금융위원회 고시 「전자금융감독규정」 제정·개정사 종합 정리 (2000 「금융기관전자금융업무감독규정」 제정 ~ 2026.10)

면책 — 이 문서는 일반 정보 정리이며 법률 자문(legal advice)이 아닙니다. 구체적인 사안의 판단·대응은 반드시 변호사 등 전문가의 자문을 받으십시오. 법령·고시·판례·처분은 이 문서 작성 뒤에도 바뀔 수 있습니다.

이 규정은 법률이 아닙니다. 「전자금융감독규정」은 국회가 만든 법률이 아니라 금융위원회가 정한 행정규칙(금융위원회 고시) 입니다. 「전자금융거래법」(법률)과 같은 법 시행령(대통령령)이 금융위원회에 맡긴 사항과 그 시행에 필요한 사항을 정합니다(현행 제1조). 그 아래에 금융감독원장이 정하는 「전자금융감독규정시행세칙」(금융감독원 세칙) 이 있습니다. 효력 위계는 법률 > 시행령 > 감독규정(고시) > 시행세칙 > 가이드라인·해설서 입니다. [2][93]1차-행정규칙

기준일자: 2026-10-21. 이날 국가법령정보센터(law.go.kr) 행정규칙 연혁 목록을 새로 받아 다시 센 결과, 「전자금융감독규정」은 26개 판(제정 1·전부개정 2·일부개정 21·타법개정 2) 이고, 현행 판은 금융위원회고시 제2026-29호(2026.7.15 발령·시행, 일부개정) 입니다. 고시됐지만 아직 시행되지 않은 부분은 없습니다 — 제2026-29호 부칙의 단계 시행분(제56조의8·제56조의9, 2026.10.1)과 제2025-4호 부칙의 단계 시행분(2025.8.5·2026.2.5)이 모두 지났습니다. 다만 금융위원회가 공고 제2026-350호로 예고한 감독규정 개정안(예고기간 2026.6.19~7.29, PG 정산자금 외부관리 등)은 2026-10-21 현재 고시되지 않았고, 금융위원회는 "법률 시행일인 '26.12.17일부터 시행할 예정"이라고 밝혔습니다(11장). 현행 시행세칙은 2026.4.20 일부개정판(SaaS 망분리 예외 신설)입니다. [1][2][3][29][64][92]

관련 법령의 기준 판(2026-10-21) — 「전자금융거래법」 법률 제22048호(2026.9.29 공포, 2026.10.2 시행), 공포됐으나 본체가 시행 전인 판 = 법률 제21205호(2025.12.16 공포, 본체 2026.12.17 시행 예정, 일부 조문은 2025.12.16 시행) / 시행령 = 대통령령 제36281호(2026.4.28 시행) / 2026.12.17 시행을 목표로 한 시행령·감독규정 개정안은 입법예고(2026.6.19~7.29) 뒤 미공포·미고시. [92][91]

주요 출처 — ① law.go.kr 행정규칙 원문: 「제정·개정이유」·「제정·개정문」·판별 본문·부칙·연혁 목록(감독규정 admRulId 21828, 현행 admRulSeq 2100000282622 / 세칙 현행 admRulSeq 2200000108629) ② 금융위원회(fsc.go.kr) 보도자료·「입법예고/규정변경예고」 공고 원문 ③ 금융감독원(fss.or.kr) 보도자료·제재내용 공개안 ④ law.go.kr 대법원 판결·헌법재판소 결정 원문 ⑤ 국회 검토보고서 ⑥ RISS 학술논문 초록·국회입법조사처(NARS) 상세페이지. 원자료는 같은 프로젝트 refs/ 폴더의 2026-10-21자 수집본(2026-10-21_감독규정_연혁_lawgokr.md, _전금법_배경_사고_판례.md, _전금법_문헌_연구논문.md, _전금법_집행_영향분야.md, 참고 _전금법_연혁_lawgokr.md)과 교차검증 기록(2026-10-21_전금법_교차검증.md), 원문 사본 폴더(refs/2026-10-21_전금법_raw/)입니다.

작성 원칙 — 위 수집본에 들어 있는 사실만 적었습니다(기억에 의존한 추가 사실 없음). 수집본끼리 값이 다르면 교차검증 기록의 정정 18건(E1~E18)과 "5. 문서 작성 지침" 을 먼저 따랐고, 끝내 결론이 안 난 미해결 항목(예: 2006 전부개정 시행일, 2001~2006 개정 유무)은 두 값을 모두 적고 이유를 밝혔습니다. 사건과 규정 개정의 인과관계는 교차검증 지침(5-2)의 3단계로 구분했습니다 — (가) 개정이유가 사건 유형을 직접 언급 / (나) 개정이유엔 사건명이 없고 정부(또는 국회) 문서가 특정 사건과 직접 연결 / (다) 시기만 맞음(연결하지 않거나 해석). law.go.kr에 개정이유가 없어 앞 판 본문과 글자 단위로 비교(diff)해 찾은 변경은 해석 으로 표시했습니다. 판 번호는 law.go.kr 목록 순번이 아니라 고시번호로 부릅니다. 수치는 원문 표기 그대로 적었습니다. [92]

같이 보면 좋은 문서 — docs/전자금융거래법_개정사_정리.md(이 규정의 근거 법률. 법률 조문이 바뀐 사건 — 제정 전사, CISO 지정 의무, 2014 과징금·형벌, 선불·PG 입법, 징벌적 과징금 계류 법안 — 은 그 문서가 본문으로 다루고 여기서는 3~5줄 요약 + 상호참조만 둡니다. 이하 "법 문서") / docs/신용정보법_개정사_정리.md(2014 카드3사 유출의 규모·대법원 위자료, 2026 롯데카드 제재) / docs/개인정보보호법_개정사_정리.md / docs/정보통신망법_개정사_정리.md.

