TLDR; 아래는 중국의 사이버보안법(网络安全法)의 영어 번역본에서 옮긴 한국어 번역으로, 2016년 11월 7일 전국인민대표대회 상무위원회가 채택하고 2025년 10월 28일 개정되었습니다.
사이버보안법은 중국 본토에서 네트워크가 어떻게 구축·운영·보호되는지를 규율하는 기초 법률입니다. 그것은 모든 네트워크 운영자가 충족해야 하는 다층 보호 체계(MLPS, 또는 “등급 보호”)를 확립하고, 핵심정보인프라 운영자에게 더 엄격한 의무와 데이터 현지화 규칙을 부과하며, 개인정보 취급의 기본 규칙을 설정합니다. 중국의 이후 데이터 제도 상당 부분이 그것에서 유래합니다 — 데이터 보안법, 개인정보 보호법(PIPL), 사이버보안 심사 방법이 모두 여기 놓인 틀 위에 쌓입니다 — 그러므로 중국 이용자에게 닿는 사이트·앱·서비스를 운영하는 모든 국제 사업자는 자기 방식이 이 요건에 어떻게 대응하는지 자격 있는 자문과 확인하여야 합니다.
조문 번호에 관한 주석. 2025년 10월 28일 개정(2026년 1월 1일 시행)은 여러 신설 조문을 삽입하고 이후 조항을 재번호했습니다. 핵심정보인프라 운영자의 데이터 현지화 의무 — 본토에서 수집한 개인정보와 중요 데이터를 본토에 저장하도록 요구하는 — 는 원래 2016년 본문에서 제37조였고 지금은 제39조입니다. 개정 전에 쓰인 오래된 지침과 영어 논평은 여전히 제37조를 인용할 것이나; 이는 같은 의무가 재번호된 것입니다.
중화인민공화국 사이버보안법(2016년 11월 7일 제12기 전국인민대표대회 상무위원회가 채택; 2025년 10월 28일 제14기 전국인민대표대회 상무위원회 결정으로 개정)
제1장 — 총칙
제1조 본 법은 사이버보안을 확보하고, 사이버공간의 주권과 국가안전, 사회의 공공 이익을 지키며, 시민·법인·그 밖의 조직의 적법한 권익을 보호하고, 경제·사회 정보화의 건전한 발전을 촉진하기 위하여 제정한다.
제2조 본 법은 중화인민공화국 영역 내에서의 네트워크의 구축, 운영, 유지보수, 사용, 그리고 사이버보안의 감독·관리에 적용한다.
제3조 사이버보안 업무는 중국공산당의 영도를 견지하고, 총체적 국가안전관을 시행하며, 발전과 안전을 조율하고, 사이버 강국 건설을 추진한다.
제4조 국가는 사이버보안과 정보화 발전을 동등하게 중시하는 것을 견지한다; 적극적 이용, 과학적 발전, 법에 따른 관리, 보안 확보의 방침을 따른다; 네트워크 인프라 구축과 상호 연결을 추진하고, 네트워크 기술의 혁신과 응용을 장려하며, 사이버보안 인재의 육성을 지원하고, 사이버보안 보장 체계를 수립·개선하며, 사이버보안 보호 능력을 높인다.
제5조 국가는 사이버보안 전략을 제정·지속적으로 개선하고, 사이버보안 확보의 기본 요건과 주요 목표를 명시하며, 핵심 영역의 사이버보안 정책, 업무 과제, 조치를 제시한다.
제6조 국가는 중화인민공화국 영역 내외에서 비롯되는 사이버보안 위험과 위협을 모니터링·방어·처리하고, 핵심정보인프라를 공격·침입·간섭·사보타주로부터 보호하며, 네트워크상의 위법·범죄 활동을 법에 따라 처벌하고, 사이버공간의 보안과 질서를 지키는 조치를 취한다.
제7조 국가는 정직하고 신뢰할 수 있으며 건전하고 문명적인 네트워크 행동을 제창하고, 사회주의 핵심 가치의 전파를 촉진하며, 사회 전체의 사이버보안 의식과 수준을 높이는 조치를 취하고, 사회 전체가 함께 사이버보안을 촉진하는 데 참여하는 건전한 환경을 조성한다.
제8조 국가는 사이버공간 거버넌스, 네트워크 기술의 연구·개발과 표준 제정, 네트워크상의 위법·범죄 활동 단속 같은 영역에서 국제 교류·협력을 적극 수행한다; 평화롭고 안전하며 개방적이고 협력적인 사이버공간의 구축과 다자적·민주적·투명한 네트워크 거버넌스 체계의 수립을 촉진한다.
제9조 국가 인터넷정보 부문은 사이버보안 업무와 관련 감독·관리 업무의 총괄 조율을 담당한다. 국무원 전신 당국, 공안 부문, 그 밖의 관련 기관은 각자의 직무 범위 내에서 본 법과 관련 법률·행정법규의 규정에 따라 사이버보안 보호와 감독·관리 업무를 담당한다.
현급 이상 지방 인민정부 관련 부문의 사이버보안 보호와 감독·관리 직무는 국가의 관련 규정에 따라 정한다.
제10조 업무·서비스 활동을 수행할 때, 네트워크 운영자는 법률·행정법규를 준수하고, 사회 도덕을 존중하며, 상업 윤리를 지키고, 정직하고 신뢰할 수 있게 행동하며, 사이버보안 보호 의무를 이행하고, 정부와 사회의 감독을 받으며, 사회적 책임을 져야 한다.
