생하거나 특히 중대한 사이버보안 위협이 발견되는 경우, 보호 업무 부문은 보고를 받은 후 국가 인터넷정보 부문과 국무원 공안 부문에 신속히 보고하여야 한다.
제19조 운영자는 안전하고 신뢰할 수 있는 네트워크 제품·서비스를 우선 조달하여야 한다; 네트워크 제품·서비스의 조달이 국가안전에 영향을 줄 수 있는 경우, 국가 사이버보안 규정에 따라 보안 심사를 통과하여야 한다.
제20조 네트워크 제품·서비스를 조달할 때, 운영자는 관련 국가 규정에 따라 네트워크 제품·서비스 제공자와 보안·비밀 유지 협약을 체결하여, 제공자의 기술 지원과 보안·비밀 유지에 대한 의무와 책임을 명시하고, 그 의무와 책임의 이행을 감독하여야 한다.
제21조 운영자가 합병, 분할, 해산 등을 겪는 경우, 보호 업무 부문에 신속히 보고하고, 보안을 확보하도록 보호 업무 부문이 요구하는 대로 핵심정보인프라를 처리하여야 한다.
제4장 — 보장과 촉진
제22조 보호 업무 부문은 그 산업이나 분야의 핵심정보인프라 보안 계획을 수립하여, 보호 목표, 기본 요건, 업무 과제, 구체적 조치를 명시하여야 한다.
제23조 국가 인터넷정보 부문은 관련 부문을 조율하여 사이버보안 정보 공유 메커니즘을 수립하고, 사이버보안 위협·취약점·사고 같은 정보를 신속히 취합·분석·평가·공유·발표하여, 관련 부문, 보호 업무 부문, 운영자, 사이버보안 서비스 기관 등 사이의 사이버보안 정보 공유를 촉진하여야 한다.
제24조 보호 업무 부문은 그 산업이나 분야의 핵심정보인프라에 대한 사이버보안 모니터링·조기 경보 체계를 수립·개선하고, 그 산업이나 분야의 핵심정보인프라의 운영 상태와 보안 태세를 적시에 파악하며, 사이버보안 위협과 숨은 위험에 대한 조기 경보와 통보를 발하고, 보안 예방 수행을 지도하여야 한다.
제25조 보호 업무 부문은 국가 사이버보안 사고 긴급 대응 계획의 요건에 따라 그 산업이나 분야의 사이버보안 사고 긴급 대응 계획을 수립·개선하고, 정기적으로 긴급 훈련을 조직하여야 한다; 운영자가 사이버보안 사고에 대응·처리하도록 지도하고, 필요에 따라 기술 지원과 협조의 제공을 조직하여야 한다.
제26조 보호 업무 부문은 그 산업이나 분야의 핵심정보인프라에 대한 사이버보안 검사·시험을 정기적으로 조직하고, 운영자가 숨은 보안 위험을 신속히 시정하고 보안 조치를 개선하도록 지도·감독하여야 한다.
제27조 국가 인터넷정보 부문은 국무원 공안 부문과 보호 업무 부문을 조율하여 핵심정보인프라의 사이버보안 검사·시험을 수행하고 개선 조치를 제시하여야 한다.
핵심정보인프라의 사이버보안 검사를 수행할 때, 관련 부문은 조율·협력·정보 소통을 강화하고, 불필요한 검사와 중복·반복 검사를 피하여야 한다. 검사 업무에 어떤 비용도 부과할 수 없고, 피검사 주체에게 지정 브랜드나 지정 생산자·판매자의 제품·서비스를 구매하도록 요구할 수 없다.
제28조 운영자는 보호 업무 부문이 수행하는 핵심정보인프라의 사이버보안 검사·시험 업무, 그리고 공안, 국가안전, 비밀 관리, 암호 관리 등 관련 부문이 법에 따라 수행하는 핵심정보인프라의 사이버보안 검사 업무에 협력하여야 한다.
제29조 핵심정보인프라 보안 보호 업무에서, 국가 인터넷정보 부문, 국무원 전신 당국, 국무원 공안 부문 등은 보호 업무 부문의 필요에 따라 기술 지원과 협조를 신속히 제공하여야 한다.
제30조 인터넷정보 부문, 공안 기관, 보호 업무 부문 같은 관련 부문, 그리고 사이버보안 서비스 기관과 그 직원은 핵심정보인프라 보안 보호 업무에서 얻은 정보를 사이버보안 유지 목적으로만 사용할 수 있고, 관련 법률·행정법규의 요건에 따라 그러한 정보의 보안을 엄격히 확보하여야 한다; 그러한 정보를 공개·판매하거나 타인에게 불법으로 제공해서는 안 된다.
