TLDR; 아래는 중국의 사이버보안 심사 방법(网络安全审查办法, 중국 국가인터넷정보판공실령 제8호)의 영어 번역본에서 옮긴 한국어 번역으로, 2021년 12월 28일 발행되고 2022년 2월 15일부터 시행되었습니다.
사이버보안 심사 방법은 핵심정보인프라(CII) 운영자의 네트워크 제품·서비스 조달과 네트워크 플랫폼 운영자의 데이터 처리 활동이 언제 중국에서 국가안전 심사를 받아야 하는지를 규율합니다. 그것은 100만 명 넘는 이용자의 개인정보를 보유한 네트워크 플랫폼이 해외에서 증권을 상장하기 전에 심사를 신청해야 한다는 헤드라인 규칙 뒤의 제도입니다. 그것은 사이버보안법, 데이터 보안법, 그리고 개인정보 보호법 — 특정 데이터나 인프라 방식이 중국 본토에서 적법한지를 결정하는 법령들 — 위에 놓입니다.
사이버보안 심사 방법(2021년 12월 28일 중국 국가인터넷정보판공실 및 그 밖의 12개 부문의 령 제8호로 공포; 2022년 2월 15일 시행)
제1조 본 방법은 핵심정보인프라의 공급망 보안을 확보하고, 사이버보안과 데이터 보안을 지키며, 국가안전을 보호하기 위하여, 「중화인민공화국 국가안전법」, 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 그리고 「핵심정보인프라 보안 보호 조례」에 따라 제정한다.
제2조 핵심정보인프라 운영자가 네트워크 제품·서비스를 조달하거나, 네트워크 플랫폼 운영자가 국가안전에 영향을 주거나 줄 수 있는 데이터 처리 활동을 수행하는 경우, 본 방법에 따라 사이버보안 심사를 수행한다.
전항에서 말하는 핵심정보인프라 운영자와 네트워크 플랫폼 운영자를 “당사자”라 총칭한다.
제3조 사이버보안 심사는 사이버보안 위험의 예방과 선진 기술 응용의 촉진을 결합하고, 절차의 공정성·투명성과 지식재산권 보호를 결합하며, 사전 심사와 지속 감독을 결합하고, 기업의 약속과 사회적 감독을 결합하는 것을 견지한다; 심사는 제품, 서비스, 데이터 처리 활동의 보안과 그것들이 수반할 수 있는 국가안전 위험의 관점에서 수행한다.
제4조 중앙 사이버공간 사무위원회의 영도 아래, 중국 국가인터넷정보판공실은 국가발전개혁위원회, 공업정보화부, 공안부, 국가안전부, 재정부, 상무부, 중국인민은행, 국가시장감독관리총국, 국가라디오텔레비전총국, 중국증권감독관리위원회, 국가비밀보호국, 국가암호관리국과 함께 국가 사이버보안 심사 업무 메커니즘을 수립한다.
사이버보안 심사 판공실은 중국 국가인터넷정보판공실 내에 두며, 사이버보안 심사의 관련 제도·규범을 제정하고 사이버보안 심사를 조직하는 일을 담당한다.
제5조 핵심정보인프라 운영자가 네트워크 제품·서비스를 조달하는 경우, 그 제품이나 서비스가 사용에 투입된 후 발생할 수 있는 국가안전 위험을 사전에 평가하여야 한다. 국가안전에 영향을 주거나 줄 수 있는 경우, 그 사안을 사이버보안 심사 판공실에 사이버보안 심사를 위해 신고하여야 한다.
특정 산업이나 분야의 핵심정보인프라 보안 보호를 담당하는 부문은 그 산업이나 분야를 위한 사전 평가 지침을 제정할 수 있다.
제6조 사이버보안 심사를 위해 신고된 조달 활동에 대하여, 핵심정보인프라 운영자는 조달 문서, 협약 등을 통하여 제품·서비스 제공자에게 사이버보안 심사에 협력할 것을 — 제품·서비스 제공의 편의를 이용하여 이용자 데이터를 불법으로 취득하거나 이용자 장비를 불법으로 통제·조작하지 않겠다는 약속, 그리고 정당한 이유 없이 제품의 공급이나 필요한 기술 지원 서비스를 중단하지 않겠다는 약속을 포함하여 — 요구하여야 한다.
제7조 100만 명 넘는 이용자의 개인정보를 보유하고 해외에서 증권을 상장하려는 네트워크 플랫폼 운영자는 그 사안을 사이버보안 심사 판공실에 사이버보안 심사를 위해 신고하여야 한다.
제8조 사이버보안 심사를 신고할 때 당사자는 다음 자료를 제출하여야 한다:
(1) 신고서;
(2) 국가안전이 어떻게 영향을 받거나 받을 수 있는지에 관한 분석 보고서;
(3) 조달 문서, 협약, 체결할 계약, 또는 기업공개(IPO) 등 제출할 상장 신청 문서;
(4) 사이버보안 심사에 필요한 그 밖의 자료.
제9조 사이버보안 심사 판공실은 본 방법 제8조에 부합하는 심사 신고 자료를 받은 후 10 영업일 이내에 심사가 필요한지를 결정하고 당사자에게 서면으로 통지하여야 한다.