0-1. 범례 — 출처 등급 표시

• 판 번호 부르는 법(한 번만 밝힘): 수집 노트 가운데 집행 노트는 law.go.kr 목록을 최신순 번호로, 감독규정 노트는 오래된순 번호로 매겼습니다. 이 문서는 혼동을 피하려고 고시번호(예: 제2013-39호) 로만 부르고, 1-1 표의 '#'는 오래된순 일련번호입니다. [92]
• 발령 형식 표기: law.go.kr 표기상 2000~2008.1 판은 "금융감독위원회공고", 2008.4.7 제2008-8호부터 "금융위원회고시"입니다(2026-10-21 재수신 목록 동일). 그래서 2000년 제정판을 "금융감독위원회 고시"라고 쓰지 않습니다. [1][92]정정

0-2. 처음 읽는 분을 위한 용어 풀이

1. 한눈에 보기

1-1. 전체 연혁표 (감독규정 26개 판)

law.go.kr 연혁 목록(2026-10-21 재수신)은 26개 판이며, 구분 집계는 제정 1(2000) · 전부개정 2(2006, 2011) · 일부개정 21 · 타법개정 2(제2009-50호, 제2013-44호) = 26 입니다. 최신 판은 "금융위원회고시 제2026-29호, 2026. 7. 15., 일부개정"이고 그 뒤 판은 없습니다. [1][92]1차-행정규칙 26개 판 가운데 10개 판은 law.go.kr에 제정·개정이유와 개정문이 비어 있습니다(2000·2006·2007(2개)·2008(3개)·2010·2012·2015-18). 이 판들은 금융위원회 보도자료·규정변경예고 공고로 보완하거나, 그것도 없으면 앞 판 본문과 비교(diff)했습니다. [93]

• 정렬: 발령일 순. 시행일은 부칙 원문 기준(단계 시행은 부칙에서 찾아 넣음).
• '이유' 열: ○ = law.go.kr 제정·개정이유 있음 / △ = 개정문만 있음 / × = law.go.kr에 이유·개정문 없음(보완 출처 표시).
• '예고' 열: 금융위원회 「입법예고/규정변경예고」 게시판의 대응 공고(대응 짝짓기는 해석 — 공고 화면에 고시번호가 없음, 3-26 참조).

보충 설명

• 2006 전부개정 시행일 [충돌·미해결]: law.go.kr 머리글은 "[시행 2006. 12. 28.]", 부칙은 "제1조(시행일) 이 규정은 공고한 날부터 시행한다."입니다. 그런데 금감위·금감원 보도자료(2007.1.4)는 "전자금융거래법 및 동법 시행령이 금년 1월 1일부터 시행됨에 따라 ◦ 기존의 「금융기관 전자금융업무 감독규정 및 시행세칙」을 전면 개정한「전자금융감독규정 및 동 규정 시행세칙」도 2007.1.1부터 시행에 들어갔다"고 적었습니다. 위임 근거인 법·시행령이 2007.1.1 시행이므로 실질 적용은 2007.1.1일 가능성이 있으나 해석, 당시 관보 공고문 원문을 열람하지 못했고 두 1차 문서가 서로를 설명하지 않아 두 값을 함께 적습니다. [5][33][92]
• 2012-26 시행일(충돌 아님): 부칙 "이 규정은 고시한 날부터 시행한다. 다만, 제6조, 제44조, 제45조 및 제48조의 개정규정은 2012년 11월 8일부터 시행한다." → 판 전체 2012.10.31, 일부 조문 2012.11.8. 금융위 보도 "'12.11.8(목)부터 시행될 예정"은 일부 조문(자동이체 동의 등) 기준입니다. [14][38][92]
• 2016-37 부칙 문구(효력 차이 없음): 개정문 쪽 부칙은 "이 규정은 고시한 날부터 시행한다", 현행 본문에 수록된 부칙은 "이 고시는 공포한 날부터 시행한다"로 문구만 다르고 단서(제5조 6개월 후)는 같습니다. [22][2][92]
• 2018-36 의결일과 고시일: 금융위 정례회의 의결은 2018.12.5(보도 게시 2018.12.7), law.go.kr 발령일은 2018.12.21, 시행은 2019.1.1입니다. 의결과 고시 날짜 차이로 충돌이 아닙니다. 학술 초록(문헌 H2)의 "2019년 1월 … 개정"은 시행 시점을 가리키는 초록 표현입니다. [23][49][92]정정
• 2001.4.2 ~ 2006.12.28 사이 개정 유무 [미해결]: law.go.kr 연혁 목록에는 이 사이 판이 하나도 없습니다(2026-10-21 재수신도 같음). 교차검증 때 금융위원회 보도자료 게시판을 제목 검색('전자금융' 103건 중 2000~2006년 게시 35건, '전자금융업무 감독규정' 2건)했으나 개정 보도는 없었고, 2000.12.23 「…감독규정 제정」과 2001.11.1 「"금융기관 전자금융업무 감독규정 해설" 발간」만 나왔습니다. 단서로 2003.5.27 「장애인등에 대한 전자금융거래 안전성 기준 예외적용 허용」이 있으나 감독규정·세칙 개정인지 행정지도인지는 확인하지 못했습니다. 제목 검색은 본문·첨부(HWP 3.0 형식, 텍스트 추출 못 함)를 보지 못하고, 금감원 법규정보 구판 목록과도 대조하지 못했으므로 "개정이 없었다"고 단정하지 않고 "law.go.kr 연혁 목록과 금융위 보도자료 제목 검색(2026-10-21)에서 확인된 개정 없음"으로만 적습니다. [1][81][92]
• 제정판 의결·보도일과 공고일: 금융위 게시판 「금융기관 전자금융업무 감독규정 제정」은 2000-12-23 게시(첨부 파일명 "12.22(12.23조감독조전자금융업무감독규정).hwp" → 12.22 의결·12.23 조간 보도로 보임 해석), law.go.kr 발령은 2000.12.29·시행 2001.4.2입니다. 의결·보도일과 공고일의 차이로 충돌이 아닙니다. [81][4][92]
• 현행 판의 경과 특례(미시행 조문 아님): 제2026-29호 부칙 제3조는 "이 규정 시행일부터 1년이 되는 날까지는 계약기간중 같은 호 각 목의 사항을 반기별로 점검하여야 한다"고 하고, 금융위 보도 87339는 이 기간을 "('26.10.1~'27.9.30일)"로 적었습니다. [29][66]

1-2. 시대 구분 (5기)

시대 구분은 교차검증 기록이 규정 문서용으로 제안한 5기 구분(5-4 (나))을 그대로 따랐습니다 해석[92]. 기준은 ① 규정의 위임 근거(법률 제정 전·후) ② 규제 방식(세칙 위주 → 감독규정 규칙 강화 → 기술중립·완화 → 원칙중심) ③ 정부 문서가 직접 밝힌 계기 사건입니다. 학계에서도 망분리 규정은 "2010년대 초반 대형 해킹 사고의 경험을 배경으로 형성된 '네트워크 단절' 중심"이라는 평가(문헌 G6)가 있고, 2024 로드맵 이후 금융당국의 강조점을 "원칙중심-자율보안-책임강화"로 요약한 초록(문헌 G5)이 있습니다. 학술