제31조 국가 인터넷정보 부문이나 국무원 공안 부문의 승인, 또는 보호 업무 부문이나 운영자의 수권 없이, 어떤 개인이나 조직도 핵심정보인프라에 대하여 그 보안에 영향을 주거나 위태롭게 할 수 있는 취약점 탐지나 침투 시험 같은 활동을 수행해서는 안 된다. 기초 전신 네트워크에 대하여 수행하는 취약점 탐지와 침투 시험 같은 활동은 사전에 국무원 전신 당국에 보고하여야 한다.
제32조 국가는 에너지, 전신 같은 부문의 핵심정보인프라의 안전한 운영을 우선 보장하는 조치를 취한다.
에너지와 전신 산업은 다른 산업·분야의 핵심정보인프라의 안전한 운영에 핵심적 보장을 제공하는 조치를 취하여야 한다.
제33조 공안 기관과 국가안전 기관은 각자의 직무에 따라 법에 따라 핵심정보인프라의 보안 방어를 강화하고, 핵심정보인프라를 겨냥하거나 이용하는 위법·범죄 활동을 방지·단속하여야 한다.
제34조 국가는 핵심정보인프라 보안 보호 업무를 지도·규범화하기 위하여 핵심정보인프라 보안 표준을 제정·개선한다.
제35조 국가는 전문 사이버보안 인력이 핵심정보인프라 보안 보호 업무에 종사하도록 장려하는 조치를 취하고, 운영자의 보안 관리 인원과 보안 기술 인원의 양성을 국가 평생교육 체계에 편입한다.
제36조 국가는 핵심정보인프라 보안 보호의 기술 혁신과 산업 발전을 지원하고, 핵심정보인프라 보안의 핵심 기술 연구를 맡을 역량을 조직한다.
제37조 국가는 사이버보안 서비스 기관의 발전과 관리를 강화하고, 관리 요건을 제정하며 감독·지도를 강화하고, 그러한 서비스 기관의 역량 수준을 지속적으로 높이며, 핵심정보인프라 보안 보호에서 그 역할을 충분히 발휘하게 한다.
제38조 국가는 사이버보안에서 군·민 융합을 강화하고, 군과 민이 협력하여 핵심정보인프라의 보안을 보호한다.
제5장 — 법적 책임
제39조 운영자가 다음 각 호의 어느 하나에 해당하는 경우, 관련 주관 부문이 그 직무에 따라 시정을 명하고 경고한다; 시정을 거부하거나 사이버보안을 위태롭게 하는 등의 결과가 발생하는 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다:
(1) 핵심정보인프라가 그 식별 결과에 영향을 줄 수 있는 비교적 큰 변경을 겪을 때 관련 사정을 보호 업무 부문에 신속히 보고하지 않은 경우;
(2) 보안 보호 조치를 핵심정보인프라와 동시에 기획·구축·투입하지 않은 경우;
(3) 사이버보안 보호 제도와 책임 제도를 수립·개선하지 않은 경우;
(4) 전담 보안 관리 기구를 수립하지 않은 경우;
(5) 전담 보안 관리 기구의 책임자와 핵심 직위 인원에 대한 보안 신원 조회를 수행하지 않은 경우;
(6) 전담 보안 관리 기구의 인원 참여 없이 사이버보안·정보화 관련 결정을 내린 경우;
(7) 전담 보안 관리 기구가 본 조례 제15조가 정한 직무를 수행하지 않은 경우;
(8) 핵심정보인프라의 사이버보안 시험과 위험 평가를 적어도 매년 1회 수행하지 않거나, 발견된 보안 문제를 신속히 시정하지 않거나, 보호 업무 부문이 요구하는 대로 상황을 보고하지 않은 경우;
(9) 관련 국가 규정에 따라 네트워크 제품·서비스 제공자와 보안·비밀 유지 협약을 체결하지 않고 네트워크 제품·서비스를 조달한 경우;
(10) 합병, 분할, 해산 등을 겪으면서 보호 업무 부문에 신속히 보고하지 않거나, 보호 업무 부문이 요구하는 대로 핵심정보인프라를 처리하지 않은 경우.