제10조 사이버보안 심사는 관련 대상이나 상황의 다음 국가안전 위험 요소를 평가하는 데 중점을 둔다:
(1) 제품·서비스 사용 후 핵심정보인프라가 불법으로 통제·간섭·사보타주될 위험;
(2) 제품·서비스 공급 중단으로 인한 핵심정보인프라 업무 연속성에 대한 피해;
(3) 제품·서비스의 보안, 개방성, 투명성, 공급원의 다양성, 공급 경로의 신뢰성, 그리고 정치·외교·무역 등 요인으로 인한 공급 중단 위험;
(4) 제품·서비스 제공자의 중국 법률·행정법규·부문 규칙 준수;
(5) 핵심 데이터, 중요 데이터, 또는 대량의 개인정보가 절취·유출·훼손되거나 불법으로 이용되거나 불법으로 중국 밖으로 이전될 위험;
(6) 상장 시 핵심정보인프라, 핵심 데이터, 중요 데이터, 또는 대량의 개인정보가 외국 정부에 의해 영향·통제·악용될 위험, 그리고 사이버 정보 보안 위험;
(7) 핵심정보인프라의 보안, 사이버보안, 또는 데이터 보안을 위태롭게 할 수 있는 그 밖의 요소.
제11조 사이버보안 심사 판공실은 사이버보안 심사가 필요하다고 판단하는 경우, 당사자에게 서면 통지를 발한 날로부터 30 영업일 이내에 예비 심사를 완료하여야 한다 — 심사 결론안을 형성하여 사이버보안 심사 업무 메커니즘의 구성 단위 및 관련 부문에 의견 조회를 위해 보내는 것을 포함; 복잡한 경우 15 영업일 연장할 수 있다.
제12조 사이버보안 심사 업무 메커니즘의 구성 단위와 관련 부문은 심사 결론안을 받은 후 15 영업일 이내에 서면 의견으로 회신하여야 한다.
구성 단위와 관련 부문의 의견이 일치하는 경우, 사이버보안 심사 판공실은 당사자에게 심사 결론을 서면으로 통지한다; 의견이 불일치하는 경우, 특별 심사 절차에 따라 처리하고 당사자에게 통지한다.
제13조 특별 심사 절차에 따라 처리하는 경우, 사이버보안 심사 판공실은 관련 단위·부문의 의견을 구하고, 심도 있는 분석·평가를 수행하며, 다시 심사 결론안을 형성하고, 사이버보안 심사 업무 메커니즘의 구성 단위 및 관련 부문의 의견을 구한다; 절차에 따라 중앙 사이버공간 사무위원회에 보고하여 승인을 받은 후, 심사 결론을 형성하고 당사자에게 서면으로 통지한다.
제14조 특별 심사 절차는 일반적으로 90 영업일 이내에 완료하여야 한다; 복잡한 경우 연장할 수 있다.
제15조 사이버보안 심사 판공실이 보충 자료를 요청하는 경우, 당사자와 제품·서비스 제공자는 협력하여야 한다. 보충 자료 제출에 걸린 시간은 심사 기간에 산입하지 않는다.
제16조 사이버보안 심사 업무 메커니즘의 구성 단위가 국가안전에 영향을 주거나 줄 수 있다고 판단하는 네트워크 제품·서비스 및 데이터 처리 활동은, 절차에 따라 중앙 사이버공간 사무위원회에 보고하여 승인을 받은 후, 사이버보안 심사 판공실이 본 방법에 따라 심사한다.
위험을 방지하기 위하여, 당사자는 심사 기간 중 사이버보안 심사 요구에 따라 위험을 예방·완화하는 조치를 취하여야 한다.
제17조 사이버보안 심사에 참여하는 관련 기관과 인원은 지식재산권을 엄격히 보호하여야 하고, 심사 과정에서 알게 된 상업 비밀과 개인정보, 당사자와 제품·서비스 제공자가 제출한 미공개 자료, 그 밖의 미공개 정보에 대하여 비밀 유지 의무를 진다; 정보를 제공한 당사자의 동의 없이, 그러한 정보를 무관한 당사자에게 공개하거나 심사 외의 목적으로 사용해서는 안 된다.
제18조 당사자나 네트워크 제품·서비스 제공자는 심사 인원이 객관적·공정하지 못했거나 심사 과정에서 알게 된 정보에 대한 비밀 유지 의무를 다하지 못했다고 판단하는 경우, 이를 사이버보안 심사 판공실이나 관련 부문에 신고할 수 있다.
제19조 당사자는 제품·서비스 제공자가 사이버보안 심사 중 한 약속을 이행하도록 촉구하여야 한다.
사이버보안 심사 판공실은 신고 접수 같은 수단을 통하여 사전·사중·사후 감독을 강화한다.
제20조 당사자가 본 방법의 규정을 위반하는 경우, 「중화인민공화국 사이버보안법」과 「중화인민공화국 데이터 보안법」의 규정에 따라 처리한다.
제21조 본 방법에서 말하는 네트워크 제품·서비스는 주로 핵심 네트워크 장비, 중요 통신 제품, 고성능 컴퓨터와 서버, 대용량 저장 장치, 대형 데이터베이스와 응용 소프트웨어, 사이버보안 장비, 클라우드 컴퓨팅 서비스, 그리고 핵심정보인프라의 보안, 사이버보안, 데이터 보안과 중요한 관련이 있는 그 밖의 네트워크 제품·서비스를 가리킨다.
제22조 국가 비밀 정보가 관련된 경우, 관련 국가 비밀 보호 규정에 따라 처리한다.
국가가 데이터 보안 심사나 외국인 투자 보안 심사에 관하여 별도의 규정을 둔 경우, 그 규정도 준수하여야 한다.
제23조 본 방법은 2022년 2월 15일부터 시행한다. 2020년 4월 13일 공포된 「사이버보안 심사 방법」(중국 국가인터넷정보판공실, 국가발전개혁위원회, 공업정보화부, 공안부, 국가안전부, 재정부, 상무부, 중국인민은행, 국가시장감독관리총국, 국가라디오텔레비전총국, 국가비밀보호국, 국가암호관리국의 령 제6호)은 동시에 폐지한다.
맺음말
원문서는 중국 국가인터넷정보판공실에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.