제11조 네트워크를 구축·운영하거나 네트워크를 통해 서비스를 제공하는 자는 법률·행정법규의 규정과 국가 표준의 강제 요건에 따라, 네트워크의 안전하고 안정적인 운영을 확보하고, 사이버보안 사고에 효과적으로 대응하며, 네트워크상의 위법·범죄 활동을 방지하고, 네트워크 데이터의 완전성·기밀성·가용성을 보전하기 위한 기술적 조치와 그 밖의 필요한 조치를 취하여야 한다.
제12조 네트워크 관련 업계 조직은 그 정관에 따라 업계 자율을 강화하고, 사이버보안 행동 규범을 제정하며, 회원이 사이버보안 보호를 강화하도록 지도하고, 사이버보안 보호 수준을 높이며, 업계의 건전한 발전을 촉진하여야 한다.
제13조 국가는 시민·법인·그 밖의 조직이 법에 따라 네트워크를 사용할 권리를 보호하고, 네트워크 접속의 보급을 촉진하며, 네트워크 서비스 수준을 높이고, 사회에 안전하고 편리한 네트워크 서비스를 제공하며, 네트워크 정보의 적법하고 질서 있는 자유로운 이동을 확보한다.
네트워크를 사용하는 개인이나 조직은 헌법과 법률을 준수하고, 공공질서를 지키며, 사회 도덕을 존중하여야 한다; 사이버보안을 위태롭게 해서는 안 되고, 국가안전·명예·이익을 위태롭게 하거나, 국가 권력의 전복이나 사회주의 제도의 타도를 선동하거나, 국가의 분열을 선동하거나 국가 통일을 해치거나, 테러리즘이나 극단주의를 옹호하거나, 민족 증오나 민족 차별을 옹호하거나, 폭력·음란·외설 정보를 유포하거나, 허위 정보를 날조·유포하여 경제 질서와 사회 질서를 교란하거나, 타인의 명예·사생활·지식재산권과 그 밖의 적법한 권익을 침해하는 활동에 네트워크를 사용해서는 안 된다.
제14조 국가는 미성년자의 건전한 성장에 이로운 네트워크 제품·서비스의 연구·개발을 지원하고, 네트워크를 이용하여 미성년자의 심신 건강을 위태롭게 하는 활동을 법에 따라 처벌하며, 미성년자에게 안전하고 건강한 네트워크 환경을 제공한다.
제15조 어떤 개인이나 조직이든 사이버보안을 위태롭게 하는 행위를 인터넷정보, 전신, 공안, 그 밖의 부문에 신고할 권리가 있다. 신고를 받은 부문은 법에 따라 신속히 처리하여야 한다; 그 사안이 해당 부문의 직무에 속하지 않는 경우, 처리 권한이 있는 부문에 신속히 이송하여야 한다.
관련 부문은 신고인의 관련 정보를 비밀로 유지하고 그 적법한 권익을 보호하여야 한다.
제2장 — 사이버보안의 지원과 촉진
제16조 국가는 사이버보안 표준 체계를 수립·개선한다. 국무원 표준화 행정 당국과 국무원의 그 밖의 관련 부문은 각자의 직무에 따라 사이버보안 관리와 네트워크 제품·서비스·운영의 보안에 관한 국가 표준과 업계 표준의 제정과 적시 개정을 조직한다.
국가는 기업, 연구 기관, 고등교육 기관, 네트워크 관련 업계 조직이 사이버보안의 국가 표준과 업계 표준 제정에 참여하는 것을 지원한다.
제17조 국무원과 성·자치구·직할시 인민정부는 총괄 기획하고, 투자를 늘리며, 핵심 사이버보안 기술 산업과 프로젝트를 지원하고, 사이버보안 기술의 연구·개발·응용을 지원하며, 안전하고 신뢰할 수 있는 네트워크 제품·서비스를 촉진하고, 네트워크 기술의 지식재산권을 보호하며, 기업·연구 기관·고등교육 기관 등이 국가 사이버보안 기술 혁신 프로젝트에 참여하는 것을 지원한다.
제18조 국가는 사회화된 사이버보안 서비스 체계의 구축을 추진하고, 관련 기업·기관이 사이버보안 인증, 시험, 위험 평가 같은 보안 서비스를 수행하도록 장려한다.
제19조 국가는 네트워크 데이터의 보안 보호·활용 기술의 연구를 장려하고, 공공 데이터 자원의 개방을 촉진하며, 기술 혁신과 경제·사회 발전을 추진한다.
제20조 국가는 인공지능의 기초 이론 연구와 알고리즘 같은 핵심 기술의 연구·개발을 지원하고, 학습 데이터 자원과 컴퓨팅 파워 같은 인프라의 구축을 추진하며, 인공지능에 대한 윤리 규범을 개선하고, 위험 모니터링·평가와 보안 감독을 강화하며, 인공지능의 응용과 건전한 발전을 촉진한다.
국가는 사이버보안 관리 방법의 혁신과 인공지능 같은 신기술의 사용을 지원하여 사이버보안 보호 수준을 높인다.
제21조 각급 인민정부와 그 관련 부문은 정기적인 사이버보안 홍보·교육을 조직·수행하고, 관련 단위가 사이버보안 홍보·교육을 잘 수행하도록 지도·촉구하여야 한다.
대중 매체는 사회를 향해 겨냥한 사이버보안 홍보·교육을 수행하여야 한다.
제22조 국가는 기업과 고등교육 기관·직업학교 같은 교육·훈련 기관이 사이버보안 관련 교육·훈련을 수행하고, 다양한 수단으로 사이버보안 인재를 육성하며, 사이버보안 인재의 교류를 촉진하는 것을 지원한다.