2. 규정의 법적 성격과 제정 이전

2-1. 행정규칙(고시)의 위계와 이 규정의 자리

• 위계: 법률(「전자금융거래법」, 국회 의결) > 시행령(대통령령, 국무회의 심의) > 「전자금융감독규정」(금융위원회 고시 = 행정규칙) > 「전자금융감독규정시행세칙」(금융감독원 세칙) > 가이드라인·해설서·행정지도. [93][96]1차-행정규칙
• 현행 제1조(목적) 원문: "이 규정은 「전자금융거래법」(이하 "법"이라 한다) 및 동법 시행령(이하 "시행령"이라 한다)에서 금융위원회에 위임한 사항과 그 시행에 필요한 사항 및 다른 법령에 따라 금융감독원의 검사를 받는 기관의 정보기술부문 안전성 확보 등을 위하여 필요한 사항을 규정함을 목적으로 한다." [2]1차-행정규칙
• 2006 전부개정판 제1조: 같은 구조로 "…동법 시행령(이하 "시행령"이라 한다)에서 금융감독위원회(이하 "금감위"라 한다)에 위임한 사항과 그 시행에 필요한 사항 및 다른 법령에 따라 금융감독원의 …"라고 적어, 2006년부터 법률 위임형 규정이 됐습니다. [5]1차-행정규칙
• 2000 제정판 제1조(대비): "이 규정은 금융기관이 영위하는 전자금융업무와 그 기반이 되는 정보기술부문의 안전성 및 건전성 확보, 전자금융거래 이용자의 보호 등을 위하여 필요한 사항을 정함을 목적으로 한다." — 위임 법률의 이름이 없습니다(전자금융거래법은 아직 없었음). [4]1차-행정규칙
• 소관 표기(현행 머리글): "금융위원회(디지털금융총괄과-전자금융업 관리감독)", "금융위원회(금융안전과-전자금융 보안)". 세칙 머리글은 "금융감독원(디지털금융총괄국)". [2][3][96]

2-2. 법률의 위임 근거

• 법률 근거가 뒤늦게 생긴 사례(2013): 법률 제11814호(2013.5.22 공포, 2013.11.23 시행) 개정이유는 "현금자동지급기 등 전자적 장치로부터의 현금인출 최고한도 제한근거 신설(안 제23조제2항 신설)"을 설명하면서 "법령에 근거 없이 전자금융감독규정에 따라 제한하고 있는 현금카드 등을 이용한 현금인출 최고한도 제한근거를 규정함"이라고 적었습니다. 즉 그 전까지는 감독규정이 법률 근거 없이 제한하고 있었다는 것을 국회를 거친 개정이유가 직접 인정한 사례입니다. [91]1차-법령
• 망분리는 법률에 없음: 법률 20개 판·시행령 47개 판의 개정이유·개정문 원문에서 "망분리" 검색 결과는 0건이고, 현행 법률·시행령 본문에도 0건입니다. 망분리 의무는 전적으로 감독규정(고시) 조문입니다. [91][92]1차-법령

2-3. 제정 이전 — 2000 「금융기관전자금융업무감독규정」과 "법률근거 불명확" 지적

이 절은 규정 문서 본문입니다(교차검증 분담표: 「금융기관전자금융업무감독규정」 제정(2000)·세칙(2001) = 규정 문서 본문). 법률 제정 과정(2002 입법예고, 2003 정부안 폐기, 2005 재제출, 국회 심사)은 → 「전자금융거래법 개정사」 2장(제정 이전의 배경) 참조.

• 2000.12.29 제정 1차-행정규칙: 금융감독위원회공고 제2000-117호, 시행 2001.4.2. 구성은 제1장 총칙(제1조~제3조), 제2장 전자금융업무 및 정보기술부문의 안전성 및 건전성 확보(제4조 안전대책기준, 제5조 정보기술부문 실태평가), 제3장 전자금융거래 이용자의 보호(제6조~제9조), 제4장 보칙(제10조 정보기술부문 사고보고) — 10개 조. 적용 대상은 '금융기관'(제3조 적용대상 금융기관). [4]
• 제4조제1항 "금융기관은 다음 각호의 사항에 관하여 전자금융업무 및 그 기반이 되는 정보기술부문(이하 "전자금융업무등"이라 한다)에 대한 자체 안전대책기준을 설정·운용하여야 한다." / 제3항 "…보안성의 확보가 필수적인 경우로서 감독원장이 정하는 경우에는 감독원장에게 보안성심의를 요청하여야 한다." [4]
• 제5조제3항 "…실태평가는 1등급(우수), 2등급(양호), 3등급(보통), 4등급(취약), 5등급(위험)의 5단계 등급으로 구분한다." [4]
• 제10조 "금융기관은 다음 각호의 정보기술부문과 관련한 중대한 사고가 발생한 경우에는 지체없이 감독원장에게 보고하여야 한다. 1. 전산기기 또는 통신회선 등의 장애로 30분 이상 전산업무가 중단된 경우 … 3. 해킹, 바이러스 등에 의해 중요서버의 가동이 중단되었을 경우 4. 인가받지 않은 사용자가 방화벽 등을 통과하여 내부망에 침입한 경우 …" [4]
• 제정이유는 law.go.kr에 없습니다 → 미확인. 금융위 게시판 「금융기관 전자금융업무 감독규정 제정」(2000-12-23 게시)의 첨부는 HWP 3.0 형식이라 텍스트를 추출하지 못했습니다. [4][81]
• 세칙 제정(2001.3.30 발령, 2001.4.2 시행) 1차-행정규칙: 제명은 「금융기관전자금융업무감독규정시행세칙」(본문 머리글). 외부통신망 접속 시 해킹 침해 방지대책, 보안성심의 대상, 그리고 "4. 원격관리의 금지. 다만, 원격관리가 불가피한 경우에는 사용시간, 접속자, 비밀번호 변경, 수행업무내용 기록 등에 대한 원격관리 절차를 수립·운용한다."를 정했습니다. [30]
• 2001.11.1 해설 발간: 금융위 게시판 「"금융기관 전자금융업무 감독규정 해설" 발간」(2001-11-01). 본문(HWP) 미추출. [81]
• 국회 검토보고서의 "법률근거 불명확" 지적 1차-국회: 재정경제위원회 수석전문위원 현성수의 「전자금융거래법안(정부 제출) 검토보고」(2005.2, 의안번호 171270)는 현행 법령체계 표에서 금감위(금감원) 소관 "금융기관 전자금융업무 감독규정"을 "기존 금융관련법률의 포괄적 감독위임을 근거로 시스템 안전성 확보, 검사대상, 기록보존의무 등에 대해 규율"한다고 하면서, "법률이 아닌 규정으로 감독위임의 법률근거가 불명확하고, 감독대상이 금융기관으로 한정되어 비금융기관 전자금융업자에 대한 감독이 곤란"하다고 정리했습니다(추출본 표에서 이 행의 비고 칸이 "공정위 소관" 뒤에 붙어 보이나 표 배열이 깨진 것으로 보이며, 소관은 "금감위(금감원)"로 읽힘 해석). [84]
• 그 뒤의 변화(요약): 「전자금융거래법」이 2006.4.28 공포·2007.1.1 시행되면서 법 제21조제2항이 "금융감독위원회가 정하는 기준"을 명시해 위임 근거가 생겼고, 2006.12.28 전부개정판은 적용 대상을 "금융기관 및 전자금융업자"로 넓혔습니다(3-2). 법률 제정 경위 자체는 → 「전자금융거래법 개정사」 2장·3장(제정 판) 참조. [5][91]해석

