우리 회사가 정보통신서비스 제공자인지 어떻게 판단하나요?

이 판단이 기한 하나를 켜고 끕니다

답부터 적으면 이 판단의 결과로 24시간 기한이 생기거나 사라집니다. 정보통신서비스 제공자라면 해킹 등 침해사고를 알게 된 때부터 24시간 이내에 최초신고 의무가 생깁니다. 아니라면 그 의무는 적용되지 않고, 개인정보가 유출된 경우의 72시간 통지·신고 의무만 남습니다. 두 기한 중 하나가 빠지는 셈입니다.

개인정보 쪽 의무는 이 판단과 무관합니다

혼동을 줄이려면 두 축을 떼어 놓아야 합니다. 72시간 통지·신고 의무는 개인정보처리자에게 적용되고, 정보통신서비스 제공자인지와 별개로 걸립니다. 그래서 정보통신서비스 제공자가 아니라는 결론이 나와도 개인정보 유출 의무가 면제되는 것이 아닙니다. 두 판단은 서로 독립입니다.

왜 혼자 결론 내리지 않는 편이 안전한가

해당 여부는 사업의 내용과 제공하는 서비스의 성격으로 정해지고, 사안에 따라 판단이 갈릴 수 있습니다. 잘못 판단하면 24시간 기한을 아예 세지 않게 되는데, 이 오류는 사고가 터진 뒤에야 드러납니다. 그래서 사고 전에 미리 판단해 문서로 남기고, 모호하면 관계 기관 안내와 자문으로 확정하는 쪽이 비용이 적습니다.

미리 판단해 두는 것이 핵심입니다

사고 당일에 이 판단을 시작하면 24시간의 상당 부분이 판단에 쓰입니다. 평시에 결론과 근거를 한 장으로 적어 두면 사고 시에는 기한 계산부터 시작할 수 있습니다. 적어 둘 내용은 결론, 근거, 확정 날짜, 확정에 참여한 사람, 다음 재검토 시점입니다.

사례: 판단을 미리 끝내 둔 경우와 아닌 경우

상황은 같은 규모의 두 회사가 같은 사고를 겪은 경우입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인지 시각 금요일 18시, 두 회사 모두 개인정보 유출 포함, A 사는 해당 여부를 평시에 확정해 문서로 보관, B 사는 미확정입니다. 계산은 기한 배치입니다. A 사는 정보통신서비스 제공자로 확정되어 있으므로 24시간 기한인 토요일 18시와 72시간 기한인 월요일 18시를 즉시 달력에 올립니다. B 사는 판단부터 시작해야 하므로 24시간 중 일부를 판단에 쓰고, 판단이 늦어지면 기한을 지나칠 위험이 생깁니다. 최종 결과는 A 사 기한 2개 즉시 확정, B 사 기한 1개만 확정하고 나머지는 판단 후 결정입니다. 결과를 바꾸는 예외는 B 사가 사고 당일에 빠르게 자문을 받아 판단을 마치는 경우로, 그때는 A 사와 같은 상태가 되지만 남은 시간이 줄어듭니다. 다음 행동은 해당 여부 결론과 근거를 한 장으로 적어 사고 대응 문서 맨 앞에 두는 것입니다.

판단이 바뀔 수 있는 시점

사업 내용이 바뀌면 판단도 바뀔 수 있습니다. 새 서비스를 출시한 경우, 사업 영역을 확장한 경우, 외부에 제공하는 기능이 늘어난 경우가 재검토 시점입니다. CISA 의 지침이 비활성·미승인 계정을 분기별로 검토하라고 적는 것처럼, 이 판단도 주기를 정해 다시 보는 편이 안전합니다. 분기 점검 항목에 함께 넣으면 잊지 않습니다.

이 글이 법적 판단을 대신하지 않습니다

해당 여부의 최종 판단은 법령의 정의와 사안의 맥락으로 정해집니다. 이 글은 판단 결과가 어떤 의무를 켜고 끄는지, 왜 평시에 확정해 두어야 하는지의 구조를 적은 것입니다. 개별 회사의 해당 여부는 관계 기관의 안내와 전문가 자문으로 확정하는 것이 맞고, 그 결론을 문서로 남겨 두는 것이 이 글이 권하는 실행입니다.

판단 결과에 따라 달라지는 의무