제3장 — 네트워크 운영의 보안
제1절 — 일반 규정
제23조 국가는 사이버보안 다층 보호 체계를 시행한다. 네트워크 운영자는 사이버보안 다층 보호 체계의 요건에 따라, 네트워크를 간섭·사보타주·무단 접근으로부터 지키고 네트워크 데이터의 유출·절취·변조를 방지하기 위하여 다음 보안 보호 의무를 이행하여야 한다:
(1) 내부 보안 관리 제도와 운영 절차를 제정하고, 사이버보안 책임자를 정하며, 사이버보안 보호 책임을 시행하는 것;
(2) 컴퓨터 바이러스, 네트워크 공격, 네트워크 침입, 그 밖의 사이버보안을 위태롭게 하는 행위를 방지하는 기술적 조치를 취하는 것;
(3) 네트워크의 운영 상태와 사이버보안 사고를 모니터링·기록하는 기술적 조치를 취하고, 규정에 따라 관련 네트워크 로그를 6개월 이상 보존하는 것;
(4) 데이터의 분류와 중요 데이터의 백업·암호화 같은 조치를 취하는 것;
(5) 법률·행정법규가 정한 그 밖의 의무.
제24조 네트워크 제품·서비스는 관련 국가 표준의 강제 요건에 부합하여야 한다. 네트워크 제품·서비스 제공자는 악성 프로그램을 설치해서는 안 된다; 그 네트워크 제품·서비스에 보안 결함이나 취약점 같은 위험이 있음을 발견하는 경우, 즉시 구제 조치를 취하고, 규정에 따라 이용자에게 신속히 알리며 관련 주관 부문에 보고하여야 한다.
네트워크 제품·서비스 제공자는 그 제품·서비스에 지속적 보안 유지보수를 제공하여야 한다; 규정이 정하거나 당사자가 약정한 기간 내에 보안 유지보수의 제공을 종료해서는 안 된다.
네트워크 제품·서비스가 이용자 정보를 수집하는 기능을 가진 경우, 그 제공자는 이용자에게 명시적으로 고지하고 동의를 얻어야 한다; 이용자의 개인정보가 관련되는 경우, 본 법과 개인정보 보호에 관한 관련 법률·행정법규의 규정도 준수하여야 한다.
제25조 핵심 네트워크 장비와 전용 사이버보안 제품은 관련 국가 표준의 강제 요건에 따라 자격 있는 기관이 안전하다고 인증했거나 요건을 충족하는 보안 시험을 통과한 후에만 판매·제공될 수 있다. 국가 인터넷정보 부문은 국무원의 관련 부문과 함께 핵심 네트워크 장비·전용 사이버보안 제품 목록을 제정·공표하고, 보안 인증과 보안 시험 결과의 상호 인정을 촉진하여 중복 인증·시험을 피한다.
제26조 네트워크 운영자가 이용자를 위해 네트워크 접속이나 도메인 등록 서비스를 처리하거나, 유선 전화·휴대전화 등의 네트워크 연결 절차를 처리하거나, 이용자에게 정보 게시나 인스턴트 메시징 같은 서비스를 제공하는 경우, 이용자와 협약을 체결하거나 서비스 제공을 확인할 때 이용자에게 진실 신원 정보를 제공하도록 요구하여야 한다. 이용자가 진실 신원 정보를 제공하지 않는 경우, 네트워크 운영자는 그 이용자에게 관련 서비스를 제공해서는 안 된다.
국가는 신뢰 네트워크 신원 전략을 시행하고, 안전하고 편리한 전자 신원 인증 기술의 연구·개발을 지원하며, 서로 다른 형태의 전자 신원 인증 간의 상호 인정을 촉진한다.
제27조 네트워크 운영자는 사이버보안 사고 긴급 대응 계획을 제정하고, 시스템 취약점, 컴퓨터 바이러스, 네트워크 공격, 네트워크 침입 같은 보안 위험을 신속히 처리하여야 한다; 사이버보안을 위태롭게 하는 사고가 발생하는 경우, 즉시 긴급 대응 계획을 가동하고, 상응하는 구제 조치를 취하며, 규정에 따라 관련 주관 부문에 보고하여야 한다.
제28조 사이버보안 인증, 시험, 위험 평가 같은 활동의 수행, 그리고 시스템 취약점, 컴퓨터 바이러스, 네트워크 공격, 네트워크 침입 같은 사이버보안 정보의 공중 공개는 국가의 관련 규정을 준수하여야 한다.
제29조 어떤 개인이나 조직도 타인의 네트워크에 불법 침입하거나, 타인의 네트워크의 정상적 기능을 간섭하거나, 네트워크 데이터를 절취하는 등 사이버보안을 위태롭게 하는 활동에 종사해서는 안 된다; 네트워크 침입, 네트워크와 그 보호 조치의 정상적 기능 간섭, 또는 네트워크 데이터 절취 같은 사이버보안을 위태롭게 하는 활동에 전용되는 프로그램이나 도구를 제공해서는 안 된다; 또는 타인이 사이버보안을 위태롭게 하는 활동에 종사함을 알면서 그에게 기술 지원, 광고·홍보, 또는 결제 정산 같은 도움을 제공해서는 안 된다.
제30조 네트워크 운영자는 공안 기관과 국가안전 기관이 법에 따라 국가안전을 지키고 범죄를 수사하는 활동에 기술 지원과 협조를 제공하여야 한다.
제31조 국가는 네트워크 운영자의 보안 보장 능력을 높이기 위하여, 네트워크 운영자 간 사이버보안 정보의 수집, 분석, 통보, 긴급 처리 같은 영역에서의 협력을 지원한다.
