신호 영국 사이버 보안·복원력 법안 2026 — MSP·데이터센터·핵심 공급업체까지 규제 확대

요약

영국 사이버 보안·복원력(네트워크·정보시스템) 법안은 2025년 11월 12일 발의돼 2026년 1월 6일 하원 2독회를 초당적 지지로 통과했고, 2026년 2월부터 위원회 심사를 거쳐 2026년 6월 25일 상원에 정식 회부됐으며, 완전한 시행은 2028년에나 이뤄질 전망이다. 이 법안은 '관련 관리형 서비스 제공업체(RMSP)'라는 새 규제 대상 범주를 신설해 약 900~1,100개 관리형 서비스 제공업체를 정보위원회(ICO)의 직접 감독 아래 두게 된다. 의회는 RMSP가 특정 임계 위험 고객 수를 넘어서면 한 산업·하위산업 전체의 기술 시스템을 관리하지 못하도록 하는 조항을 논의했다. 2025년 9월부터 영국에서 공식적으로 국가핵심기반시설로 지정된 데이터센터도 이 법의 규제 범위에 포함되며, 국가 교통사업자에 서비스를 제공하는 클라우드 인프라 업체처럼 서비스 중단이 필수 서비스에 큰 영향을 줄 수 있는 기업을 대상으로 한 '핵심 공급업체' 지정 제도도 신설됐다. 벌금은 최대 1,700만 파운드 또는 전 세계 매출의 4%에 이르며, 법이 완전히 시행되면 규제 대상 기관은 사고 발생 후 24시간 내 신고 의무를 진다. ICO는 이러한 변화가 규제 범위 확대, 규제기관 권한 강화, 사고 신고 가시성 개선을 통해 기존 법을 강화한다고 밝혔다.