사이버재해보험 제도화와 가입 의무 및 보험료 지원

쉬운 요약

• 사이버 공격으로 기업과 이용자가 입은 손해를 보험으로 신속하게 보상하기 위한 법안이에요.
• 정보통신서비스 제공자 가운데 일정 규모 이상인 사업자에게 사이버재해보험 가입을 의무화하려고 해요.
• 보험이 보상할 수 있는 범위에 제3자 손해배상책임, 데이터 복구비용, 영업 중단 손해 등을 담으려고 해요.
• 보안 수준과 사이버 위험 정도를 보험료에 반영해 위험이 낮은 기업은 보험료 부담을 줄일 수 있도록 설계하려고 해요.
• 중소기업과 소상공인의 보험료 일부를 정부가 지원할 수 있게 해 사이버 공격 이후 회복을 돕자는 취지예요.

주요 내용

• 사이버재해보험 제도화: 침해사고로 발생한 정보자산 피해와 정보통신망 이용자의 손해를 보상하는 보험 제도를 만들려고 해요.
• 보상 범위 구체화: 제3자 손해배상책임, 데이터 복구비용, 사업 중단 손해 등을 보험 대상에 포함하려고 해요.
• 가입 의무 부과: 사업 분야, 매출액, 이용자 수 등을 기준으로 대통령령에서 정하는 정보통신서비스 제공자에게 가입 의무를 부과하려고 해요.
• 보험료 산정 기준 마련: 보험목적물의 위험도와 기업의 보안 수준, 사이버위험지표 등을 보험료율에 반영하려고 해요.
• 심의위원회 설치: 과학기술정보통신부장관 소속으로 사이버재해보험심의위원회를 두고 보험사업의 주요 사항을 심의하려고 해요.
• 손해평가인 제도 도입: 침해사고 손해액을 조사하고 보험금을 산정하는 전문가 제도를 마련하려고 해요.
• 취약 기업 지원과 위험지표 관리: 중소기업·소상공인의 보험료 일부를 지원하고, 업종별·규모별 사이버 위험 정도를 보여주는 지표를 정부가 작성·관리하려고 해요.

왜 나왔나

발의 당시 설명에 따르면 디지털 전환이 빨라지면서 랜섬웨어 같은 사이버 공격으로 정보자산이 손상되고 영업이 중단되는 사례가 늘고 있지만, 피해를 신속하고 실질적으로 보상하는 종합적인 보험 제도는 충분하지 않았어요. 특히 중소기업은 자체 자금과 인력만으로 피해를 복구하기 어려워 한 번의 침해사고가 경영 위기로 이어질 수 있다는 문제가 제기됐어요. 이에 피해 기업뿐 아니라 정보통신망 이용자의 손해까지 보상할 수 있는 보험을 제도화하고, 일정 규모 이상 사업자의 가입을 의무화하려고 해요. 손해평가와 위험지표, 보험료 지원을 함께 마련해 사이버 공격 이후의 회복력을 높이려는 구상이에요.

무엇이 달라지나

1) 사이버재해보험의 보상 범위 설정

현재 시행 조문으로 확인된 별도 법률은 없으며, 이 법안은 사이버재해보험을 새로 정의하려고 해요. 제안 내용에 따르면 보험은 침해사고로 발생한 제3자 손해배상책임, 데이터 복구비용, 사업 중단 손해 등을 보상하고 정보시스템과 전자상거래 플랫폼 등을 보험목적물로 삼을 수 있어요.

• 기업 내부의 복구비뿐 아니라 이용자나 거래 상대방에게 부담하는 손해배상도 보험으로 다룰 수 있어요.
• 서버나 데이터뿐 아니라 전자상거래 플랫폼처럼 사업 운영에 중요한 시스템도 보험 대상이 될 수 있어요.
• 실제 보상 여부와 한도는 보험계약의 조건, 사고 원인, 손해 인정 기준에 따라 달라질 수 있어요.

2) 일정 규모 사업자의 가입 의무

법안은 모든 정보통신서비스 제공자에게 일률적으로 가입을 요구하지 않고, 사업 분야·매출액·이용자 수 등을 고려해 대통령령으로 정하는 사업자에게 가입 의무를 부과하려고 해요. 구체적인 대상 기준은 법률보다 하위 규정에서 정해지는 구조예요.

• 이용자가 많거나 사업 규모가 큰 서비스일수록 의무가입 대상이 될 가능성을 염두에 둔 설계예요.
• 의무가입 대상이 되면 보험료 부담뿐 아니라 보안 수준과 사고 대응 체계도 함께 점검해야 할 수 있어요.
• 어떤 사업자가 대상에 포함되는지는 향후 대통령령에서 정해질 기준을 확인해야 해요.