관련 업계 조직은 그 업계의 사이버보안 보호 규범과 협력 메커니즘을 수립·개선하고, 사이버보안 위험의 분석·평가를 강화하며, 회원에게 정기적으로 위험 경보를 발하고, 회원이 사이버보안 위험에 대응하도록 지원·협조하여야 한다.
제32조 인터넷정보 부문과 관련 부문이 사이버보안 보호 직무 수행 중 얻은 정보는 사이버보안 유지의 필요를 위해서만 사용할 수 있고 다른 어떤 목적으로도 사용해서는 안 된다.
제2절 — 핵심정보인프라의 운영 보안
제33조 국가는 사이버보안 다층 보호 체계에 기초하여, 공공 통신·정보 서비스, 에너지, 교통, 수리, 금융, 공공 서비스, 전자정부 같은 중요 산업·분야의 핵심정보인프라, 그리고 파괴되거나, 기능을 상실하거나, 데이터 유출을 당하면 국가안전, 국민 경제와 민생, 또는 공공 이익을 심각하게 위태롭게 할 수 있는 그 밖의 핵심정보인프라에 대해 중점 보호를 시행한다. 핵심정보인프라의 구체적 범위와 그 보안 보호 조치는 국무원이 제정한다.
국가는 핵심정보인프라 외의 네트워크 운영자가 자발적으로 핵심정보인프라 보호 체계에 참여하는 것을 장려한다.
제34조 국무원이 정한 직무 분담에 따라, 핵심정보인프라 보안 보호 담당 부문은 각자의 산업·분야의 핵심정보인프라 보안 계획을 각각 수립·시행하고, 핵심정보인프라의 운영 보안 보호 업무를 지도·감독하여야 한다.
제35조 핵심정보인프라의 구축은 안정적이고 지속적인 업무 운영을 지원하는 성능을 갖추도록 하고, 보안 기술 조치가 동시에 기획·구축·투입되도록 하여야 한다.
제36조 본 법 제23조의 규정에 더하여, 핵심정보인프라 운영자는 다음 보안 보호 의무도 이행하여야 한다:
(1) 전담 보안 관리 기구와 보안 관리 책임자를 두고, 그 책임자와 핵심 직위 인원에 대한 보안 신원 조회를 수행하는 것;
(2) 종사자에게 정기적으로 사이버보안 교육, 기술 훈련, 기능 평가를 수행하는 것;
(3) 중요 시스템과 데이터베이스의 재해 복구 백업을 수행하는 것;
(4) 사이버보안 사고 긴급 대응 계획을 제정하고 정기적으로 훈련을 수행하는 것;
(5) 법률·행정법규가 정한 그 밖의 의무.
제37조 핵심정보인프라 운영자가 국가안전에 영향을 줄 수 있는 네트워크 제품·서비스를 조달하는 경우, 그 조달은 국가 인터넷정보 부문이 국무원의 관련 부문과 함께 조직하는 국가안전 심사를 통과하여야 한다.
제38조 핵심정보인프라 운영자가 네트워크 제품·서비스를 조달할 때, 규정에 따라 제공자와 보안·비밀 유지 협약을 체결하여, 보안·비밀 유지에 대한 의무와 책임을 명시하여야 한다.
제39조 핵심정보인프라 운영자가 중화인민공화국 영역 내 운영 과정에서 수집·생성한 개인정보와 중요 데이터는 영역 내에 저장하여야 한다. 업무 필요로 인하여 그러한 정보나 데이터를 영역 밖으로 제공하는 것이 진실로 필요한 경우, 국가 인터넷정보 부문이 국무원의 관련 부문과 함께 제정한 방법에 따라 보안 평가를 수행하여야 한다; 법률이나 행정법규가 달리 규정한 경우, 그 규정을 적용한다.
제40조 핵심정보인프라 운영자는 스스로 또는 사이버보안 서비스 기관에 위탁하여, 그 네트워크의 보안과 존재할 수 있는 위험에 대한 시험·평가를 적어도 매년 1회 수행하고, 시험·평가의 상황과 개선 조치를 핵심정보인프라 보안 보호 담당 관련 부문에 제출하여야 한다.
제41조 국가 인터넷정보 부문은 관련 부문을 조율하여 핵심정보인프라의 보안 보호를 위해 다음 조치를 취한다:
(1) 핵심정보인프라의 보안 위험을 무작위 표본 시험하고, 개선 조치를 제시하며, 필요한 경우 사이버보안 서비스 기관에 위탁하여 네트워크에 존재하는 보안 위험을 시험·평가하는 것;
(2) 핵심정보인프라 운영자가 사이버보안 긴급 훈련을 수행하도록 정기적으로 조직하여, 사이버보안 사고 대응 수준과 조율·협력 능력을 높이는 것;
(3) 관련 부문, 핵심정보인프라 운영자, 관련 연구 기관·사이버보안 서비스 기관 등 사이의 사이버보안 정보 공유를 촉진하는 것;
(4) 사이버보안 사고의 긴급 처리와 네트워크 기능의 복구 등에 기술 지원과 협조를 제공하는 것.
제4장 — 네트워크 정보 보안
제42조 네트워크 운영자는 수집한 이용자 정보를 엄격히 비밀로 유지하고, 이용자 정보 보호 제도를 수립·개선하여야 한다.
네트워크 운영자가 개인정보를 처리하는 경우, 본 법과 「중화인민공화국 민법전」, 「중화인민공화국 개인정보 보호법」 같은 법률·행정법규의 규정을 준수하여야 한다.