3. 개정별 상세

각 판은 배경 → 이전과 달라진 점(표) → 시행일 → 영향받는 대상 → 학계 평가 순서입니다. 제정 1·전부개정 2·일부개정 21 = 24개 판은 개별 절(3-1~3-24), 타법개정 2건은 일람(3-25), 규정변경예고 20건과 고시의 대조는 3-26 입니다. 개정이유는 law.go.kr 원문을 그대로 옮겼고(줄바꿈만 정리), 이유가 없는 판은 금융위원회 보도자료·공고로 보완하거나 앞 판 본문과 비교(diff)한 결과를 [해석:diff]로 적었습니다. '영향받는 대상'은 조문 문언에서 읽은 것이며, 문언이 직접 말하지 않는 부분은 해석입니다. '학계 평가'는 문헌 수집본의 초록·목차 수준이며(본문 미열람), 해당 판을 다룬 문헌이 없으면 그렇게 적었습니다.

3-1. 제정 — 금융감독위원회공고 제2000-117호 (2000.12.29 발령 / 2001.4.2 시행) ★「금융기관전자금융업무감독규정」

• 배경: 제정이유는 law.go.kr에 없습니다 → 미확인. 국회 검토보고서(2005.2)는 이 규정이 "기존 금융관련법률의 포괄적 감독위임을 근거로" 규율했다고 정리했습니다(2-3). 제정 계기가 된 특정 사건은 문서로 확인되지 않습니다. [4][84]
• 이전과 달라진 점 (새로 만든 판이므로 '이전'은 없음 — 주요 조문 원문)

• 시행일: 2001.4.2 — 부칙 "이 규정은 2001년 4월 2일부터 시행한다." (금융위 게시판 제정 보도 2000.12.23, 의결 12.22로 보임 해석) [4][81]
• 영향받는 대상: 금융기관(제3조 적용대상 금융기관). 비금융기관 전자금융업자는 대상이 아니었습니다(국회 검토보고서 "감독대상이 금융기관으로 한정") [4][84]
• 학계 평가: 제정법·감독규정 초기 체제에 대해 문헌 A11(이재삼 2008)은 감독이 "특정한 기술을 지지하는 감독정책이 아니라, 전자금융의 특성으로 인한 변화를 반영하는 감독정책 및 기준을 수립하는 것이 바람직"하고 "정부의 통제의 관행을 지양"해야 한다고 했습니다(초록, 이 판만을 지목한 것은 아님 해석). 문헌 A10(손진화 2008)은 개선 과제로 "(d) 전자금융업무 감독 규정에 관한 보완"을 들었습니다. 학술

3-2. 전부개정 — 금융감독위원회공고 제2006-88호 (2006.12.28 발령 / 시행일 [충돌]: 2006.12.28 · 2007.1.1) ★제명 「전자금융감독규정」·법률 위임형으로

• 배경: 「전자금융거래법」(법률 제7929호, 2006.4.28 공포, 2007.1.1 시행) 시행 대비. law.go.kr 이유는 없고, 금감위·금감원 보도자료(2007.1.4) 원문: "새로 시행되는 「전자금융감독규정」에서는 ◦ 인터넷 뱅킹이나 텔레뱅킹 등 지속적으로 증가하고 있는 전자금융거래와 관련하여 금융회사들의 안전성 확보 및 이용자 보호에 관한 사항, ◦ 전자화폐 및 선불전자지급수단 발행업 등 전자금융업의 허가와 등록 및 영업에 관한 사항 등 ◦ 전자금융거래와 전자금융업의 감독에 관한 제반사항을 규정하고 있음" 1차-정부. 법률 제정 쪽 내용은 → 「전자금융거래법 개정사」 3장(제정 판) 참조. [5][33]
• 이전과 달라진 점

• 시행일 [충돌·미해결]: law.go.kr 부칙 "제1조(시행일) 이 규정은 공고한 날부터 시행한다."(=2006.12.28) / 금감위·금감원 보도(2007.1.4) "2007.1.1부터 시행에 들어갔다". 두 값을 함께 적습니다(1-1 보충 설명). [5][33][92]
• 영향받는 대상: 금융기관과 새로 법률상 지위를 얻은 전자금융업자(전자화폐·선불·PG 등). 같은 때 세칙도 전부개정돼 IT 세부 보안기준(OTP 의무 제29조, 공인인증서 예외 제31조 등)이 세칙에 놓였습니다(5장). [5][30]
• 학계 평가: 공인인증서 의무 조항에 대해 문헌 C2(김기창 2010)는 "모든 전자금융거래에 반드시 공인인증서를 사용하도록 규정된 현행 전자금융 감독규정은 보안기술의 경쟁과 개발을 저해"한다고 비판했습니다(3-9·4-4). 그 밖에 이 판 자체를 다룬 문헌은 수집본에 없습니다. 학술

3-3. 일부개정 — 금융감독위원회공고 제2007-42호 (2007.6.15 발령·시행) ★책임이행보험·부채비율

• 배경: law.go.kr 이유·개정문 없음, 대응 보도·공고 미발견 → 개정 취지 미확인. [6]
• 이전과 달라진 점 [해석:diff — 다음 판 본문 "<개정 2007.6.15>" 표시로 재확인]

• 시행일: 2007.6.15 — 부칙 "이 규정은 공고한 날부터 시행한다." [6]
• 영향받는 대상: 책임이행보험 가입 대상 금융기관(신용카드업자 등), 정보기술부문을 공동 이용하는 금융기관, 허가·등록 신청 시 부채비율을 산정하는 신청인 해석
• 학계 평가: 이 판을 직접 다룬 문헌은 수집본에 없음. 다만 문헌 B25(이한준·김인석 2016)는 "전자금융거래법 제정('06년) 당시 지정된 전자금융사고 책임이행 보험 가입 최저한도"가 "현실적으로 적정하다고 보기 어렵다"고 했습니다(책임이행보험 기준 일반에 대한 평가, 이후 2025.2.5 한도 상향과 연결됨 — 3-22). 학술

3-4. 일부개정 — 금융감독위원회공고 제2007-120호 (2007.9.13 발령·시행) ★개정 내용 미확인

• 배경: law.go.kr 이유·개정문 없음. [7]
• 이전과 달라진 점: 앞 판(제2007-42호) 본문과 비교한 결과 조문 차이 없음(부칙 줄만 다름). law.go.kr 본문에 별표 목록도 표시되지 않아, 실제 개정 내용(별표·서식 등일 가능성)은 미확인 입니다. [7][93]

• 시행일: 2007.9.13 (부칙 "공고한 날") [7]
• 영향받는 대상: 미확인
• 학계 평가: 해당 문헌 없음.