3) 보험료와 사이버위험지표 연계

법안은 보험료율을 정할 때 보험목적물의 위험도와 피보험자의 보안 수준, 사이버위험지표 등을 반영하도록 기준을 마련하려고 해요. 과학기술정보통신부장관은 업종별·규모별 사이버재해 위험 정도를 표시하는 지표를 작성·관리하고, 보험사업자는 이를 보험료율 산정 등에 활용할 수 있어요.

• 보안 체계를 잘 갖춘 기업은 위험이 낮다고 평가돼 보험료에 반영될 가능성이 있어요.
• 같은 업종이라도 시스템 규모와 보안 관리 수준에 따라 보험료가 달라질 수 있어요.
• 위험지표가 실제 사고 위험을 정확히 반영하지 못하면 기업별 보험료가 불공정하게 정해질 수 있어요.

4) 사이버재해보험심의위원회 설치

법안은 사이버재해보험사업의 주요 사항을 심의하기 위해 과학기술정보통신부장관 소속으로 사이버재해보험심의위원회를 두려고 해요. 보험사업의 운영과 관련된 중요한 기준을 행정부와 관련 전문가가 함께 검토하는 구조를 마련하려는 내용이에요.

• 보험제도의 주요 사항을 지속적으로 논의할 공식 창구가 생길 수 있어요.
• 사이버 공격 유형과 보험시장 상황이 달라질 때 제도 운영 기준을 조정하는 역할이 중요해져요.
• 위원회의 구성, 심의 범위, 심의 결과의 반영 방식이 실제 영향력을 좌우할 수 있어요.

5) 손해평가인 제도 도입

법안은 침해사고로 인한 손해액을 조사·확정하고 보험금을 산정하는 손해평가인 제도를 도입하려고 해요. 손해평가인의 자격 요건과 결격사유를 정해 평가 업무의 전문성과 공정성을 확보하려는 내용이에요.

• 사이버 사고의 원인과 데이터 복구비, 영업 중단 기간 등을 전문적으로 따질 수 있는 인력이 필요해져요.
• 보험회사와 피해 기업 사이에서 손해액을 둘러싼 분쟁을 줄이는 데 도움이 될 수 있어요.
• 평가인의 전문성, 독립성, 평가 결과에 대한 이의제기 절차가 함께 마련되는지 봐야 해요.

6) 중소기업·소상공인 지원

법안은 정부가 중소기업 또는 소상공인이 사이버재해보험에 가입할 때 예산 범위에서 보험료 일부를 지원할 수 있도록 하려고 해요. 자체적으로 보험료를 부담하거나 사고 복구 인력을 확보하기 어려운 기업의 가입을 돕는 장치예요.

• 보험료 지원을 받으면 작은 기업도 사이버 사고에 대비할 수 있는 선택지가 넓어져요.
• 지원 대상과 지원 비율, 신청 절차에 따라 실제 가입률이 크게 달라질 수 있어요.
• 지원 예산이 충분하지 않으면 필요한 기업이 제도에서 제외될 수 있어 우선순위 기준이 중요해요.

누구에게 영향이 있나

• 대규모 정보통신서비스 제공자: 의무가입 대상이 되면 보험료를 부담하고, 보안 수준과 사고 대응 체계를 보험 기준에 맞춰 관리해야 할 수 있어요.
• 중소기업과 소상공인: 보험료 지원을 통해 가입 부담을 낮출 수 있지만, 지원 규모와 대상 기준에 따라 체감 효과가 달라져요.
• 정보통신망 이용자: 침해사고로 개인정보나 이용 관련 권리가 침해됐을 때 보험을 통한 손해 보상 경로가 마련될 수 있어요.
• 보험회사: 사이버재해보험 상품을 개발하고 위험지표와 기업의 보안 수준을 반영해 보험료와 보상 조건을 설계해야 해요.
• 손해평가인과 관련 전문가: 새로운 자격과 업무 영역이 생기지만, 사이버 사고와 손해 산정에 대한 전문성을 갖춰야 해요.
• 과학기술정보통신부와 정부: 심의위원회 운영, 위험지표 작성, 보험료 지원과 제도 감독을 맡게 될 수 있어요.

봐야 할 점

• 법안은 아직 제안된 제도이므로 보험의 보상 범위와 가입 의무가 최종적으로 확정된 것은 아니에요.
• 대통령령으로 정할 가입 대상의 매출액·이용자 수·사업 분야 기준이 어느 수준인지 확인해야 해요.
• 사이버 공격이 기업의 관리 소홀로 발생했을 때도 보험금을 지급할지, 보안 의무 위반을 어떻게 반영할지가 핵심 쟁점이에요.
• 사이버위험지표가 어떤 자료로 산정되고 기업에 어떤 절차로 공개되는지에 따라 보험료의 공정성이 달라질 수 있어요.
• 정부의 보험료 지원 규모와 재정 소요, 손해평가인 양성 체계는 제안 내용만으로 구체화되지 않았어요.