제43조 개인정보를 수집·이용하는 네트워크 운영자는 적법·정당·필요의 원칙을 준수하여야 한다; 수집·이용 규칙을 공개하여야 한다; 정보의 수집·이용의 목적, 수단, 범위를 명시하여야 한다; 그리고 정보가 수집되는 사람의 동의를 얻어야 한다.
네트워크 운영자는 제공하는 서비스와 무관한 개인정보를 수집해서는 안 되고, 법률·행정법규의 규정이나 양 당사자 간 협약을 위반하여 개인정보를 수집·이용해서는 안 되며, 보유하는 개인정보를 법률·행정법규의 규정과 이용자와의 협약에 따라 처리하여야 한다.
제44조 네트워크 운영자는 수집한 개인정보를 유출·변조·훼손해서는 안 된다; 정보가 수집되는 사람의 동의 없이 개인정보를 타인에게 제공해서는 안 된다. 다만, 특정 개인을 식별할 수 없고 복원할 수 없도록 처리된 정보에는 적용하지 않는다.
네트워크 운영자는 수집한 개인정보의 보안을 확보하고 정보의 유출·훼손·분실을 방지하기 위한 기술적 조치와 그 밖의 필요한 조치를 취하여야 한다. 개인정보의 유출·훼손·분실이 발생하거나 발생할 수 있는 경우, 즉시 구제 조치를 취하고, 규정에 따라 이용자에게 신속히 알리며 관련 주관 부문에 보고하여야 한다.
제45조 개인이 네트워크 운영자가 법률·행정법규의 규정이나 양 당사자 간 협약을 위반하여 그 개인정보를 수집·이용했음을 발견하는 경우, 그 개인은 네트워크 운영자에게 그 개인정보를 삭제하도록 요구할 권리가 있다; 네트워크 운영자가 수집·저장한 개인정보에 오류가 있음을 발견하는 경우, 개인은 네트워크 운영자에게 정정하도록 요구할 권리가 있다. 네트워크 운영자는 정보를 삭제하거나 정정하는 조치를 취하여야 한다.
제46조 어떤 개인이나 조직도 개인정보를 절취하거나 그 밖의 불법 수단으로 취득하거나, 개인정보를 불법으로 판매하거나 타인에게 불법으로 제공해서는 안 된다.
제47조 법에 따라 사이버보안 감독·관리 직무를 지는 부문과 그 직원은 직무 수행 중 알게 된 개인정보, 사생활, 상업 비밀을 엄격히 비밀로 유지하여야 하고, 그러한 정보를 유출·판매하거나 타인에게 불법으로 제공해서는 안 된다.
제48조 모든 개인과 조직은 네트워크 사용 행위에 책임을 져야 하고, 사기, 범죄 방법 전수, 또는 금지 물품·규제 물품의 제조·판매 같은 위법·범죄 활동에 쓰이는 웹사이트나 통신 그룹을 개설해서는 안 되며, 사기의 실행, 금지 물품·규제 물품의 제조·판매, 또는 그 밖의 위법·범죄 활동에 관련된 정보를 네트워크를 이용하여 게시해서는 안 된다.
제49조 네트워크 운영자는 이용자가 게시한 정보의 관리를 강화하여야 한다; 법률·행정법규가 게시·전송을 금지하는 정보를 발견하는 경우, 즉시 그 정보의 전송을 중단하고, 삭제 같은 처리 조치를 취하여 정보의 확산을 막으며, 관련 기록을 보존하고, 관련 주관 부문에 보고하여야 한다.
제50조 어떤 개인이나 조직이 보내는 전자 정보와 제공하는 응용 소프트웨어는 악성 프로그램을 설치해서는 안 되고, 법률·행정법규가 게시·전송을 금지하는 정보를 담아서는 안 된다.
전자 정보 발송 서비스 제공자와 응용 소프트웨어 다운로드 서비스 제공자는 보안 관리 의무를 이행하여야 한다; 그 이용자가 전항에 규정된 행위를 했음을 아는 경우, 서비스 제공을 중단하고, 삭제 같은 처리 조치를 취하며, 관련 기록을 보존하고, 관련 주관 부문에 보고하여야 한다.
제51조 네트워크 운영자는 네트워크 정보 보안에 관한 불만·신고 제도를 수립하고, 불만·신고 수단 같은 정보를 공개하며, 네트워크 정보 보안에 관한 불만·신고를 신속히 접수·처리하여야 한다.
네트워크 운영자는 인터넷정보 부문과 관련 부문이 법에 따라 수행하는 감독·검사에 협력하여야 한다.
제52조 국가 인터넷정보 부문과 관련 부문이 법에 따라 네트워크 정보 보안 감독·관리 직무를 수행하면서 법률·행정법규가 게시·전송을 금지하는 정보를 발견하는 경우, 네트워크 운영자에게 전송을 중단하고, 삭제 같은 처리 조치를 취하며, 관련 기록을 보존하도록 요구하여야 한다; 중화인민공화국 영역 밖에서 비롯된 그러한 정보에 대하여는, 관련 기관에 통지하여 그 유포를 차단하는 기술적 조치와 그 밖의 필요한 조치를 취하도록 하여야 한다.
제5장 — 모니터링·조기 경보·긴급 대응
제53조 국가는 사이버보안 모니터링·조기 경보와 정보 통보 체계를 수립한다. 국가 인터넷정보 부문은 관련 부문을 조율하여 사이버보안 정보의 수집·분석·통보를 강화하고, 규정에 따라 사이버보안 모니터링·조기 경보 정보를 통일적으로 발표한다.
