정보보호산업의 진흥에 관한 법률

정보보호산업의 진흥에 관한 법률

제1장 총칙

제1조(목적) 이 법은 정보보호산업의 진흥에 필요한 사항을 정함으로써 정보보호산업의 기반을 조성하고 그 경쟁력을 강화하여 안전한 정보통신 이용환경 조성과 국민경제의 건전한 발전에 이바지함을 목적으로 한다.

제2조(정의)

① 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. "정보보호"란 다음 각 목의 활동을 위한 관리적ㆍ기술적ㆍ물리적 수단(이하 "정보보호시스템"이라 한다)을 마련하는 것을 말한다.

가. 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생할 수 있는 정보의 훼손, 변조, 유출 등을 방지 및 복구하는 것

나. 암호ㆍ인증ㆍ인식ㆍ감시 등의 보안기술을 활용하여 재난ㆍ재해ㆍ범죄 등에 대응하거나 관련 장비ㆍ시설을 안전하게 운영하는 것

2. "정보보호산업"이란 정보보호를 위한 기술(이하 "정보보호기술"이라 한다) 및 정보보호기술이 적용된 제품(이하 "정보보호제품"이라 한다)을 개발ㆍ생산 또는 유통하거나 이에 관련한 서비스(이하 "정보보호서비스"라 한다)를 제공하는 산업을 말한다.

3. "정보보호기업"이란 정보보호산업과 관련된 경제활동(이하 "정보보호사업"이라 한다)을 영위하는 자를 말한다.

4. "이용자"란 정보보호기업이 제공하는 정보보호기술, 정보보호제품 및 정보보호서비스(이하 "정보보호기술등"이라 한다)를 이용하는 자를 말한다.

5. "공공기관"이란 다음 각 목의 기관을 말한다.

가. 「공공기관의 운영에 관한 법률」 제4조에 따른 법인ㆍ단체 또는 기관

나. 「지방공기업법」에 따른 지방공사 및 지방공단

다. 특별법에 따라 설립된 특수법인

라. 그 밖에 대통령령으로 정하는 법인ㆍ단체 및 기관

6. "정보보호 준비도 평가"란 기업의 정보보호 준비 수준을 평가하여 일정 등급을 부여하는 것을 말한다.

② 이 법에서 사용하는 용어의 뜻은 제1항에서 정하는 것을 제외하고 「지능정보화 기본법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「정보통신산업 진흥법」, 「전기통신기본법」, 「전기통신사업법」, 「방송통신발전 기본법」 및 「인터넷 멀티미디어 방송사업법」 등에서 정하는 바에 따른다. <개정 2020.6.9>

제3조(국가 및 지방자치단체의 책무) 국가 및 지방자치단체는 정보보호산업의 진흥에 필요한 정책을 수립하여 시행하고 이에 필요한 재원확보 방안을 마련하여야 한다.

제4조(다른 법률과의 관계) 정보보호산업에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다.

제5조(정보보호산업 진흥계획 수립)

① 과학기술정보통신부장관은 정보보호산업의 진흥에 관한 정책목표 및 방향을 설정하기 위하여 다음 각 호의 사항이 포함된 정보보호산업 진흥계획(이하 "진흥계획"이라 한다)을 수립ㆍ시행하여야 한다. <개정 2017.7.26, 2024.1.9>

1. 정보보호산업 진흥을 위한 정책의 기본방향에 관한 사항

2. 정보보호 전문인력 양성, 원천기술 개발, 정보보호서비스 이용 확산 등 기반 조성에 관한 사항

3. 정보보호기술등의 표준화와 지식재산권 보호에 관한 사항

4. 정보보호기업의 육성 및 지원에 관한 사항

5. 정보보호 관련 「중소기업기본법」 제2조제1항에 따른 중소기업, 「벤처기업육성에 관한 특별법」 제2조제1항에 따른 벤처기업 및 「1인 창조기업 육성에 관한 법률」 제2조에 따른 1인 창조기업(이하 "중소기업등"이라 한다)의 경쟁력강화를 위한 지원에 관한 사항

6. 정보보호산업과 그 밖의 산업 간 융합의 진전에 따른 정보보호 정책에 관한 사항

7. 정보보호산업의 공정경쟁 환경의 조성에 관한 사항

8. 이용자의 권익보호에 관한 사항

9. 정보보호산업에 관한 국제협력과 해외진출 지원에 관한 사항

10. 정보보호산업 진흥을 위한 재원 확보 및 배분에 관한 사항

11. 정보보호산업 진흥을 위한 법ㆍ제도 개선에 관한 사항

12. 정보보호산업과 관련된 중앙행정기관 간의 업무협력 및 조정에 관한 사항

13. 「정보통신 진흥 및 융합 활성화 등에 관한 특별법」 제5조에 따른 기본계획과의 연계에 관한 사항

14. 그 밖에 정보보호산업의 진흥을 위하여 필요한 사항

② 진흥계획은 5년마다 수립하되, 필요한 경우 수립주기를 단축하거나 변경할 수 있다.

