TLDR; 아래는 중국의 암호법(中华人民共和国密码法, 주석령 제35호)의 영어 번역본에서 옮긴 한국어 번역으로, 2019년 10월 26일 공포되고 2020년 1월 1일부터 시행되었습니다.
해외 기업에게 이것은 되풀이되는 질문 뒤의 법입니다: 내 암호화, 암호화 기반 연결 보안 도구, TLS 검사 게이트웨이, 또는 엔드포인트 보안 제품이 중국의 통제를 받는가? 암호법은 암호를 국가 비밀 정보를 보호하는 핵심 암호와 일반 암호(제7~8조), 그리고 국가 비밀이 아닌 모든 것을 포괄하는 상용 암호(제8조)로 분류하여 이에 답합니다 — 그리고 상용 암호가 일반 상업 제품·서비스에 미치는 계층입니다. 그 계층에 대하여 법은 수입 허가와 수출 통제(제28조)를, 그리고 국가안전이나 공공 이익에 관련된 제품에는 판매·제공 전의 시험과 인증(제26조)을 정하며, 핵심정보인프라 운영자는 추가 보안 심사 경로(제27조)를 마주합니다. 그것은 사이버보안법과 데이터 보안법의 토대가 되고 그것들과 함께 작동하며, 거듭 상호 참조합니다. 특정 제품이나 서비스가 이 통제 안에 드는지는 사실관계에 따른 분류에 달려 있으므로, 이것을 스스로 판단하기보다 자격 있는 자문과 확인할 사안으로 다루십시오.
중화인민공화국 암호법(2019년 10월 26일 제13기 전국인민대표대회 상무위원회 제14차 회의에서 채택; 2020년 1월 1일 시행)
제1장 총칙
제1조 본 법은 암호의 응용과 관리를 규율하고, 암호 사업의 발전을 촉진하며, 네트워크·정보 보안을 지키고, 국가안전과 공공 이익을 지키며, 시민·법인·그 밖의 조직의 적법한 권익을 보호하기 위하여 제정한다.
제2조 본 법에서 “암호”란 특정 변환 방법을 사용하여 정보 등에 대해 암호화 보호와 보안 인증을 수행하는 기술, 제품, 서비스를 말한다.
제3조 암호 업무는 총체적 국가안전관을 견지하고, 통일적 영도와 등급별 책임, 혁신적 발전과 전체 국면에의 복무, 법에 따른 관리와 보안 수호의 원칙을 따라야 한다.
제4조 암호 업무에 대한 중국공산당의 영도를 견지한다. 암호 업무의 중앙 영도 기구는 전국의 암호 업무를 통일적으로 영도하고, 국가 암호 업무의 주요 방침·정책을 제정하며, 국가 암호의 주요 사안과 중요 업무를 통합적으로 조율하고, 국가 암호의 법치 발전을 추진한다.
제5조 국가 암호 관리 부문은 전국의 암호 업무를 관리하는 일을 담당한다. 현급 이상의 각급 지방 암호 관리 부문은 각자의 행정 구역 내 암호 업무를 관리하는 일을 담당한다.
암호 업무에 관여하는 국가 기관과 단위는 그 직무 범위 내에서 자기 기관·단위·시스템의 암호 업무를 담당한다.
제6조 국가는 암호에 대해 분류 관리를 적용한다.
암호는 핵심 암호, 일반 암호, 상용 암호로 나뉜다.
제7조 핵심 암호와 일반 암호는 국가 비밀 정보를 보호하는 데 쓰인다. 핵심 암호가 보호하는 정보의 최고 분류 등급은 극비(top secret)이고, 일반 암호가 보호하는 정보의 최고 분류 등급은 비밀(secret)이다.
핵심 암호와 일반 암호 자체가 국가 비밀이다. 암호 관리 부문은 본 법과 관련 법률·행정법규·관련 국가 규정에 따라 핵심 암호와 일반 암호에 엄격하고 통일된 관리를 적용한다.
제8조 상용 암호는 국가 비밀이 아닌 정보를 보호하는 데 쓰인다.
시민·법인·그 밖의 조직은 법에 따라 상용 암호를 사용하여 네트워크·정보 보안을 보호할 수 있다.
제9조 국가는 암호 과학기술의 연구와 응용을 장려·지원하고, 법에 따라 암호 분야의 지식재산권을 보호하며, 암호 과학기술의 진보와 혁신을 촉진한다.
