침해사고 신고는 언제, 어디로 — 24시간·72시간의 차이

---

🔐 "원인부터 파악하고 신고하겠다"가 과태료가 됩니다

 

침해사고가 나면 가장 먼저 드는 생각이 있습니다.

"무슨 일인지는 알고 신고해야 하지 않나?"

 

그런데 법은 정반대를 요구합니다.

먼저 신고하고, 나머지는 나중에 보완하라고 돼 있습니다.

 

이 차이를 몰라서 기한을 넘긴 사례가 264건입니다.

 

📌 이 글의 성격

공개된 법령과 보도를 정리한 일반 안내입니다.
법률자문이 아니며, 개별 사안의 판단은 전문가와 상의하시기 바랍니다.

 

1. 왜 늦어지나

은폐가 아니었습니다

신고 지연 현황 [01]

 

구분	수치
24시간 내 미신고	264건
과태료 상한	최대 3,000만원
실제 징수로 이어진 비율	23.1%

 

2026년 9월 26일 국회가 KISA로부터 제출받은 자료 기준입니다.

2024년 8월 14일 법 개정 이후 집계된 수치입니다.

 

💭 대부분 숨기려던 게 아니었습니다

지연 사유의 상당수는 이것이었습니다.

"사고 원인과 피해 규모를 확인한 뒤 신고하겠다"

상식적으로는 그럴듯합니다.
그런데 법령은 그렇게 보지 않습니다.

 

법령이 요구하는 건 '완성된 보고'가 아니라 '빠른 최초 신고'입니다.

 

2. 시간이 세 갈래로 갈립니다

어디에 신고하나

법령별 신고 기한과 기관 [02]

 

기한	근거 법령	신고 기관
24시간	정보통신망법	KISA · 과기정통부
72시간	개인정보보호법	개인정보위원회 또는 KISA
24시간	신용정보법·전자금융	금융위원회 또는 금감원

 

⚠️ 하나만 골라 신고하는 게 아닙니다

해당되면 전부 신고해야 합니다.

· 해킹·랜섬웨어·DDoS → 24시간 내 KISA
· 개인정보 유출 확인 → 72시간 내 개인정보위원회
· 금융회사라면 → 금융당국에 별도 보고

 

금융회사의 경우 개인정보·신용정보 유출 신고, 침해사고 신고, 전자금융사고 보고를 동시에 검토해야 합니다.

 

3. 정보통신망법

24시간 · 모든 해킹이 대상

정보통신망법 제48조의3과 시행령 제58조의2에 근거합니다.

 

정보통신서비스 제공자가 침해사고를 알게 된 때부터 24시간 안에
과학기술정보통신부나 KISA에 신고하도록 명시돼 있습니다.

개인정보 유출 유무와 상관없이 모든 해킹 공격이 대상입니다.

 

2024년 8월 14일 개정 전에는 "즉시"라는 문구뿐이었습니다.

그래서 미신고와 지연이 많았습니다. 지금은 24시간으로 명확해졌습니다.

 

▶ 신고 절차

단계	내용
최초신고	인지 후 24시간 이내 · 파악한 내용만 우선 신고
보완신고	추가 확인 사항은 확인 시점부터 24시간 안에 보완
재발방지	과기정통부가 '명령'을 내리고 이행을 점검

 

▶ 미준수 시 제재

위반	과태료
24시간을 넘겨 신고하거나 미신고	3천만원 이하
시정 명령 미이행	3천만원 이하
자료 미제출 또는 거짓 제출	1천만원 이하

 

신고 창구는 보호나라입니다. (krcert.or.kr)

 

4. 개인정보보호법

72시간 · 요건 세 가지

개인정보 신고 요건 [03]

 

개인정보처리자는 유출 등을 알게 된 때부터 72시간 이내에 신고해야 합니다.

아래 세 가지 중 하나에 해당하면 대상입니다.

 

구분	요건
①	1천 명 이상의 개인정보가 유출된 경우
②	민감정보·고유식별정보 유출 (규모 무관)
③	외부 불법 접근으로 유출 (규모 무관)

 

🔑 ③번이 핵심입니다

해킹으로 인한 침해사고는 한 명만 유출돼도 신고 대상입니다.

"몇 명인지 세어보고 판단하자"는 접근이
통하지 않는 이유가 여기 있습니다.

 

세부 내용을 다 파악하지 못했다면 유출 사실과 확인된 내용만 우선 신고하고, 나머지는 확인되는 즉시 신고하면 됩니다.

 

그리고 제34조에 따라 정보주체 전체에게 72시간 이내 통지해야 합니다.