③ 과학기술정보통신부장관은 진흥계획의 수립을 위하여 관계 중앙행정기관, 지방자치단체 및 관련 공공기관의 장에게 소관 분야별 계획이나 자료의 제공 등을 요청할 수 있다. 이 경우 계획이나 자료의 제공 등을 요청받은 기관은 특별한 사유가 없으면 이에 협조하여야 한다. <개정 2017.7.26>

④ 그 밖에 진흥계획의 수립, 시행 등에 필요한 사항은 대통령령으로 정한다.

제2장 정보보호산업의 활성화

제6조(구매수요정보의 제공)

① 「전자정부법」 제2조제2호에 따른 행정기관 또는 공공기관(이하 "공공기관등"이라 한다)의 장은 소관 기관ㆍ시설의 정보보호 수준을 강화하기 위하여 매년 정보보호기술등에 대한 구매수요 정보(이하 이 조에서 "구매수요정보"라 한다)를 과학기술정보통신부장관에게 제출하여야 한다. <개정 2017.7.26>

② 과학기술정보통신부장관은 제1항에 따라 제출된 구매수요정보를 정보보호기업에 제공할 수 있다. <개정 2017.7.26>

③ 과학기술정보통신부장관은 제2항에 따라 구매수요정보를 정보보호기업에 제공하는 경우 과학기술정보통신부 내에 별도의 심의위원회를 개최하여 국가안전 및 공공의 이익에 중대한 영향을 미치는 내용이 정보보호기업에 제공되지 아니하도록 하여야 한다. <개정 2017.7.26>

④ 제1항 및 제2항에 따른 구매수요정보 제출 및 제공의 구체적인 횟수ㆍ시기ㆍ방법ㆍ절차 등에 필요한 사항은 대통령령으로 정한다.

제7조(공공기관등의 정보보호시스템 구축 계약 등)

① 공공기관등의 장은 정보보호시스템 구축을 위한 사업계약을 체결하는 경우 「국가를 당사자로 하는 계약에 관한 법률」 제10조제2항제3호 및 「지방자치단체를 당사자로 하는 계약에 관한 법률」 제13조제2항제4호에 따른 입찰자를 낙찰자로 하는 계약 방식을 우선적으로 적용하여 계약을 체결하여야 한다. 다만, 계약을 체결하려는 정보보호시스템의 특성상 필요하다고 판단되는 경우에는 다른 방식으로 계약을 체결할 수 있다.

② 과학기술정보통신부장관은 제1항의 계약을 위하여 정보보호시스템의 요구사항을 분석ㆍ적용할 수 있는 기준과 정보보호시스템의 사업자 선정을 위한 기술평가 기준을 정할 수 있다. <개정 2017.7.26>

③ 과학기술정보통신부장관은 공공기관등의 장이 제1항에 따른 사업계약을 체결하거나 사업자 선정을 위한 기술평가를 실시하는 경우에는 제2항에 따른 기준을 적용하도록 권장할 수 있다. <개정 2017.7.26>

④ 제1항부터 제3항까지의 규정에 따른 계약 체결의 세부 절차와 기준은 과학기술정보통신부장관이 정하여 고시한다. <개정 2017.7.26>

제8조(사업 하도급의 승인)

① 정보보호기업이 공공기관등과 정보보호시스템 구축 사업 계약을 체결한 경우 도급받은 사업의 전부 또는 일부를 다른 정보보호기업에 하도급하거나 하수급인이 하도급받은 사업의 전부 또는 일부를 다시 하도급하려는 경우에는 미리 공공기관등의 장으로부터 서면으로 승인을 각각 받아야 한다.

② 제1항에 따른 승인 절차 등에 필요한 사항은 과학기술정보통신부령으로 정한다. <개정 2017.7.26>

제9조(정보보호시스템의 하자담보 책임)

① 정보보호기업은 공공기관등과 정보보호시스템 구축 사업 계약을 체결한 경우 사업을 종료한 날(사업에 대한 시험 및 검사를 수행하여 최종산출물을 인도한 날을 말한다)부터 1년 이내의 범위에서 발생한 하자에 대하여 담보책임이 있다.

② 제1항에도 불구하고 정보보호기업은 다음 각 호의 어느 하나의 사유로 발생한 하자에 대하여는 담보책임이 없다. 다만, 발주자가 제공한 물품 또는 발주자의 지시가 적절하지 아니하다는 것을 알고도 이를 발주자에게 고지하지 아니한 경우에는 그러하지 아니하다.