국가는 암호 인재의 육성과 인력 양성을 강화하고, 관련 국가 규정에 따라 암호 업무에서 뛰어난 기여를 한 조직과 개인을 표창·포상한다.
제10조 국가는 다양한 형태로 암호 보안 교육을 강화하고, 암호 보안 교육을 국가 교육 체계와 공무원 교육·훈련 체계에 편입하며, 시민·법인·그 밖의 조직의 암호 보안 의식을 높인다.
제11조 현급 이상의 인민정부는 암호 업무를 해당 급의 경제·사회 발전 계획에 편입하고, 해당 급의 예산에 필요한 자금을 포함하여야 한다.
제12조 어떤 조직이나 개인도 타인이 암호화로 보호한 정보를 절취하거나, 타인의 암호 보호 시스템에 불법 침입해서는 안 된다.
어떤 조직이나 개인도 국가안전, 공공 이익, 또는 타인의 적법한 권익을 위태롭게 하는 위법·범죄 활동에 암호를 사용해서는 안 된다.
제2장 핵심 암호와 일반 암호
제13조 국가는 핵심 암호와 일반 암호의 과학적 기획·관리·사용을 강화하고, 제도 발전을 강화하며, 관리 조치를 개선하고, 암호 보안 수호 능력을 높인다.
제14조 유선·무선 통신으로 전송되는 국가 비밀 정보, 그리고 국가 비밀 정보를 저장·처리하는 정보 시스템은 법률·행정법규·관련 국가 규정에 따라 핵심 암호와 일반 암호를 사용하여 암호화 보호와 보안 인증을 하여야 한다.
제15조 핵심 암호와 일반 암호의 연구, 생산, 서비스, 시험, 장비, 사용, 폐기 같은 업무에 종사하는 기관(이하 “암호 업무 기관”이라 총칭한다)은 법률·행정법규·관련 국가 규정과 핵심 암호·일반 암호의 표준 요건에 따라 보안 관리 제도를 수립·개선하고, 엄격한 비밀 유지 조치와 비밀 유지 책임 제도를 채택하여, 핵심 암호와 일반 암호의 보안을 확보하여야 한다.
제16조 암호 관리 부문은 법에 따라 암호 업무 기관의 핵심 암호·일반 암호 업무를 지도·감독·검사하고, 암호 업무 기관은 협력하여야 한다.
제17조 암호 관리 부문은 업무 필요에 따라 관련 부문과 함께 핵심 암호·일반 암호에 대한 보안 모니터링·조기 경보, 보안 위험 평가, 정보 통보, 주요 사안 협의, 긴급 대응 같은 협력 메커니즘을 수립하여, 핵심 암호와 일반 암호의 보안 관리가 조율되고 질서 있고 효율적이도록 확보하여야 한다.
암호 업무 기관이 핵심 암호나 일반 암호의 누설, 또는 핵심 암호·일반 암호의 보안에 영향을 주는 주요 문제나 잠재 위험을 발견하는 경우, 즉시 대응 조치를 취하고 비밀 관리 부문과 암호 관리 부문에 신속히 보고하여야 한다; 비밀 관리 부문과 암호 관리 부문은 관련 부문과 함께 조사·처리를 조직·수행하고, 관련 암호 업무 기관이 보안 위험을 적시에 제거하도록 지도한다.
제18조 국가는 암호 업무 기관의 발전을 강화하고 그 직무 수행을 보장한다.
국가는 핵심 암호·일반 암호 업무의 필요에 맞는 인사 관리 제도를 수립하며, 채용, 선발·전보, 비밀 유지, 평가, 훈련, 보수, 상벌, 교류, 퇴직 같은 사안을 포괄한다.
제19조 암호 관리 부문은 업무상 필요한 경우 관련 국가 규정에 따라 공안, 교통, 세관 같은 부문에 핵심 암호·일반 암호 관련 물품과 인원에 대한 검사 면제 같은 편의를 요청할 수 있고, 관련 부문은 협조하여야 한다.
제20조 암호 관리 부문과 암호 업무 기관은 엄격한 감독과 보안 심사 제도를 수립·개선하고, 그 직원의 법규·규율 준수 등을 감독하며, 법에 따라 필요한 조치를 취하여 정기 또는 비정기로 보안 심사를 조직·수행하여야 한다.