제54조 핵심정보인프라 보안 보호 담당 부문은 각자의 산업·분야의 사이버보안 모니터링·조기 경보·정보 통보 체계를 수립·개선하고, 규정에 따라 사이버보안 모니터링·조기 경보 정보를 제출하여야 한다.
제55조 국가 인터넷정보 부문은 관련 부문을 조율하여 사이버보안 위험 평가와 긴급 대응 업무 메커니즘을 수립·개선하고, 사이버보안 사고 긴급 대응 계획을 제정하며, 정기적으로 훈련을 조직한다.
핵심정보인프라 보안 보호 담당 부문은 각자의 산업·분야의 사이버보안 사고 긴급 대응 계획을 제정하고, 정기적으로 훈련을 조직하여야 한다.
사이버보안 사고 긴급 대응 계획은 사고 발생 후 해의 정도와 영향 범위 같은 요소에 따라 사이버보안 사고를 등급화하고, 그에 상응하는 긴급 처리 조치를 정하여야 한다.
제56조 사이버보안 사고의 위험이 높아질 때, 성급 이상 인민정부의 관련 부문은 정해진 권한과 절차에 따라 사이버보안 위험의 특성과 그것이 초래할 수 있는 해에 근거하여 다음 조치를 취하여야 한다:
(1) 관련 부문, 기관, 인원에게 관련 정보를 신속히 수집·보고하고 사이버보안 위험 모니터링을 강화하도록 요구하는 것;
(2) 관련 부문, 기관, 전문가를 조직하여 사이버보안 위험 정보를 분석·평가하고 사고의 가능성, 영향 범위, 해의 정도를 예측하는 것;
(3) 사회에 사이버보안 위험 경보를 발하고 해를 회피하거나 완화하는 조치를 발표하는 것.
제57조 사이버보안 사고가 발생할 때, 즉시 사이버보안 사고 긴급 대응 계획을 가동하고, 사이버보안 사고를 조사·평가하며, 네트워크 운영자에게 보안 위험을 제거하고 해의 확대를 막는 기술적 조치와 그 밖의 필요한 조치를 취하도록 요구하고, 공중에 관련된 경보 정보를 사회에 신속히 발표하여야 한다.
제58조 성급 이상 인민정부의 관련 부문이 사이버보안 감독·관리 직무 수행 중 네트워크에 비교적 큰 보안 위험이 있거나 보안 사고가 발생했음을 발견하는 경우, 정해진 권한과 절차에 따라 그 네트워크 운영자의 법정 대표자나 주된 책임자와 규제 면담을 할 수 있다. 네트워크 운영자는 요구에 따라 조치를 취하고, 시정을 수행하며, 위험을 제거하여야 한다.
제59조 사이버보안 사고의 결과로 돌발 사태나 산업 안전 사고가 발생하는 경우, 「중화인민공화국 돌발사건 대응법」, 「중화인민공화국 산업안전법」 같은 관련 법률·행정법규의 규정에 따라 처리한다.
제60조 국가안전과 공공질서를 지키고 중대한 사회 안전 돌발 사태를 처리하기 위하여 필요한 경우, 국무원의 결정이나 승인으로 특정 지역에서 네트워크 통신 제한 같은 임시 조치를 취할 수 있다.
제6장 — 법적 책임
제61조 네트워크 운영자가 본 법 제23조와 제27조가 정한 사이버보안 보호 의무를 이행하지 않은 경우, 관련 주관 부문이 시정을 명하고 경고하며, 1만 위안 이상 5만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 사이버보안을 위태롭게 하는 등의 결과가 발생하는 경우, 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
핵심정보인프라 운영자가 본 법 제35조, 제36조, 제38조, 제40조가 정한 사이버보안 보호 의무를 이행하지 않은 경우, 관련 주관 부문이 시정을 명하고 경고하며, 5만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 사이버보안을 위태롭게 하는 등의 결과가 발생하는 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
앞의 두 항에 기술된 행위가 대량 데이터 유출이나 핵심정보인프라의 부분 기능 상실 같은 사이버보안을 심각하게 위태롭게 하는 결과를 초래하는 경우, 관련 주관 부문이 50만 위안 이상 200만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 5만 위안 이상 20만 위안 이하의 벌금을 부과한다; 핵심정보인프라의 주요 기능 상실 같은 사이버보안을 특히 심각하게 위태롭게 하는 결과를 초래하는 경우, 200만 위안 이상 1,000만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 20만 위안 이상 100만 위안 이하의 벌금을 부과한다.
제62조 본 법 제24조 제1항·제2항과 제50조 제1항의 규정을 위반하여 다음 각 호의 어느 하나의 행위가 발생하는 경우, 관련 주관 부문이 시정을 명하고 경고한다; 시정을 거부하거나 사이버보안을 위태롭게 하는 등의 결과가 발생하는 경우, 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다:
(1) 악성 프로그램을 설치하는 것;
(2) 그 제품·서비스에 존재하는 보안 결함이나 취약점 같은 위험에 즉시 구제 조치를 취하지 않거나, 규정에 따라 이용자에게 신속히 알리고 관련 주관 부문에 보고하지 않는 것;
(3) 무단으로 그 제품·서비스의 보안 유지보수 제공을 종료하는 것.
전항 (1)과 (2)에 기술된 행위가 본 법 제61조 제3항이 정한 결과를 초래하는 경우, 그 항의 규정에 따라 처벌한다.