3-5. 일부개정 — 금융감독위원회공고 제2008-4호 (2008.1.23 발령·시행 / 별표1 2008.4.1) ★약관 변경 통지

• 배경: law.go.kr 이유 없음, 대응 보도 미발견 → 취지 미확인. [8]
• 이전과 달라진 점 [해석:diff — 본문 "<개정 2008.1.23>" 표시로 재확인]

• 시행일: 2008.1.23 / 별표1은 2008.4.1 — 부칙 "이 규정은 공고한 날부터 시행한다. 다만, 별표1의 개정규정은 2008년 4월 1일부터 시행한다." [8]
• 영향받는 대상: 약관을 바꾸는 금융기관·전자금융업자, 이용자 해석
• 학계 평가: 해당 문헌 없음.

3-6. 일부개정 — 금융위원회고시 제2008-8호 (2008.4.7 발령·시행) ★금융위원회 출범 정비·'고시' 형식 전환

• 배경: law.go.kr 이유 없음. 2008.2.29 금융위원회 출범(법률 제8863호 「금융위원회의 설치 등에 관한 법률」)에 따른 정비로 보입니다 해석. 감독기구 변천 자체는 → 「전자금융거래법 개정사」 감독기구 절 참조. 이 판부터 law.go.kr 발령 형식이 "금융위원회고시"입니다. [9][1][96]
• 이전과 달라진 점 [해석:diff]

• 시행일: 2008.4.7 (부칙 "이 규정은 고시한 날부터 시행한다.") — 같은 때 세칙도 2008.3.26 발령, 부칙 "전자금융감독규정의 시행일(2008.4.7.)부터" 시행(5장) [9][30]
• 영향받는 대상: 실질 의무 변화 없음(명칭 정비) 해석
• 학계 평가: 해당 문헌 없음.

3-7. 일부개정 — 금융위원회고시 제2008-21호 (2008.7.31 발령·시행) ★추심이체 출금 동의 방법

• 배경: law.go.kr 이유 없음, 대응 보도 미발견. 신설 조문이 "영 제10조제1항제1호 및 제2호에서 "금융위원회가 정하는 방법""을 정하므로 시행령 위임사항 정비로 보입니다 해석. [10]
• 이전과 달라진 점 [해석:diff]

• 시행일: 2008.7.31 (부칙 "고시한 날") [10]
• 영향받는 대상: 추심이체(예: 보험료 자동납부)를 처리하는 금융회사 등과 출금 동의를 하는 지급인 해석
• 학계 평가: 해당 문헌 없음. (추심이체 동의 방법은 이후 2012-26·2016-24에서 다시 넓어짐)

3-8. 일부개정 — 금융위원회고시 제2010-18호 (2010.6.30 발령·시행) ★공인인증서 외 "동등한 수준" 인증방법 허용

• 배경: law.go.kr 이유 없음. 금융위 보도자료 69607(2010.6.23) 원문: "금융위원회(위원장 : 진동수)는 '10.6.23(수) 제11차 금융위원회 정례회의에서 「전자금융감독규정」 개정안을 의결하였음 ㅇ 이번 개정은 최근 전자금융거래 환경변화*를 고려하여 공인인증서외의 인증방법을 사용할 수 없도록 한 현행 규제를 개선, 다양한 인증방법을 사용할 수 있도록 하려는 것임 * 스마트폰 보급 확대, 온라인 중소쇼핑몰 이용 증가 등" 1차-정부. 규정변경예고: 금융위원회 공고 제2010-107호(2010.6.1~6.11). 계기는 사고가 아니라 환경변화입니다. [12][34][80]
• 이전과 달라진 점

• 시행일: 2010.6.30 (부칙 "고시한 날"). 금융위 보도: "금융감독원은 감독규정시행세칙 개정 등을 거쳐 7월중 인증방법평가위원회 구성 예정" → 세칙 2010.8.12 개정으로 인증방법평가위원회(제31조의2·제31조의3) 신설(5장). [12][34][30]
• 영향받는 대상: 모든 전자금융거래를 제공하는 금융기관·전자금융업자(공인인증서 외 인증방법 채택 가능), 대체 인증기술 업체 해석
• 학계 평가: 같은 학술지 같은 호(『Law & technology』 6권 3호, 2010)에 대립 견해가 실렸습니다 해석. 문헌 C2(김기창)는 공인인증서 의무를 정한 감독규정이 "보안 기술에 대한 무지와 강제 수단을 동원하여 공인인증 제도를 유지, 확산하려는 그릇된 정책적 고려, 그리고 공인인증 업체의 이해관계를 반영할 것일 뿐"이라고 비판했고, 문헌 C3(장영환)은 공인인증서 이용자 "2,308만명", 국무총리실 주재 협의로 "'동등한 수준의 안전성'이 인정된 인증방법"을 허용하고 "30만원 미만 소액결제시스템의 보안성 심사 절차를 개선"한 것은 "공인인증서 이용을 폐지하자는 것은 아니며" 선택권을 주자는 것이라고 설명했습니다. 문헌 C4(정기석 2013)는 정부가 규제를 완화했으나 "승인받은 대체기술이 없어 사용하지 못하고 있"다고 했습니다(초록의 "법으로 규정"이 법률인지 감독규정인지는 불명 미확인). 학술

3-9. 전부개정 — 금융위원회고시 제2011-18호 (2011.10.10 발령·시행) ★IT보안강화 종합대책 반영·세칙 기준 상향·5·5·7 권고