제3장 상용 암호
제21조 국가는 상용 암호 기술의 연구·개발, 학술 교류, 성과 전환, 보급·응용을 장려한다; 통일적이고 개방적이며 경쟁적이고 질서 있는 상용 암호 시장 체계를 개선한다; 그리고 상용 암호 산업의 발전을 장려·촉진한다.
각급 인민정부와 그 관련 부문은 비차별 원칙을 따르고, 법에 따라 외국인 투자 기업을 포함한 상용 암호의 연구, 생산, 판매, 서비스, 수출입에 종사하는 주체(이하 “상용 암호 종사 주체”라 총칭한다)를 평등하게 대우하여야 한다. 국가는 자발성과 상업 규칙의 원칙에 기초하여 외국인 투자 과정에서 상용 암호 기술 협력이 이루어지도록 장려한다. 행정 기관과 그 직원은 행정 수단을 사용하여 상용 암호 기술의 이전을 강제해서는 안 된다.
상용 암호의 연구, 생산, 판매, 서비스, 수출입은 국가안전, 공공 이익, 또는 타인의 적법한 권익을 해쳐서는 안 된다.
제22조 국가는 상용 암호 표준 체계를 수립·개선한다.
국무원 표준화 행정 부문과 국가 암호 관리 부문은 각자의 직무에 따라 상용 암호의 국가 표준과 업계 표준의 제정을 조직한다.
국가는 사회 조직과 기업이 자주 혁신한 기술을 사용하여, 관련 기술 요건이 국가·업계 표준보다 높은 상용 암호의 단체 표준과 기업 표준을 제정하는 것을 지원한다.
제23조 국가는 상용 암호의 국제 표준화 활동에 참여하고, 상용 암호의 국제 표준 제정에 참여하며, 중국의 표준과 해외 상용 암호 표준 간의 전환·적용을 추진한다.
국가는 기업, 사회 조직, 교육·과학 연구 기관 등이 상용 암호의 국제 표준화 활동에 참여하도록 장려한다.
제24조 상용 암호 종사 주체가 상용 암호 활동을 수행하는 경우, 관련 법률·행정법규, 상용 암호의 강제 국가 표준, 그리고 그 종사 주체가 공개한 표준의 기술 요건에 부합하여야 한다.
국가는 상용 암호 종사 주체가 상용 암호의 권장 국가 표준과 업계 표준을 채택하여, 상용 암호의 보호 능력을 높이고 이용자의 적법한 권익을 지키도록 장려한다.
제25조 국가는 상용 암호 시험·인증 체계의 발전을 추진하고, 상용 암호 시험·인증의 기술 규범과 규칙을 제정하며, 상용 암호 종사 주체가 시장 경쟁력을 높이기 위해 자발적으로 상용 암호 시험·인증을 받도록 장려한다.
상용 암호 시험·인증 기관은 법에 따라 관련 자격을 취득하고, 법률·행정법규의 규정과 상용 암호 시험·인증의 기술 규범·규칙에 따라 상용 암호 시험·인증을 수행하여야 한다.
상용 암호 시험·인증 기관은 상용 암호 시험·인증 과정에서 알게 된 국가 비밀과 영업 비밀에 대하여 비밀 유지 의무를 진다.
제26조 국가안전, 국민 경제와 민생, 또는 공공 이익에 관련된 상용 암호 제품은 법에 따라 핵심 네트워크 장비·전용 사이버보안 제품 목록에 포함되며, 자격 있는 기관이 적합으로 시험·인증한 후에만 판매·제공될 수 있다. 상용 암호 제품의 시험·인증은 「중화인민공화국 사이버보안법」의 관련 규정을 적용하여 중복 시험·인증을 피한다.
상용 암호 서비스가 핵심 네트워크 장비나 전용 사이버보안 제품을 사용하는 경우, 그 상용 암호 서비스는 상용 암호 인증 기관에 의해 적합으로 인증되어야 한다.
제27조 법률·행정법규·관련 국가 규정이 상용 암호를 사용하여 보호하도록 요구하는 핵심정보인프라에 대하여, 운영자는 상용 암호를 사용하여 보호하고, 스스로 또는 상용 암호 시험 기관에 위탁하여 상용 암호 응용 보안 평가를 수행하여야 한다. 상용 암호 응용 보안 평가는 핵심정보인프라의 보안 시험·평가 및 사이버보안 등급 보호 평가 체계와 연계하여 중복 평가를 피한다.