제63조 본 법 제25조의 규정을 위반하여 보안 인증이나 보안 시험을 거치지 않았거나, 보안 인증에 불합격했거나 보안 시험의 요건을 충족하지 못한 핵심 네트워크 장비나 전용 사이버보안 제품을 판매·제공한 경우, 관련 주관 부문이 판매·제공 중단을 명하고, 경고하며, 위법 소득을 몰수한다; 위법 소득이 없거나 10만 위안 미만인 경우, 2만 위안 이상 10만 위안 이하의 벌금도 부과한다; 위법 소득이 10만 위안 이상인 경우, 위법 소득의 1배 이상 5배 이하의 벌금도 부과한다; 정황이 중한 경우, 관련 업무 정지, 정돈을 위한 영업 정지, 또는 관련 업무 허가나 영업 집조의 취소도 명할 수 있다. 법률이나 행정법규가 달리 규정한 경우, 그 규정을 적용한다.
제64조 네트워크 운영자가 본 법 제26조 제1항의 규정을 위반하여 이용자에게 진실 신원 정보를 제공하도록 요구하지 않거나, 진실 신원 정보를 제공하지 않는 이용자에게 관련 서비스를 제공한 경우, 관련 주관 부문이 시정을 명한다; 시정을 거부하거나 정황이 중한 경우, 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 웹사이트나 애플리케이션 폐쇄, 또는 관련 업무 허가나 영업 집조의 취소도 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
제65조 본 법 제28조의 규정을 위반하여 사이버보안 인증·시험·위험 평가 같은 활동을 수행하거나, 시스템 취약점·컴퓨터 바이러스·네트워크 공격·네트워크 침입 같은 사이버보안 정보를 공중에 공개한 경우, 관련 주관 부문이 시정을 명하고 경고하며, 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 정황이 중한 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 웹사이트나 애플리케이션 폐쇄, 또는 관련 업무 허가나 영업 집조의 취소도 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
전항에 기술된 행위가 본 법 제61조 제3항이 정한 결과를 초래하는 경우, 그 항의 규정에 따라 처벌한다.
제66조 본 법 제29조의 규정을 위반하여 사이버보안을 위태롭게 하는 활동에 종사하거나, 그러한 활동에 전용되는 프로그램·도구를 제공하거나, 사이버보안을 위태롭게 하는 활동에 종사하는 타인에게 기술 지원·광고·홍보·결제 정산 같은 도움을 제공하고, 아직 범죄를 구성하지 않는 경우, 공안 기관이 위법 소득을 몰수하고 5일 이하의 구류를 부과하며, 5만 위안 이상 50만 위안 이하의 벌금을 병과할 수 있다; 정황이 비교적 중한 경우, 5일 이상 15일 이하의 구류를 부과하고, 10만 위안 이상 100만 위안 이하의 벌금을 병과할 수 있다.
단위가 전항에 기술된 행위를 하는 경우, 공안 기관이 위법 소득을 몰수하고, 10만 위안 이상 100만 위안 이하의 벌금을 부과하며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자를 전항의 규정에 따라 처벌한다.
본 법 제29조의 규정을 위반하여 치안 관리 처벌을 받은 자는 5년간 사이버보안 관리나 네트워크 운영의 핵심 직위 업무에 종사할 수 없다; 형사 처벌을 받은 자는 평생 사이버보안 관리나 네트워크 운영의 핵심 직위 업무에 종사할 수 없다.
제67조 핵심정보인프라 운영자가 본 법 제37조의 규정을 위반하여 보안 심사를 거치지 않았거나 보안 심사에 불합격한 네트워크 제품·서비스를 사용한 경우, 관련 주관 부문이 기한 내 시정을 명하고, 사용 중단을 명하며, 국가안전에 대한 영향의 제거를 명하고, 조달 금액의 1배 이상 10배 이하의 벌금을 부과하며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.
제68조 본 법 제48조의 규정을 위반하여 위법·범죄 활동을 수행하는 웹사이트나 통신 그룹을 개설하거나, 위법·범죄 활동의 수행에 관련된 정보를 네트워크를 이용하여 게시하고, 아직 범죄를 구성하지 않는 경우, 공안 기관이 5일 이하의 구류를 부과하고, 1만 위안 이상 10만 위안 이하의 벌금을 병과할 수 있다; 정황이 비교적 중한 경우, 5일 이상 15일 이하의 구류를 부과하고, 5만 위안 이상 50만 위안 이하의 벌금을 병과할 수 있다. 위법·범죄 활동에 쓰인 웹사이트나 통신 그룹은 폐쇄한다.
단위가 전항에 기술된 행위를 하는 경우, 공안 기관이 10만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자를 전항의 규정에 따라 처벌한다.
제69조 네트워크 운영자가 본 법 제49조의 규정을 위반하여 법률·행정법규가 게시·전송을 금지하는 정보의 전송을 중단하지 않거나, 삭제 같은 처리 조치를 취하지 않거나, 관련 기록을 보존하지 않거나, 관련 주관 부문에 보고하지 않거나, 본 법 제52조의 규정을 위반하여 관련 부문이 요구하는 대로 법률·행정법규가 게시·전송을 금지하는 정보의 전송을 중단하거나, 삭제 같은 처리 조치를 취하거나, 관련 기록을 보존하지 않은 경우, 관련 주관 부문이 시정을 명하고, 경고하며, 공고를 발하고, 5만 위안 이상 50만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 정황이 중한 경우, 50만 위안 이상 200만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 웹사이트나 애플리케이션 폐쇄, 또는 관련 업무 허가나 영업 집조의 취소도 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 5만 위안 이상 20만 위안 이하의 벌금을 부과한다.
전항에 기술된 행위가 특히 심각한 영향이나 특히 심각한 결과를 초래하는 경우, 관련 주관 부문이 200만 위안 이상 1,000만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 웹사이트나 애플리케이션 폐쇄, 또는 관련 업무 허가나 영업 집조의 취소를 명하며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 20만 위안 이상 100만 위안 이하의 벌금을 부과한다.