• 배경 — 사건 → 대책 → 이 개정 (인과 (가)+(나))
• 개정이유(유형 직접 언급, (가)): "국내 전자금융거래의 증가와 함께 전자적 침해행위도 증가하여 금융거래의 안정성을 위협하고 있어 정보기술부문 및 보안에 대한 금융기관 및 전자금융업자의 관심도와 역량을 제고할 수 있도록 관련 제도를 개선" [13]1차-행정규칙
• 정부 문서의 사건 연결((나)): 「금융회사 IT보안강화 종합대책」(금융위 2011.6.23) 추진배경 원문 "최근 발생한 현대캐피탈 고객정보유출(4.7) 및 농협 전산장애 사고(4.12) 등은 금융회사 IT보안 전반에 대한 종합대책 마련 필요성 제기" → 금융위 2011.10.10 "금융위원회는 지난 6월 「금융회사 IT보안강화 종합대책」을 마련·발표 … 종합대책 내용 중 규정 개정으로 실행 가능한 부분을 「전자금융감독규정」개정안에 담아" 1차-정부. 이 종합대책의 첫 결과물이 이 감독규정 전부개정*이었고(2011.10.10), 같은 대책에 따른 법률 개정(CISO 지정, 법률 제11087호)은 2011.11.14 공포로 더 늦습니다. [35][36][92]
• 사건 개요(요약): 현대캐피탈 — 금감원 중간발표(2011.5.17 배포·5.18 게시) "'11.3.6～4.7 기간중 해커가 업무관리자의 ID/PW를 습득한 후 … 약 175만명의 고객정보를 해킹", 사고일 표기는 금감원 "지난 4.8 발생" / 금융위 대책 "(4.7)" 병기. 농협 전산장애(2011.4.12) — 금융위 대책은 원인 사례로 "외주업체(IBM) 직원 노트북이 내부 전산망과 연결된 상태에서 무선인터넷에 접속함에 따라 공격에 노출"을, 감독규정 보도자료는 "최근 ㅇㅇ금융회사의 사고는 외주직원의 노트북이 해킹당함으로써 전산시스템이 정지"를 적었습니다. 농협 장애 규모·두 사고 제재 결과는 미확인. [74][35][36][94]
• 종합대책의 내용(요약): CEO 책임, CISO 지정 의무화, IT 인력·예산 비율, 제재 강화·업무정지 근거, 침해행위 금지·처벌, 해킹 사고 시 금융회사 손해배상 책임, 망분리 단계적 유도, 외주 관리. 서면점검 322개사, 현장점검 47개사. 법률 쪽 과제는 → 「전자금융거래법 개정사」 3장(2011 CISO·2013 개정) 참조. [35][94]
• 추진경과(금융위 70094): "입법예고: '11.8.2~'11.8.22 / 규제개혁위원회 심사: '11.9.8, '11.9.29 / 금융위원회 의결: '11.10.5". 규정변경예고 noticeId 2830(2011.8.2~8.22). [36][80]
• 개정이유(law.go.kr 원문, 주요내용 전문)

가. 이용자 정보 등 전산자료 보호 강화 — 이용자 정보 등 주요정보는 단말기에 보관을 금지하고, 사용자 인사 조치시 계정삭제·변경 등 접근을 통제 / 전산자료 및 이용자 정보의 입력·출력·열람시 사용자의 업무별로 접근권한을 통제하고, 사용내용을 기록·유지 나. 비상대책 및 업무지속성 확보대책 등의 수립 및 운용 — 금융기관 또는 전자금융업자는 장애·재해·파업 등에 대비한 비상대책 및 업무지속성 확보대책을 수립·운용하도록 규정 다. IT 실태평가대상을 확대하고 경영실태평가에 의무화 — IT 실태평가 대상을 확대하고 경영실태평가에 의무적으로 반영 라. 금융기관·전자금융업자의 외부 위탁시 책임 강화 — 금융기관·전자금융업자가 위탁(외부주문)을 하는 경우 계약서에 수탁자의 보안규정 준수 및 손해배상 책임을 반영하도록 의무화 / 전자금융보조업자와 계약을 통해 정보처리시스템을 운영하는 사업자도 전자금융보조업자에 포함 마. 정보기술 및 보안 분야의 관련 인프라 확보 권고 — 금융기관 및 전자금융업자가 정보기술 및 보안 부분의 인력 및 예산을 확보하도록 권고 / 권고수준에 못 미치는 금융기관 및 전자금융업자는 사유 및 이용자 보호에 미치는 영향을 홈페이지를 통해 공시 바. 기존 감독규정시행세칙에 규정되어 있던 IT 세부 보안기준을 감독규정으로 상향조정 — 중요작업 이중 확인, 건물·설비에 대한 안전수준 확보, 정보처리시스템 보호대책 마련 등

• 이전과 달라진 점

• 시행일: 2011.10.10 / 제15조제6항제2호·제3호, 제17조제1항제2호 단서, 제34조제2항제7호 = "이 규정 고시 후 6개월이 경과한 날"(계산 2012.4.10 해석) / 부칙 제2조 "제8조제2항의 개정규정은 이 규정 시행 후 최초로 개시되는 사업연도부터 적용한다." [13]
• 영향받는 대상: 금융기관·전자금융업자 전반(IT 세부기준이 고시 차원 의무로 올라감), IT·정보보호 인력·예산(권고, 미달 시 공시 의무), 재해복구센터 의무 기관(은행·산은·기은·농협/수협 신용사업·투자매매중개업자·증권금융·예탁원·거래소·신용카드업자·보험요율산출기관·저축은행중앙회·신협중앙회·보험회사), 외주업체·전자금융보조업자. 금융위 보도는 IT 인력 편차를 "은행 최대 10.6%~최저 0.5%"로 적었습니다. [13][36][94]
• 학계 평가: 문헌 I1(최창래 외 2014) 초록은 "2011년 대형 금융 사고가 연달아 발생하자 정부는 인력, 조직, 예산을 포함한 전자금융감독 규정 전면 개정을 발표"했고 주요 내용이 "전체 직원의 5%를 IT인력으로 채용하고, IT인력의 5%는 보안인력으로, 또 IT예산의 7%는 정보보호 예산으로 편성"이라고 적었습니다 — 정정 원문 제8조제2항은 "준수하도록 노력하여야 한다"(노력의무), 개정이유는 "권고"이며, 미달 시 공시만 의무이므로 초록의 '채용·편성' 표현은 인용으로만 둡니다(교차검증 E16). 문헌 I2(임정환·김인석 2016)는 인력·조직·예산 규정이 "established entirely based on commercial banks"라 협동조합형 금융기관에 맞지 않을 수 있다고 했고, 문헌 I3(박재영·김인석 2017)은 "대부분의 금융기관이 정보보호인력 산정 시 … 일률적으로 전자금융감독규정에서 정한 총 IT 인력 수 대비 정보보호인력 비율(5%)만 준수"한다고 지적했습니다. NARS 보고서 N6(김유향·심우민 2011.4.28)은 목차에 "금융보안 전담 인력 및 감독체계", "금융사 보안예산 및 인적 자원"을 다뤘습니다(요지 미확인, 이 개정과의 연결은 해석). 학술1차-국회

3-10. 일부개정 — 금융위원회고시 제2012-26호 (2012.10.31 발령·시행 / 일부 2012.11.8) ★스마트기기 전자금융·CISO 첫 등장

• 배경: law.go.kr 이유 없음. 금융위 보도자료 70525(2012.10.31) 원문: "금융위원회는 2012.10.31(수) 제20차 정례회의를 개최하여「전자금융감독규정」일부개정규정안을 의결 … 이번 개정은 최근 IT기술의 발전으로 스마트폰, 태블릿 PC 등 새로운 기기들을 통한 새로운 전자금융서비스가 등장하였으나, ㅇ 현행 규정 하에서 서비스를 운영함에 있어 일부 애로로 활성화가 어려운 측면이 존재" 1차-정부. 사전 보도 70401(2012.7.12 「전자금융거래 활성화를 위한 전자금융감독규정 개정」), 규정변경예고 금융위원회공고 제2012-158호(2012.8.17~9.25). [14][37][38][80]
• 이전과 달라진 점