1. 발주자가 제공한 물품의 품질이나 규격 등이 제7조제2항의 기준에 미치지 못하는 경우

2. 발주자의 지시에 따라 정보보호시스템을 구축한 경우

3. 그 밖에 발주자의 고의 또는 과실로 하자가 발생한 경우

제10조(정보보호제품 및 정보보호서비스의 대가)

① 공공기관등은 정보보호사업의 계약을 체결하는 경우 정보보호산업의 발전과 정보보호제품 및 정보보호서비스의 품질보장을 위하여 적정한 수준의 대가를 지급하도록 노력하여야 한다.

② 과학기술정보통신부장관은 합리적인 발주 관행의 정착을 위하여 발주자가 다음 각 호의 어느 하나에 해당하는 경우 민ㆍ관 합동 모니터링 활동을 통하여 조사하고, 그 결과를 공개하거나 해당 발주자에 대하여 시정을 요청할 수 있다. <개정 2017.7.26>

1. 정보보호사업의 발주와 관련하여 이 법 또는 다른 법률의 규정을 위반한 경우

2. 정상적인 거래관행에 비추어 부당하게 낮은 비용 또는 장기간 유지ㆍ관리 및 보안성능 유지를 할 것을 요구하는 경우

③ 과학기술정보통신부장관은 정보보호산업의 합리적 유통 및 공정한 거래를 위하여 공정거래위원회와 협의를 거쳐 표준계약서를 마련하고, 공공기관등에 이를 사용하도록 권고할 수 있다. <개정 2017.7.26>

④ 과학기술정보통신부장관은 공공기관등의 장이 제1항에 따른 정보보호사업에 대하여 적정한 대가를 지급하도록 하기 위하여 다음 각 호의 정보보호사업 정보를 수집ㆍ분석하여 공공기관등에 제공할 수 있다. <개정 2017.7.26>

1. 정보보호사업 수행환경

2. 정보보호사업 수행도구

3. 정보보호사업 비용ㆍ일정ㆍ규모ㆍ공수(工數)

4. 정보보호사업 품질특성 정보

5. 그 밖에 정보보호제품에 대한 유지ㆍ관리 및 보안성능 유지를 위한 정보보호서비스의 대가기준 산정에 필요한 사항

⑤ 과학기술정보통신부장관은 제4항에 따른 정보보호사업 정보를 종합적으로 관리하기 위하여 공공기관등의 장에게 필요한 자료의 제출을 요청할 수 있으며, 공공기관등의 장은 정당한 사유가 없으면 이에 협조하여야 한다. <개정 2017.7.26>

⑥ 제2항에 따른 조사결과의 공개 주기ㆍ방법, 그 밖에 필요한 사항은 대통령령으로 정한다.

제11조(정보보호산업의 융합 촉진)

① 정부는 정보보호산업과 그 밖의 산업 간 융합의 진전에 따른 융합형 정보보호기술등의 연구개발과 다양한 정보보호제품 및 정보보호서비스의 개발을 촉진하기 위하여 필요한 시책을 수립ㆍ시행할 수 있다.

② 과학기술정보통신부장관은 융합형 정보보호기술등의 개발을 촉진하기 위하여 다음 각 호의 사업을 추진할 수 있다. <개정 2017.7.26>

1. 융합형 정보보호기술등에 관한 연구개발

2. 융합형 정보보호기술의 기술거래 및 사업화

3. 융합형 정보보호기술등에 관한 시범사업

4. 융합형 정보보호기술등에 관한 전문인력 양성

5. 융합형 정보보호기술등에 관한 정책연구

6. 그 밖에 융합형 정보보호기술등의 발전을 촉진하기 위하여 필요한 지원

제12조(정보보호 준비도 평가 지원 등)

① 정보통신망을 통하여 정보를 제공하거나 정보의 제공을 매개하는 자는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 이용하는 자의 안전을 위하여 제2항에 따라 과학기술정보통신부에 등록된 평가기관으로부터 정보보호 준비도 평가를 받을 수 있다. <개정 2017.7.26>

② 정보보호 준비도 평가를 하려는 자는 다음 각 호의 사항을 갖추어 과학기술정보통신부장관에게 등록하여야 한다. <개정 2017.7.26>

1. 법인의 정관 또는 단체의 규약

2. 정보보호 준비도 평가 사업 수행 계획서

3. 그 밖에 정보보호 준비도 평가를 수행하는 데 필요한 인적, 기술적, 재정적 능력을 증명할 수 있는 서류 등 대통령령으로 정하는 사항

③ 과학기술정보통신부장관은 제2항에 따라 등록된 평가기관에 대하여 예산의 범위에서 정보보호 준비도 평가를 수행하는 데 필요한 기술적ㆍ재정적 지원을 할 수 있다. <개정 2017.7.26>

④ 정부는 정보보호 준비도 평가를 받은 기업에 대하여 평가 결과에 따라 포상 등 필요한 지원을 할 수 있다.

