짧은 답: 귀사가 중국 본토에서 정보 시스템·웹사이트·앱·네트워크를 운영한다면, MLPS — 사이버보안 등급보호 제도(网络安全等级保护制度, 통칭 “等保”, děngbǎo) — 는 선택이 아닙니다. 이는 사이버보안법 제23조가 의무화하는 기본 사이버보안 컴플라이언스 체계이며, 국내·외국을 막론하고 사실상 모든 네트워크 운영자에게 미칩니다. 국제 기업이 운영하는 시스템 대부분은 레벨 2 또는 레벨 3으로 등급이 매겨지며, 레벨 3이 의무가 실질적으로 무거워지는 지점입니다. 이 페이지는 MLPS가 무엇인지, 등급 분류가 어떻게 작동하는지, 필요한지, 그 과정에 무엇이 따르는지를 — 각 항목을 자격 있는 법률 자문과 인가받은 평가 기관에서 확인할 수 있도록 일차 출처에 연결하여 — 설명합니다.
이것은 방향 안내일 뿐 법률 자문이 아닙니다. MLPS는 전형적인 “중국에서 작동하는가?” 질문이며, 그 진짜 축은 속도가 아니라 컴플라이언스입니다: 시스템이 빨라도 해당 보호 등급을 충족하지 못했다면 여전히 운영이 불법일 수 있습니다.
MLPS란 무엇인가
MLPS는 모든 네트워크 운영자가 각 시스템을 보안 영향 등급으로 분류하고 그 등급에 설정된 보호 요건을 충족하도록 요구하는 제도입니다. 한 번 사면 끝인 인증이 아니라, 등급을 매기고 신고하고 시험하고 유지하는 지속적 의무입니다.
현행 세대는 **“MLPS 2.0”(等保2.0)**으로, 국가 표준 **GB/T 22239-2019 《정보보안기술 — 사이버보안 등급보호 기본 요구》(信息安全技术 网络安全等级保护基本要求)**에 기반하며 2019년 12월 1일부터 시행되었습니다. MLPS 2.0은 전통적 정보 시스템에서 클라우드 플랫폼, 모바일 인터넷, 사물인터넷, 산업 제어 시스템, 빅데이터 플랫폼으로 범위를 넓혔습니다 — 따라서 현대의 SaaS·클라우드·앱 아키텍처는 정확히 적용 대상입니다.
법적 근거는 사이버보안법 제23조이며, 이는 저희 사이버보안법 페이지에 전문을 번역해 두었습니다:
국가는 사이버보안 등급보호 제도를 시행한다. 네트워크 운영자는 사이버보안 등급보호 제도의 요구에 따라 다음의 보안 보호 의무를 이행하여, 네트워크가 간섭·훼손·무단 접근으로부터 보호되도록 하고 네트워크 데이터가 유출·도용·변조되지 않도록 하여야 한다.
관련 조문인 제33조는 핵심정보인프라(CII) 보호를 MLPS 기준선 위에 쌓습니다 — 따라서 CII로 지정되면 MLPS는 천장이 아니라 바닥입니다.
다섯 등급
시스템의 등급은 그에 대한 손상이 얼마나 큰 해를 끼칠지에 따라 결정됩니다 — (a) 시민·법인·그 밖의 조직의 적법한 권익, (b) 공공 질서와 공익, (c) 국가 안전에 대해.
| 등급 | 중국어 | 침해 시 피해 | 감독 | 전형적 시스템 |
|---|---|---|---|---|
| 1 | 自主保护 | 개인/조직에만 해 | 자율 관리 | 소규모·저영향 사이트 |
| 2 | 指导保护 | 개인/조직에 중대한 해, 또는 공익에 해 | 지도; 신고 | 많은 일반 상용 시스템 |
| 3 | 监督保护 | 공익에 중대한 해, 또는 국가 안전에 해 | 감독; 연례 평가 | 상당량의 개인정보나 중요 업무를 다루는 시스템 |
| 4 | 强制保护 | 공익에 특히 중대한 해, 또는 국가 안전에 중대한 해 | 강제 감독 | 핵심 산업 / CII 인접 시스템 |
| 5 | 专控保护 | 국가 안전에 특히 중대한 해 | 전문 통제 | 드묾; 핵심 국가 시스템 |
실무에서 국제 기업이 운영하는 시스템 대부분은 레벨 2 또는 레벨 3에 속합니다. 레벨 3은 시스템이 의미 있는 규모의 개인정보를 처리하거나 중요 업무를 지원할 때의 일반적 기준점이며 — 등급 분류에 전문가 검토가 필요해지고 평가가 적어도 연 1회의 반복 작업이 되는 지점입니다.
필요한가요?
중국 본토에서 시스템을 운영한다면 거의 확실히 그렇습니다. 제23조는 MLPS를 모든 네트워크 운영자의 의무로 규정합니다 — 회사 규모나 업종으로 촉발되는 것이 아니라, 누구나 충족해야 할 기준선입니다.
또한 이는 중국 내 호스팅과 긴밀히 결합되어 있습니다:
- 데이터 국내 저장 압력(CII에 대한 사이버보안법 제39조(구 제37조), 그리고 더 넓은 네트워크 데이터 보안 관리 조례)은 국제 기업이 중국 내 인프라에서 시스템을 운영하게 만듭니다 — 그리고 그 중국 내 시스템이 바로 MLPS가 등급을 매기는 대상입니다. 중국 내에서 SaaS 의존을 취할 때도 마찬가지입니다: 저희 763개 SaaS 도구 조사에서 2026년 10월 각 벤더 자신의 문서에 비추어 확인한 결과, 진정한 중국 내 레버 — 자가 호스팅, 소버린 파티션, 또는 본토 리전 — 를 가진 254개는 결과로 생기는 시스템에 대해 그 운영자인 귀사에게 MLPS를 남깁니다.