• 시행일: 판 전체 2012.10.31 / 제6조·제44조·제45조·제48조 = 2012.11.8 — 부칙 "이 규정은 고시한 날부터 시행한다. 다만, 제6조, 제44조, 제45조 및 제48조의 개정규정은 2012년 11월 8일부터 시행한다." 금융위 보도 "동 개정 규정은 관보게재를 거쳐 '12.11.8(목)부터 시행될 예정"은 일부 조문 기준(충돌 아님). [14][38][92]
• 영향받는 대상: 스마트폰·태블릿 기반 서비스를 하는 금융회사, 직불전자지급수단 발급기관, 무선망을 쓰는 금융회사(CISO 승인 필요), 이용자 비밀번호 정책 해석
• 학계 평가: 이 판을 직접 다룬 문헌은 수집본에 없음.

3-11. 일부개정 — 금융위원회고시 제2013-20호 (2013.6.25 발령·시행) ★정보처리 위탁 규정 제정에 따른 정비

• 배경: 개정이유(law.go.kr 원문) "「금융회사의 정보처리 및 전산설비 위탁에 관한 규정」제정에 따라 관련 전자금융감독규정을 정비하고자 하려는 것임". 규정변경예고 금융위원회 공고 제2013-70호(2013.4.17~5.26). [15][80]
• 이전과 달라진 점

• 시행일: 2013.6.25(law.go.kr 목록값). 이 판 본문과 현행 본문의 부칙 모음 어디에도 "부 칙 <제2013-20호…>" 항목이 없어 부칙 원문 미확인. [15][93]
• 영향받는 대상: 정보처리·전산설비를 위탁하는 금융회사, 등록 신청 전자금융업자, 수탁 전자금융보조업자 해석
• 학계 평가: 해당 문헌 없음.

3-12. 일부개정 — 금융위원회고시 제2013-39호 (2013.12.3 발령·시행 / 망분리 단계 시행) ★망분리 의무화·정보보호위원회·취약점 분석·침해사고대응기관

• 배경 — 3·20 → 2013.7.11 대책 → 이 개정 (인과 (나))
• 사건(요약): 2013.3.20 14시경 농협·신한은행·제주은행(+농협생명·농협손보) 직원 PC 다운·부팅 불가, 신한 인터넷뱅킹 장애. 금융위 보도참고 "업데이트용 서버를 통하여 악성코드가 배포된 것으로 추정", "현재까지 고객정보 유출사고가 보고된 바 없음", 3.21 11:00 기준 농협 일부 지점(32개소) 외 복구. 피해 규모(PC 대수·피해액)는 미확인. [72][94]
• 대책: 「금융전산 보안 강화 종합대책」(금융위 2013.7.11) "지난 3.20일 농협․신한은행 등 금융전산 사고를 계기로 금융권 전산보안 전반에 대한 실태점검과 TF 운영을 통해 종합적인 개선대책을 마련" — 전산센터 물리적 망분리 '14말까지 의무화, 공동 백업센터, CISO 전임제(겸직금지), FDS 확대 등. 향후 과제로 "(감독규정) 전산센터 망분리, 시스템 접근통제 강화", "전자금융거래법 개정 사항은 ☞ '14년도에 추진". 같은 문서: 전자금융 이용 비중 87.7%(2013.3), 인터넷뱅킹 가입자 8,940만명(중복). [39]1차-정부
• 의결 보도(70923, 2013.11.27): "이번 「전자금융감독규정」 일부개정규정안은 지난 5월 개정된 전자금융거래법의 시행을 위해 동법 시행령에서 위임한 사항을 규정하고 ㅇ 해킹 등으로부터 금융회사의 전산시스템 등을 보호하기 위한 「금융전산 보안강화 종합대책」(7월 발표)의 내용을 반영함" [42]1차-정부
• 개정이유(law.go.kr): "「전자금융거래법」 및 같은 법 시행령 개정에 따라 위임된 감독규정 개정사항을 반영하고, 지난 7월 발표한 '금융전산 보안강화 종합대책'의 시행을 위한 필요사항 규정 / * 전자금융거래법 (법률 제11814호 '13.5.22 공포 '13.11.23 시행) 전자금융거래법 시행령 (대통령령 제24880호 '13.11.22 공포 '13.11.23 시행)" — 개정이유는 대책 이름을 적고, 대책이 3·20을 적는 1차 문서 사슬*입니다. [16]
• 법률 쪽(요약): 3·20 대책의 'CISO 전임제' 과제는 법률 제12837호(2014.10.15)의 CISO 겸직 제한으로 이어졌습니다. 반면 3·20(2013.3)과 법률 제11814호는 연결하지 않습니다(정부안이 2012.7.10 국무회의를 먼저 통과, 인과 (다)) → 「전자금융거래법 개정사」 3장(2013·2014 개정) 참조. [92]
• 규정변경예고 noticeId 2972(2013.9.17~10.12), 예고 보도 70833(2013.9.16). 같은 날 「금융전산 망분리 가이드라인」 배포(70834). [40][41][80]
• 개정이유 주요 개정내용(원문 요지): 가. 상시 종업원 수 산정기준(§6조의2) / 나. 보안규정 위반에 따른 내부 처벌근거(§8) / 다. 정보보호위원회 운영근거(§8조의2) / 라. 정보처리시스템 접근통제 강화(§14) "ID, 비밀번호 이외의 추가인증절차를 의무화하고, 정보처리시스템에 대한 상시 감시체계를 구축" / 마. 금융전산 망분리(§15) "정보통신망을 통한 해킹 등 전산사고를 방지하기 위하여 금융회사의 전산센터 등을 외부통신망과 분리·차단하도록 의무화하고 이를 단계적으로 시행" / 바. 정보보호 교육계획(§19조의2) / 사. 취약점 분석·평가의 세부절차(§37조의2·§37조의3) / 아. 침해사고대응기관 지정 및 업무범위(§37조의4) "금융결제원, 코스콤 등" / 자. 국외 사이버몰 결제업무 등록요건 완화(§50) / 차. 과징금 환급가산금 적용이율 고시(§72조의2). [16]
• 이전과 달라진 점