통지 항목은 유출 항목, 시점과 경위, 피해 최소화 방법, 대응 조치, 담당부서 연락처, 법적 권리 행사 방법 등입니다.

 

⭐ 5. 2026년 9월 11일 개정

달라진 두 가지

개정 내용 [04]

 

올해 9월 시행된 개정으로 범위가 넓어졌습니다.

 

📢 '유출 가능성' 통지제 도입

유출이 확정되지 않았더라도 통지해야 하는 경우가 생겼습니다.

· 불법 접근이 있는데 피해자를 특정하기 어려울 때
· 일부 유출이 확인돼 다른 사람도 가능성이 있을 때

→ 72시간 이내 정보주체에게 알리고,
유출이 아닌 것으로 확인되면 정정 통지

 

구분	변화
기존 대상	분실 · 도난 · 유출
추가된 대상	위조 · 변조 · 훼손

 

이 때문에 랜섬웨어로 데이터가 암호화되어 유출 흔적이 없는 경우도 검토 대상이 됩니다.

 

6. 금융권은 하나 더 있습니다

과징금 상한 50억원

은행·증권·보험 등 금융회사와 전자금융업자는 침해사고 발생 시 인지 후 24시간 이내 금융위원회에 보고해야 합니다.

 

구분	내용
보고 기한	인지 후 24시간 이내
침해사고로 정보 유출 시	과징금 상한 50억원
관리자 주의의무 위반	5천만원 이하 과태료

 

📈 더 강해질 수 있습니다

현재 국회에는 징벌적 과징금 도입안이 발의돼 있습니다.

총 매출액의 3% 이하를 과징금으로 부과하는 내용입니다.
통과 여부는 지켜봐야 합니다.

 

7. 사고 직후 체크리스트

순서가 중요합니다

사고 직후 체크리스트 [05]

 

체크 항목

최초 발견 시간 · 발견자 · 보고 경로 기록

24시간 안에 보호나라에 최초 신고

개인정보 유출·위조·변조·훼손 여부와 신고 요건 판단

유출 확정 전이라도 가능성 통지 검토

금융회사라면 금융당국 보고 대상인지 확인

추가 확인 사항은 보완 신고

접근 경로 차단 등 확산 방지 조치와 그 시각 기록

증거는 삭제하지 말고 보존

 

8. 가장 흔한 실수

지우면 더 큰 문제가 됩니다

잘못된 대응과 올바른 대응 [06]

 

잘못된 대응	올바른 대응
시스템 포맷	네트워크 분리 후 디스크 백업
악성코드 삭제	악성코드 격리 보존
로그 미보존	로그 별도 백업 · 가상서버 스냅샷

 

🚨 은닉·폐기는 형사처벌 대상이 될 수 있습니다

사고가 나면 깨끗이 치우고 싶은 충동이 듭니다.

그런데 수습은 치우는 것이 아니라 남기는 것입니다.

증거가 없으면 원인 규명도, 소명도 어려워집니다.

 

9. 핵심

24시간은 조사 시간이 아닙니다

 

24시간·72시간은 내부 조사를 하라고 준 유예가 아닙니다.

피해 확산을 막고, 정부 지원을 빨리 받도록 하려는 시간입니다.

 

이 관점의 차이가 모든 걸 가릅니다.

 

잘못된 관점	올바른 관점
"24시간 안에 파악해서 신고"	"24시간 안에 일단 신고"
완성된 보고를 목표로	보완 신고를 전제로

 

사고가 난 뒤에 법조문을 찾으면 이미 늦습니다.

 

미리 할 일	내용
판단 기준 문서화	무엇이 신고 대상인지 미리 정리
보고 체계 수립	누가 언제 누구에게 보고할지
모의 훈련	실제로 돌려보고 확인

 

한 줄 정리

 

먼저 신고하고, 나머지는 보완하면 됩니다.

· 해킹이면 24시간 내 KISA
· 개인정보가 섞이면 72시간 내 개인정보위원회
· 금융회사면 24시간 내 금융당국

그리고 증거는 절대 지우지 마십시오.

 

"확인하고 신고하자"는 판단이 가장 비싼 선택이 될 수 있습니다.

264건이 그렇게 기한을 넘겼습니다.

 

※ 이 글은 2026년 10월 기준 법령과 공개 자료를 정리한 일반 안내이며 법률자문이 아닙니다. 법령은 개정될 수 있고, 개별 사안의 신고 대상 여부와 절차는 구체적 사실관계에 따라 달라집니다. 정확한 내용은 KISA 보호나라, 개인정보보호위원회, 금융감독원 등 소관 기관의 공식 안내를 확인하시기 바랍니다.