⑤ 제2항에 따른 등록의 요건ㆍ절차, 제3항 및 제4항에 따른 지원에 필요한 사항은 대통령령으로 정한다.

제13조(정보보호 공시)

① 정보통신망을 통하여 정보를 제공하거나 정보의 제공을 매개하는 자는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 이용하는 자의 안전한 인터넷이용을 위하여 정보보호 투자 및 인력 현황, 정보보호 관련 인증 등 정보보호 현황을 대통령령으로 정하는 바에 따라 공개할 수 있다. 이 경우 「자본시장과 금융투자업에 관한 법률」 제159조에 따른 사업보고서 제출대상 법인은 같은 법 제391조에 따라 정보보호 준비도 평가 결과 등 정보보호 관련 인증 현황을 포함하여 공시할 수 있다.

② 제1항에도 불구하고 정보통신서비스를 이용하는 자의 안전한 인터넷이용을 위하여 정보보호 공시를 도입할 필요성이 있는 자로서 사업 분야, 매출액 및 서비스 이용자 수 등을 고려하여 대통령령으로 정하는 기준에 해당하는 자는 제1항에 따른 정보보호 현황을 공시하여야 한다. 다만, 다른 법률의 규정에 따라 정보보호 현황을 공시하는 자는 제외한다. <신설 2021.6.8>

③ 제1항에 따라 정보보호 현황을 공개한 자가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제1항에 따른 정보보호 관리체계 인증을 받고자 하는 경우에는 납부하여야 할 수수료의 100분의 30에 해당하는 금액을 할인받을 수 있다. <개정 2021.6.8>

④ 과학기술정보통신부장관은 제1항 또는 제2항에 따른 공시 내용을 검증하고 공시 내용이 사실과 다른 경우 수정을 요청할 수 있다. <신설 2023.4.18>

⑤ 제4항에 따른 공시 내용에 대한 검증 방법 및 절차 등 세부사항은 과학기술정보통신부령으로 정한다. <신설 2023.4.18>

제3장 정보보호산업 진흥의 기반조성

제14조(기술개발 및 표준화 추진)

① 과학기술정보통신부장관은 정보보호기술의 개발 및 투자를 촉진하기 위하여 다음 각 호의 사업을 추진할 수 있다. <개정 2017.7.26>

1. 정보보호기술 수준의 조사 및 기반기술의 연구개발

2. 미래 성장유망분야의 정보보호 핵심 원천기술 발굴 및 개발

3. 정보보호기술에 관한 국제 공동연구 개발 및 지원

4. 정보보호기술의 상용화 및 지역의 정보보호 관련 산업의 클러스터 구축

5. 산ㆍ학ㆍ연 정보보호기술 공동연구 지원 사업

6. 정보보호기술의 거래 활성화 사업

7. 그 밖에 정보보호기술의 개발 및 투자촉진을 위하여 필요한 사업

② 과학기술정보통신부장관은 정보보호기술의 거래 활성화 및 경쟁력 강화, 정보보호산업과 관련된 정보제공 등을 위하여 정보보호산업을 종합적으로 지원할 수 있는 시스템을 구축ㆍ운영할 수 있다. <개정 2017.7.26>

③ 과학기술정보통신부장관은 정보보호기업의 기술시험, 개발 등 사업화를 지원하기 위하여 관련 시설을 구축ㆍ운영할 수 있으며, 정보보호기업에 그 사용을 허가하거나 대여할 수 있다. <개정 2017.7.26>

④ 과학기술정보통신부장관은 정보보호기술의 거래 활성화, 정보보호제품 간 호환성 확보 등을 위하여 대통령령으로 정하는 바에 따라 다음 각 호의 사업을 추진할 수 있다. <개정 2017.7.26>

1. 정보보호기술등에 관한 표준의 제정ㆍ개정ㆍ폐지 및 보급. 다만, 「산업표준화법」에 따른 한국산업표준이 제정되어 있는 경우에는 그 표준에 따른다.

2. 정보보호기술등과 관련된 국내외 표준의 조사ㆍ연구ㆍ개발

3. 국내 정보보호기술등에 관한 표준의 국제표준화를 위한 시책 마련

4. 그 밖에 정보보호기술등의 표준화에 필요한 사업

제15조(전문인력 양성)

① 과학기술정보통신부장관은 정보보호산업의 진흥에 필요한 전문인력 양성을 위하여 관계 중앙행정기관의 장과 협의하여 다음 각 호의 시책을 수립ㆍ시행할 수 있다. <개정 2017.7.26>

1. 전문인력의 수요 실태 파악 및 중ㆍ장기 수급 전망 수립

2. 전문인력 양성기관의 지정, 설립ㆍ지원

3. 전문인력 양성 교육프로그램의 개발 및 보급 지원