제40조 핵심정보인프라에 주요 사이버보안 사고가 발생하거나 주요 사이버보안 위협이 발견될 때, 운영자가 관련 규정에 따라 보호 업무 부문과 공안 기관에 보고하지 않은 경우, 보호 업무 부문과 공안 기관이 그 직무에 따라 시정을 명하고 경고한다; 시정을 거부하거나 사이버보안을 위태롭게 하는 등의 결과가 발생하는 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
제41조 운영자가 국가안전에 영향을 줄 수 있는 네트워크 제품·서비스를 국가 사이버보안 규정에 따른 보안 심사를 거치지 않고 조달한 경우, 국가 인터넷정보 부문과 그 밖의 관련 주관 부문이 그 직무에 따라 시정을 명하고, 조달 금액의 1배 이상 10배 이하의 벌금을 부과하며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
제42조 운영자가 보호 업무 부문이 수행하는 핵심정보인프라의 사이버보안 검사·시험 업무, 또는 공안·국가안전·비밀 관리·암호 관리 등 관련 부문이 법에 따라 수행하는 핵심정보인프라의 사이버보안 검사 업무에 협력하지 않은 경우, 관련 주관 부문이 시정을 명한다; 시정을 거부하는 경우, 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다; 정황이 중한 경우, 법에 따라 그에 상응하는 법적 책임을 추궁한다.
제43조 핵심정보인프라를 불법으로 침입·간섭·사보타주하여 그 보안을 위태롭게 하는 활동이 아직 범죄를 구성하지 않는 경우, 공안 기관이 「중화인민공화국 사이버보안법」의 관련 규정에 따라 위법 소득을 몰수하고 5일 이하의 구류를 부과하며, 5만 위안 이상 50만 위안 이하의 벌금을 병과할 수 있다; 정황이 비교적 중한 경우, 5일 이상 15일 이하의 구류를 부과하고, 10만 위안 이상 100만 위안 이하의 벌금을 병과할 수 있다.
주체가 전항에 기술된 행위를 하는 경우, 공안 기관이 위법 소득을 몰수하고, 10만 위안 이상 100만 위안 이하의 벌금을 부과하며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자를 전항의 규정에 따라 처벌한다.
본 조례 제5조 제2항과 제31조의 규정을 위반하여 치안 관리 처벌을 받은 자는 5년간 사이버보안 관리나 네트워크 운영의 핵심 직위에 종사할 수 없다; 형사 처벌을 받은 자는 평생 사이버보안 관리나 네트워크 운영의 핵심 직위에 종사할 수 없다.
제44조 인터넷정보 부문, 공안 기관, 보호 업무 부문, 그 밖의 관련 부문과 그 직원이 핵심정보인프라의 보안 보호와 감독·관리 직무를 수행하지 않거나, 직무를 유기하거나, 직권을 남용하거나, 사익을 위해 부정을 저지르는 경우, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
제45조 공안 기관, 보호 업무 부문, 그 밖의 관련 부문이 핵심정보인프라의 사이버보안 검사 업무 수행 과정에서 비용을 부과하거나, 피검사 주체에게 지정 브랜드나 지정 생산자·판매자의 제품·서비스를 구매하도록 요구하는 경우, 그 상급 기관이 시정과 부과한 비용의 반환을 명한다; 정황이 중한 경우, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
제46조 인터넷정보 부문, 공안 기관, 보호 업무 부문 같은 관련 부문, 또는 사이버보안 서비스 기관과 그 직원이 핵심정보인프라 보안 보호 업무에서 얻은 정보를 다른 목적으로 사용하거나, 공개·판매하거나 타인에게 불법으로 제공하는 경우, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
제47조 핵심정보인프라에 주요 또는 특히 중대한 사이버보안 사고가 발생하고 조사 결과 책임 사고로 판정되는 경우, 법에 따라 운영자의 책임을 규명·추궁하는 것 외에, 관련 사이버보안 서비스 기관과 관련 부문의 책임도 규명하고, 직무 태만, 직무 유기, 또는 그 밖의 위법 행위가 있는 경우 법에 따라 책임을 추궁한다.
제48조 전자정부 핵심정보인프라 운영자가 본 조례가 정한 사이버보안 보호 의무를 수행하지 않는 경우, 「중화인민공화국 사이버보안법」의 관련 규정에 따라 처리한다.
제49조 본 조례의 규정 위반이 타인에게 해를 끼친 경우, 법에 따라 민사 책임을 진다.
본 조례의 규정 위반이 치안 관리 위반 행위를 구성하는 경우, 법에 따라 치안 관리 처벌을 부과한다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 추궁한다.
제6장 — 부칙
제50조 국가 비밀에 관련된 정보를 저장·처리하는 핵심정보인프라의 보안 보호는 비밀 보호에 관한 법률·행정법규의 규정도 추가로 준수하여야 한다.
핵심정보인프라에서의 암호의 사용과 관리는 관련 법률·행정법규의 규정도 추가로 준수하여야 한다.
제51조 본 조례는 2021년 9월 1일부터 시행한다.
맺음말
원문서는 중화인민공화국 국무원에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.