핵심정보인프라 운영자가 상용 암호와 관련되고 국가안전에 영향을 줄 수 있는 네트워크 제품·서비스를 구매하는 경우, 「중화인민공화국 사이버보안법」의 규정에 따라 국가 인터넷정보 부문이 국가 암호 관리 부문 및 그 밖의 관련 부문과 함께 조직하는 국가안전 심사를 통과하여야 한다.
제28조 국무원 상무 주관 부문과 국가 암호 관리 부문은 법에 따라 국가안전이나 공공 이익에 관련되고 암호화 보호 기능을 가진 상용 암호에 수입 허가를 부과하고, 국가안전, 공공 이익, 또는 중국이 부담하는 국제 의무에 관련된 상용 암호에 수출 통제를 부과하여야 한다. 상용 암호의 수입 허가 목록과 수출 통제 목록은 국무원 상무 주관 부문이 국가 암호 관리 부문과 세관총서와 함께 제정·공표한다.
대중 소비재에 쓰이는 상용 암호는 수입 허가와 수출 통제 제도의 적용을 받지 않는다.
제29조 국가 암호 관리 부문은 상용 암호 기술을 사용하여 전자정부용 전자 인증 서비스에 종사하는 기관을 인정하고, 관련 부문과 함께 정무 활동에서의 전자 서명과 데이터 메시지 사용의 관리를 담당한다.
제30조 상용 암호 분야의 업계 협회 등 조직은 법률·행정법규와 자체 정관에 따라 상용 암호 종사 주체에게 정보·기술·훈련 같은 서비스를 제공한다; 상용 암호 종사 주체가 법에 따라 상용 암호 활동을 수행하도록 지도·촉구한다; 업계 자율을 강화한다; 업계 신용 구축을 촉진한다; 그리고 업계의 건전한 발전을 촉진한다.
제31조 암호 관리 부문과 관련 부문은 일상 감독과 무작위 표본 점검을 결합한 상용 암호의 사중·사후 감독 제도를 수립하고, 상용 암호의 통일된 감독·관리 정보 플랫폼을 수립하며, 사중·사후 감독과 사회 신용 체계의 연계를 추진하고, 상용 암호 종사 주체의 자율과 사회적 감독을 강화하여야 한다.
암호 관리 부문과 관련 부문 및 그 직원은 상용 암호 종사 주체나 상용 암호 시험·인증 기관에게 소스 코드 같은 암호 관련 독점 정보를 자신들에게 공개하도록 요구해서는 안 되고, 직무 수행 중 알게 된 영업 비밀과 개인의 사생활을 엄격히 비밀로 유지하여야 하며, 그러한 정보를 누설하거나 타인에게 불법으로 제공해서는 안 된다.
제4장 법적 책임
제32조 본 법 제12조의 규정을 위반하여 타인이 암호화로 보호한 정보를 절취하거나, 타인의 암호 보호 시스템에 불법 침입하거나, 국가안전, 공공 이익, 또는 타인의 적법한 권익을 위태롭게 하는 위법 활동에 암호를 사용한 자는, 관련 부문이 「중화인민공화국 사이버보안법」과 그 밖의 관련 법률·행정법규의 규정에 따라 법적 책임을 지운다.
제33조 본 법 제14조의 규정을 위반하여 핵심 암호나 일반 암호를 요구대로 사용하지 않은 자는, 암호 관리 부문이 시정이나 위법 행위 중지를 명하고 경고한다; 정황이 중한 경우, 암호 관리 부문은 관련 국가 기관이나 단위에 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재나 그 밖의 처리를 하도록 권고한다.
제34조 본 법의 규정을 위반하여 핵심 암호나 일반 암호의 누설 사건이 발생한 경우, 비밀 관리 부문과 암호 관리 부문은 관련 국가 기관이나 단위에 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재나 그 밖의 처리를 하도록 권고한다.
본 법 제17조 제2항의 규정을 위반하여 핵심 암호나 일반 암호의 누설, 또는 핵심 암호·일반 암호의 보안에 영향을 주는 주요 문제나 잠재 위험을 발견하고도 즉시 대응 조치를 취하지 않거나 적시에 보고하지 않은 경우, 비밀 관리 부문과 암호 관리 부문은 관련 국가 기관이나 단위에 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재나 그 밖의 처리를 하도록 권고한다.