- 규정에 맞는 중국 호스팅을 세우고 ICP 비안을 완료하는 일은 MLPS 등급 분류·신고와 나란히 갑니다; 이들은 별개의 트랙이 아니라 같은 “운영 적법성” 체크리스트의 일부입니다.
- 귀사의 시스템이 핵심정보인프라로 지정되면, MLPS는 더 무거운 CII 체계의 바닥입니다.
과정: 등급 분류 → 신고 → 평가 → 시정
- 등급 분류(定级). 시스템의 보호 등급을 분류합니다. 레벨 3 이상에서는 제안된 등급이 신고 전에 **전문가 검토(专家评审)**를 통과해야 합니다.
- 신고(备案). 등급이 매겨진 시스템을 현지 **공안 기관(公安机关)**에 신고합니다. 절차의 틀은 《정보보안 등급보호 관리 방법》(信息安全等级保护管理办法, 公通字〔2007〕43号)에서 나오며, 신고는 일반적으로 30일 이내에 이루어집니다.
- 평가(测评). 당국이 인정한 시험 기관이 시스템을 GB/T 22239-2019 요건에 비추어 평가합니다. 레벨 3에서는 이 평가가 적어도 연 1회 필요합니다.
- 시정(整改). 평가가 찾아낸 격차를 보완하고, 통제를 지속적으로 유지합니다 — MLPS는 한 번의 합격이 아니라 계속되는 의무입니다.
실무에서 무엇이 따르나
GB/T 22239-2019는 요건을 기술 세트와 관리 세트로 정리합니다:
- 기술 — 안전한 물리 환경, 안전한 통신 네트워크, 안전한 영역 경계, 안전한 컴퓨팅 환경, 보안 관리 센터: 쉽게 말해 경계 보호, 접근 통제, 침입 방지, 감사 로깅, 데이터 무결성과 백업, 그리고 (상위 등급에서는) 더 강한 신원·암호화 통제.
- 관리 — 보안 정책, 보안 관리 조직과 인력, 그리고 구축·운영 관리 절차.
상위 등급은 하위 등급 요건을 상속하고 더 추가합니다. 저희는 여기서 표준을 재현하지 않습니다 — 저작권이 있는 국가 표준입니다 — 다만 그것이 귀사의 평가자가 시험할 정확한 통제의 권위 있는 출처입니다.
MLPS가 나머지 중국 컴플라이언스에 어떻게 들어맞나
MLPS는 홀로 서 있지 않습니다. 국제 기업에게는 하나의 연결된 그림 속에 자리합니다:
- 사이버보안법 — 제23조가 MLPS를 의무화하고, 제39조가 애초에 시스템을 중국에 두게 하는 데이터 국내 저장을 추동합니다.
- ICP 비안 — 중국 내부에서 사이트를 서비스할 허가; MLPS와 나란히 신고합니다.
- CII 조례 — CII로 지정되면 MLPS는 기준선이고 더 무거운 의무가 그 위에 쌓입니다.
- **PIPL**과 국경 간 데이터 체계 — 그 등급이 매겨진 시스템이 보유·이동하는 개인정보를 규율합니다.
귀사의 구체적 아키텍처에 어느 관문이 적용되는지는, 바로 구축 전에 법률 자문과 함께 정리할 만한 질문입니다 — 그것은 서류 작업이 아니라 아키텍처 결정이기 때문입니다.
21YunBox는 어떻게 돕나
21YunBox는 귀사의 MLPS 등급 시스템이 돌아가는 규정에 맞는 중국 내 전송·호스팅 기반을 제공하며, 국제 고객이 그 인프라를 세우고 올바른 현지 당사자들과 함께 등급 분류·신고·평가 과정을 조율하도록 돕습니다. 저희는 인가받은 MLPS 평가 기관이 아닙니다 — 시험은 인가받은 기관이 수행합니다 — 다만 귀사의 중국 거점을 규정에 맞는 인프라에 올리는 것이, 등급 분류와 신고를 허둥대는 일이 아니라 다룰 만한 일로 만드는 기초 작업입니다.
컴플라이언스는 귀사의 서비스가 애초에 중국에서 합법적으로 운영될 수 있는지를 결정하는 결정입니다. 귀사의 스택이 MLPS와 나머지 체계에 어떻게 대응되는지 저희 컴플라이언스 팀과 상담하세요.
일차 출처 및 추가 자료
- 중화인민공화국 사이버보안법, 제23조·제33조 — 저희 사이트의 영어 전문 번역: /ko/china-cybersecurity-law.html (일차 출처: npc.gov.cn).
- GB/T 22239-2019, 《정보보안기술 — 사이버보안 등급보호 기본 요구》(信息安全技术 网络安全等级保护基本要求), 2019년 12월 1일 시행 — MLPS 2.0 요건 표준.
- 정보보안 등급보호 관리 방법(信息安全等级保护管理办法, 公通字〔2007〕43号, 2007년) — 등급 분류/신고/평가 절차, 공안부 및 그 밖의 부문이 공포.
전용 국무원 《사이버보안 등급보호 조례》(网络安全等级保护条例)는 지금까지 의견 수렴용 초안으로만 공표되었고 아직 시행되지 않았습니다. 시행될 때까지 운용 요건은 위의 사이버보안법, GB/T 22239-2019, 그리고 2007년 관리 방법에 정해진 것들로 유지됩니다.
이 페이지는 방향 안내용일 뿐 법률 자문이 아닙니다. 귀사 시스템의 등급, 의무, 절차는 자격 있는 법률 자문과 인정받은 MLPS 평가 기관에서 확인하시기 바랍니다.