클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 일부개정법률안(대안)(과학기술정보방송통신위원장)

국회에서 의결된 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 일부개정법률을 이에 공포한다. 대통령 문재인 (인) 2022년 1월 11일 국무총리 김부겸 국무위원 과학기술정보통신부 장관 임혜숙 ⊙법률 제18738호 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 일부개정법률 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 일부를 다음과 같이 개정한다. 제3조제1항 중 "클라우드컴퓨팅의 발전 및 이용 촉진"을 "클라우드컴퓨팅의 발전 및 이용 촉진, 클라우드컴퓨팅서비스 이용 활성화"로 한다. 제20조의 제목 중 "공공기관"을 "국가기관등"으로 하고, 같은 조 제목 외의 부분을 제1항으로 하며, 같은 조 제1항(종전의 제목 외의 부분) 중 "정부는 공공기관이"를 "국가기관등은"으로 하고, 같은 조에 제2항부터 제4항까지를 각각 다음과 같이 신설한다. ② 국가기관등은 제1항에 따른 클라우드컴퓨팅서비스 이용에 있어서 제23조의2제1항에 따른 보안인증을 받은 클라우드컴퓨팅서비스를 우선적으로 고려하여야 한다. ③ 과학기술정보통신부장관은 국가기관등이 제1항에 따른 클라우드컴퓨팅서비스를 이용할 수 있도록 다음 각 호의 어느 하나에 해당하는 서비스(이하 "디지털서비스"라 한다)를 선정할 수 있으며, 선정된 디지털서비스를 등록 및 관리하는 시스템(이하 "이용지원시스템"이라 한다)을 구축하여 운영할 수 있다. 1. 클라우드컴퓨팅서비스 2. 클라우드컴퓨팅서비스를 지원하는 서비스 3. 지능정보기술 등 다른 기술ㆍ서비스와 클라우드컴퓨팅기술을 융합한 서비스 ④ 그 밖에 디지털서비스의 선정 및 이용지원시스템의 구축ㆍ운영에 필요한 사항은 대통령령으로 정한다. 제23조제2항 중 "관리적ㆍ물리적ㆍ기술적 보호조치를 포함한다"를 "관리적ㆍ물리적ㆍ기술적 보호조치를 포함한다. 이하 "보안인증기준"이라 한다"로 한다. 제23조의2부터 제23조의4까지를 각각 다음과 같이 신설한다. 제23조의2(클라우드컴퓨팅서비스의 보안인증) ① 과학기술정보통신부장관은 정보보호 수준의 향상 및 보장을 위하여 보안인증기준에 적합한 클라우드컴퓨팅서비스에 대하여 대통령령으로 정하는 바에 따라 인증(이하 "보안인증"이라 한다)을 할 수 있다. ② 보안인증의 유효기간은 인증 서비스 등을 고려하여 대통령령으로 정하는 5년 내의 범위로 하고, 보안인증의 유효기간을 연장받으려는 자는 대통령령으로 정하는 바에 따라 유효기간의 갱신을 신청하여야 한다. ③ 클라우드컴퓨팅서비스 제공자는 보안인증을 받은 클라우드컴퓨팅서비스에 대하여 보안인증을 표시할 수 있다. ④ 누구든지 보안인증을 받지 아니한 클라우드컴퓨팅서비스에 대하여 보안인증 표시 또는 이와 유사한 표시를 하여서는 아니 된다. ⑤ 과학기술정보통신부장관은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원 또는 대통령령에 따라 과학기술정보통신부장관이 지정한 기관(이하 "인증기관"이라 한다)으로 하여금 보안인증에 관한 업무로서 다음 각 호의 업무를 수행하게 할 수 있다. 1. 보안인증기준에 적합한지 여부를 확인하기 위한 평가(이하 "인증평가"라 한다) 2. 인증평가 결과의 심의 3. 보안인증서의 발급ㆍ관리 4. 보안인증의 사후관리 5. 보안인증평가원의 양성 및 자격관리 6. 그 밖에 보안인증에 관한 업무 ⑥ 과학기술정보통신부장관은 보안인증에 관한 업무를 효율적으로 수행하기 위하여 필요한 경우 인증평가 업무를 수행하는 기관(이하 "평가기관"이라 한다)을 지정할 수 있다. ⑦ 평가기관은 보안인증을 받으려는 자에 대하여 대통령령으로 정하는 바에 따라 수수료를 받을 수 있다. ⑧ 제1항에 따른 보안인증의 대상, 제2항에 따른 유효기간의 연장, 제5항 및 제6항에 따른 인증기관 및 평가기관 지정의 기준ㆍ절차ㆍ유효기간 등에 필요한 사항은 대통령령으로 정한다. 제23조의3(보안인증의 취소) ① 과학기술정보통신부장관은 보안인증을 받은 클라우드컴퓨팅서비스가 다음 각 호의 어느 하나에 해당하는 때에는 그 보안인증을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 그 보안인증을 취소하여야 한다. 1. 거짓이나 그 밖의 부정한 방법으로 보안인증이 이루어진 경우 2. 보안인증기준에 적합하지 아니하게 된 경우 ② 과학기술정보통신부장관은 제1항에 따라 보안인증을 취소하려는 경우에는 청문을 하여야 한다. 제23조의4(인증기관 및 평가기관의 지정취소 등) ① 과학기술정보통신부장관은 제23조의2제5항 또는 같은 조 제6항에 따라 인증기관 또는 평가기관으로 지정받은 법인 또는 단체가 다음 각 호의 어느 하나에 해당하면 그 지정을 취소하거나 1년 이내의 기간을 정하여 해당 업무의 전부 또는 일부의 정지를 명할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 그 지정을 취소하여야 한다. 1. 거짓이나 그 밖의 부정한 방법으로 인증기관 또는 평가기관의 지정을 받은 경우 2. 업무정지 기간 중에 보안인증 또는 인증평가를 한 경우 3. 정당한 사유 없이 보안인증 또는 인증평가를 하지 아니한 경우 4. 제23조의2제1항에 따른 보안인증기준을 위반하여 보안인증 또는 인증평가를 한 경우 5. 제23조의2제8항에 따른 지정기준에 적합하지 아니하게 된 경우 ② 제1항에 따른 지정취소 및 업무정지 등에 필요한 사항은 대통령령으로 정한다. 제37조제1항제1호부터 제4호까지를 각각 제2호부터 제5호까지로 하고, 같은 항에 제1호를 다음과 같이 신설한다. 1. 제23조의2제4항을 위반하여 보안인증 표시 또는 이와 유사한 표시를 한 자 부칙 이 법은 공포 후 1년이 경과한 날부터 시행한다.