제35조 상용 암호 시험·인증 기관이 본 법 제25조 제2항·제3항의 규정을 위반하여 상용 암호 시험·인증을 수행한 경우, 시장 감독 부문이 암호 관리 부문과 함께 시정이나 위법 행위 중지를 명하고, 경고하며, 위법 소득을 몰수한다; 위법 소득이 30만 위안 이상인 경우, 위법 소득의 1배 이상 3배 이하의 벌금을 병과할 수 있다; 위법 소득이 없거나 30만 위안 미만인 경우, 10만 위안 이상 30만 위안 이하의 벌금을 병과할 수 있다; 정황이 중한 경우, 법에 따라 관련 자격을 취소한다.
제36조 본 법 제26조의 규정을 위반하여 시험·인증을 거치지 않았거나 시험·인증에 불합격한 상용 암호 제품을 판매·제공하거나, 인증을 거치지 않았거나 인증에 불합격한 상용 암호 서비스를 제공한 자는, 시장 감독 부문이 암호 관리 부문과 함께 시정이나 위법 행위 중지를 명하고, 경고하며, 위법 제품과 위법 소득을 몰수한다; 위법 소득이 10만 위안 이상인 경우, 위법 소득의 1배 이상 3배 이하의 벌금을 병과할 수 있다; 위법 소득이 없거나 10만 위안 미만인 경우, 3만 위안 이상 10만 위안 이하의 벌금을 병과할 수 있다.
제37조 핵심정보인프라 운영자가 본 법 제27조 제1항의 규정을 위반하여 상용 암호를 요구대로 사용하지 않거나 상용 암호 응용 보안 평가를 요구대로 수행하지 않은 경우, 암호 관리 부문이 시정을 명하고 경고한다; 시정을 거부하거나 사이버보안에 대한 해 같은 결과가 발생하는 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
핵심정보인프라 운영자가 본 법 제27조 제2항의 규정을 위반하여 보안 심사를 거치지 않았거나 보안 심사에 불합격한 제품·서비스를 사용한 경우, 관련 주관 부문이 그 제품·서비스의 사용 중지를 명하고 구매 금액의 1배 이상 10배 이하의 벌금을 부과한다; 그리고 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
제38조 본 법 제28조의 수입 허가와 수출 통제 규정을 위반하여 상용 암호를 수입·수출한 자는, 국무원 상무 주관 부문이나 세관이 법에 따라 처벌한다.
제39조 본 법 제29조의 규정을 위반하여 인정 없이 전자정부용 전자 인증 서비스에 종사한 자는, 암호 관리 부문이 시정이나 위법 행위 중지를 명하고, 경고하며, 위법 제품과 위법 소득을 몰수한다; 위법 소득이 30만 위안 이상인 경우, 위법 소득의 1배 이상 3배 이하의 벌금을 병과할 수 있다; 위법 소득이 없거나 30만 위안 미만인 경우, 10만 위안 이상 30만 위안 이하의 벌금을 병과할 수 있다.
제40조 암호 관리 부문이나 관련 부문·단위의 직원이 암호 업무에서 직권을 남용하거나, 직무를 유기하거나, 사익을 위해 부정을 저지르거나, 직무 수행 중 알게 된 영업 비밀이나 개인의 사생활을 누설하거나 타인에게 불법으로 제공한 경우, 법에 따라 제재를 부과한다.
제41조 본 법을 위반하여 범죄를 구성하는 자는 법에 따라 형사 책임을 진다; 타인에게 손해를 끼친 자는 법에 따라 민사 책임을 진다.
제5장 부칙
제42조 국가 암호 관리 부문은 법률·행정법규의 규정에 따라 암호 관리 규칙을 제정한다.
제43조 중국 인민해방군과 중국 인민무장경찰부대의 암호 업무 관리 방법은 중앙군사위원회가 본 법에 따라 제정한다.
제44조 본 법은 2020년 1월 1일부터 시행한다.
1차 출처: 《中华人民共和国密码法》（主席令第35号）, 전국인민대표대회가 발행한 전문: npc.gov.cn. 상용 암호에 대한 상세 규칙은 상용 암호 관리 조례(국무원령 제760호, 개정, 2023년 7월 1일 시행)에 정해져 있으며, 여기서는 재현하지 않습니다.
이 번역은 저희가 한 것이며 방향 잡기용으로만 제공됩니다. 영어와 중국어가 다른 경우, 중국어가 우선합니다. 이 페이지는 법률 자문이 아닙니다; 귀하의 입장은 자격 있는 자문과 확인하십시오.