전자 정보 발송 서비스 제공자나 응용 소프트웨어 다운로드 서비스 제공자가 본 법 제50조 제2항이 정한 보안 관리 의무를 이행하지 않은 경우, 앞의 두 항의 규정에 따라 처벌한다.
제70조 네트워크 운영자가 본 법의 규정을 위반하여 다음 각 호의 어느 하나의 행위를 하는 경우, 관련 주관 부문이 시정을 명한다; 시정을 거부하거나 정황이 중한 경우, 5만 위안 이상 50만 위안 이하의 벌금을 부과하고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다:
(1) 관련 부문이 법에 따라 수행하는 감독·검사를 거부하거나 방해하는 것;
(2) 공안 기관이나 국가안전 기관에 기술 지원과 협조를 제공하기를 거부하는 것.
제71조 다음 각 호의 어느 하나의 행위는 관련 법률·행정법규의 규정에 따라 처리·처벌한다:
(1) 본 법 제13조 제2항과 그 밖의 법률·행정법규가 게시·전송을 금지하는 정보를 게시·전송하는 것;
(2) 본 법 제24조 제3항과 제43조부터 제45조까지의 규정을 위반하여 개인정보에 대한 권익을 침해하는 것;
(3) 핵심정보인프라 운영자가 본 법 제39조의 규정을 위반하여 개인정보와 중요 데이터를 영역 밖에 저장하거나, 개인정보와 중요 데이터를 영역 밖의 당사자에게 제공하는 것.
본 법 제46조의 규정을 위반하여 개인정보를 절취하거나 그 밖의 불법 수단으로 취득하거나, 불법으로 판매하거나 타인에게 불법으로 제공하고, 아직 범죄를 구성하지 않는 경우, 공안 기관이 관련 법률·행정법규의 규정에 따라 처벌한다.
제72조 본 법이 정한 위법 행위가 있는 경우, 관련 법률·행정법규의 규정에 따라 신용 파일에 기록하고 공개한다.
제73조 본 법의 규정 위반이 있으나 「중화인민공화국 행정처벌법」이 정한 가벼운, 경감된, 또는 면제된 처벌의 사정이 있는 경우, 그 법의 규정에 따라 가벼운, 경감된, 또는 면제된 처벌을 부과한다.
제74조 국가 기관의 정무 네트워크 운영자가 본 법이 정한 사이버보안 보호 의무를 이행하지 않는 경우, 그 상급 기관이나 관련 기관이 시정을 명한다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
제75조 인터넷정보 부문이나 관련 부문이 본 법 제32조의 규정을 위반하여 사이버보안 보호 직무 수행 중 얻은 정보를 다른 목적으로 사용하는 경우, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
인터넷정보 부문이나 관련 부문의 직원이 직무를 유기하거나, 직권을 남용하거나, 사익을 위해 부정을 저지르고, 아직 범죄를 구성하지 않는 경우, 법에 따라 제재를 부과한다.
제76조 본 법의 규정 위반이 타인에게 해를 끼친 경우, 법에 따라 민사 책임을 진다.
본 법의 규정 위반이 치안 관리 위반 행위를 구성하는 경우, 법에 따라 치안 관리 처벌을 부과한다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 추궁한다.
제77조 영역 밖의 기관, 조직, 또는 개인이 중화인민공화국의 사이버보안을 위태롭게 하는 활동에 종사하는 경우, 법에 따라 법적 책임을 추궁한다; 심각한 결과가 발생하는 경우, 국무원 공안 부문과 관련 부문은 그 기관, 조직, 또는 개인에 대하여 재산 동결 같은 조치나 그 밖의 필요한 제재를 취하기로 결정할 수도 있다.
제7장 — 부칙
제78조 본 법에서 다음 용어의 의미는 다음과 같다:
(1) “네트워크”란 컴퓨터나 그 밖의 정보 단말과 관련 장비로 구성되어, 일정한 규칙과 절차에 따라 정보를 수집·저장·전송·교환·처리하는 시스템을 말한다.
(2) “사이버보안”이란 필요한 조치를 취하여 네트워크에 대한 공격·침입·간섭·사보타주와 불법 이용, 그리고 사고를 방지함으로써, 네트워크를 안정적이고 믿음직한 운영 상태로 유지하고, 네트워크 데이터의 완전성·기밀성·가용성을 지키는 능력을 말한다.
(3) “네트워크 운영자”란 네트워크의 소유자·관리자와 네트워크 서비스 제공자를 말한다.
(4) “네트워크 데이터”란 네트워크를 통해 수집·저장·전송·처리·생성되는 모든 종류의 전자 데이터를 말한다.
(5) “개인정보”란 전자적 또는 그 밖의 방식으로 기록되어, 단독으로 또는 다른 정보와 결합하여 자연인의 신원을 식별할 수 있는 모든 종류의 정보를 말하며, 자연인의 이름, 생년월일, 신분증 번호, 개인 생체인식 정보, 주소, 전화번호를 포함하되 이에 한정되지 않는다.
제79조 국가 비밀에 관련된 정보를 저장·처리하는 네트워크의 운영 보안 보호는 본 법을 준수하는 것 외에 비밀 보호 법률·행정법규의 규정도 준수하여야 한다.
제80조 군사 네트워크의 보안 보호는 중앙군사위원회가 별도로 정한다.
제81조 본 법은 2017년 6월 1일부터 시행한다.
맺음말
원문서는 중화인민공화국 전국인민대표대회에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.