브라질 사이버보안 초안, 글로벌 규제와 비교해 공급망·랜섬웨어 대응 교훈 모색

브라질 초안 사이버보안법과 미국·영국·호주·칠레 규제 비교로 공급망·랜섬웨어 대응 교훈 부각

• 브라질 국가사이버보안위원회는 2025년 12월 ‘일반 사이버보안법’ 초안을 확정해 Casa Civil에 제출했고, 상원 법안 4,752/2025는 국가 디지털 보안·회복력 프로그램을 목표로 입법 절차를 시작했다.
• 브라질 초안은 2024년 제정된 칠레 법 21.663 및 유럽 NIS2 지침과 구조가 유사하며, 통신부문에서 이미 이사회 승인 사이버보안 정책과 지정 임원을 요구하는 기존 거버넌스를 전체 디지털 경제로 확장하려 한다.
• 미국·영국·호주·칠레는 SolarWinds와 Kaseya 공급망 사고 이후 연방 조달, 국방부 CMMC, 관리형 서비스 제공자 규제 등으로 가장 약한 공급업체 고리를 강화했고, 브라질도 이와 유사한 체계 도입을 모색한다.
• 브라질 논의에서 상대적으로 덜 다뤄진 요소로는 정부 조달을 통한 보안 기준 상향, 선의의 사고 신고자 보호, 랜섬웨어 별도 규제, 신규 의무에 대한 비용 평가와 재원 확보 규칙 등이 있으며 이는 향후 입법 보완 과제로 부상한다.
• 미국은 2025년 11월 국방부 조달에 CMMC를 적용하고 중요 인프라 사고 72시간·랜섬 지급 24시간 신고를 요구하며, 호주는 연방기관에 Essential Eight를 의무화하고 랜섬 지급 72시간 내 신고와 지급 정보 보호 조치를 병행한다.
• 이사회·경영진의 사이버보안 책임 상향, 공공 조달을 통한 공급망 기준 상향, 랜섬웨어 별도 신고 체계는 한국의 중요 인프라 보호·국가조달 정책 설계와 직결되며, 향후 국내 일반법·부문별 규정 정비 시 브라질·칠레 모델을 비교 참고할 필요가 있다.

공급망·랜섬웨어·조달을 축으로 한 브라질식 사이버보안 일반법 논의는 한국도 이사회 책임, 랜섬 신고 체계, 공공조달 보안 기준을 선제적으로 재설계할 기회가 된다.

주요 용어: NIS2 지침(유럽연합의 네트워크·정보보안 강화 지침), Essential Eight(호주 정부가 정의한 8가지 핵심 사이버보안 통제 세트)

출처: telefonica.com