• 시행일: 고시 2013.12.3 시행 / 제15조제1항제5호(전산실 물리적 분리) = 2015.1.1 / 같은 항 제3호(내부 업무용시스템 분리) = 은행 2016.1.1, 그 외 2017.1.1 — 부칙 제1조 원문 "이 규정은 고시한 날부터 시행한다. 다만, 제15조제1항제3호의 규정은 「은행법」에 따라 인가를 받아 설립된 은행은 2016년 1월 1일부터, 그 외의 자는 2017년 1월 1일부터 시행하고, 같은 항 제5호의 규정은 2015년 1월 1일부터 시행한다." [16]1차-행정규칙
• 정정 정부 발표 표현과의 관계: 의결 보도(2013.11.27)는 "모든 금융회사의 전산센터는 '14말까지 외부통신망과 분리·차단하고, 본점·영업점의 경우 단계적으로 추진 * 본점·영업점의 경우 '15년말까지 분리·차단"이라고 적었습니다. 그러나 「금융전산 망분리 가이드라인」 배포 보도(2013.9.16)는 "전산센터 망분리는 '14년말까지 완료하고, 본점․영업점은 단계적으로 추진(은행 '15년말, 그외 '16년말까지)"라고 적어 부칙과 일치합니다. 의결 보도의 "'15년말까지"는 은행만 적은 단순화로 보입니다(감독규정 노트의 [충돌] 3은 해소, 교차검증 E7). [41][42][92]
• 영향받는 대상: 모든 금융회사·전자금융업자(망분리·접근통제·정보보호위원회·교육). 취약점 연 1회 대상 = 총자산 2조원·종업원 300명 이상 회사와 중앙회(현행 문언은 「수산업협동조합법」, 「산림조합법」, 「신용협동조합법」, 「상호저축은행법」 및 「새마을금고법」에 따른 중앙회). CISO 임원 지정 대상 산정(시행령: 총자산 2조원 이상·상시 종업원 300명 이상 — 금융위 70923 "* 시행령 : 총자산 2조원이상이고 상시 종업원 수 300명이상"). 실제 집행: 신한은행 2017.8.8 과태료 4,120만원 "2015.1.1~2017.4.25 전산실 … 물리적 망분리 미이행(제15조제1항제5호)" 등(8장). [16][42][78]
• 학계 평가: 문헌 G1(조병주 외 2015)은 금융권이 "금융감독당국의 가이드라인에 따라 업무망과 인터넷망을 분리"했으나 구축사례 분석 결과 "망분리 이후에도 이동식 저장매체를 통한 악성코드의 감염경로가 완전히 차단되지 않았음"을 지적했습니다. 문헌 G2(박지윤 외 2016)는 금융위원회가 "「금융전산 보안강화 종합대책」을 발표하며 … 금융전산망에 대한 분리를 의무화"했고 이후 업무 어려움 호소로 "망분리 예외기준을 마련"했다고 정리했습니다. 문헌 G6(이형균 2026)은 현행 망분리 규정이 "2010년대 초반 대형 해킹 사고의 경험을 배경으로 형성된 '네트워크 단절' 중심"이며 "특정 기술 방식을 법령에 직접 명시함으로써 기술중립성 원칙과 충돌"한다고 평가했습니다(10-1). 학술

3-13. 일부개정 — 금융위원회고시 제2015-3호 (2015.2.3 발령·시행 / 일부 2015.4.16) ★CISO 매월 점검·외부주문 통제·사고보고 일원화·5·5·7 일몰

• 배경 — 카드사 유출 → 2014.3.10 대책 → 이 개정 (인과 (나), 1차 문서 사슬)
• 개정이유(law.go.kr 원문): "「전자금융거래법」 개정('14.10.15 공포, '15.4.16 시행), 금융분야 개인정보유출 재발방지 종합대책, 금융규제 개혁 관련 사항 등의 후속 조치를 추진하기 위한 전자금융감독규정 개정" [18]
• 정정 감독규정 노트는 "사건 특정은 해석"이라 했으나, 개정이유가 대책을 이름으로 적고, 그 대책(금융위 2014.3.10 「금융분야 개인정보 유출 재발방지 종합대책」) 본문이 "금번 대책은 최근 발생한 카드사 정보유출과 과거 해킹사고 등에서 드러난 문제점에 대한 근본적·종합적 재발방지 방안"이라고 적어 1차-행정규칙+1차-정부 사슬입니다(교차검증 E5). [18][43][92]
• 카드3사 사건(요약): KB국민·NH농협·롯데카드 고객정보 유출 — 규모는 출처별로 약 1억 건(검찰)·약 8,700만 건(금감원, 중복 포함), 기간 2012.10~2013.12(금융위 2014.2.16), 공개 2014.1.8. 금융위 2014.2.16 처분은 3사 각 3개월 일부 업무정지(2014.2.17~5.16)+과태료 600만원이며 위반 근거 나열에 「전자금융거래법」 제21조(안전성의 확보의무)가 포함됐습니다. 사건 상세·대법원 위자료는 → 「신용정보법 개정사」 4-2절, 법률 개정(과징금 50억원·10년/1억원·과태료 5천만원·CISO 겸직 제한)은 → 「전자금융거래법 개정사」 3장(2014 개정) 참조. [71][92]
• 예고 보도 71340(2014.11.13)은 개정 배경을 "「전자금융거래법」 개정('14.10.15), 금융권 사이버 안전대책 강화 방안 … 후속 조치"로 설명했습니다. 규정변경예고 noticeId 3068(2014.11.14~12.24)·재공고 3078(2014.12.24~12.29). [45][80]
• 개정이유 주요 개정내용(원문): 가. 전자금융보조업자의 업무 재위탁 금지의 예외 설정(제60조4항 신설) / 나. 금융회사 내부통제 강화(제37조의5 신설) "정보보호최고책임자가 매월 정보보안점검을 실시토록 하고, 최고경영자에게 그 점검결과 및 보완계획을 보고" / 다. 외부주문 통제 강화(제60조 제1항) "1) 외부주문등에 의한 정보처리시스템의 개발업무의 장소와 전산설비를 내부 업무용과 분리하여 운영 2) 외부주문의 단계별로 보안관리방안을 준수 3) 외부주문 관련 중요 점검사항은 매일 점검" / 라. 전자금융사고 보고창구 일원화(제73조 제1항, 제3∼4항) / 마. 정보기술부문 및 정보보호 인력 산정기준 변경(별표 1) "1) 비상주 외주인력을 정보보호 인력 산정 범위에 포함 … 2) 공동수탁사 인력 및 금융회사 또는 금융기업집단의 IT자회사 인력을 금융회사 자체 정보보호 인력으로 인정 3) … 1년 이상 장기휴직자는 제외" / 바. 금융회사 망분리 규제 적용 예외 허용(제15조 제1항) / 사. 전자금융거래 미수행사의 업무보고서 제출 의무 면제(제62조 1항 단서) / 아. 금융공공기관 보안성심의 중복 해소(제36조 제2항 삭제, 제3항) / 자. 금융회사의 기술 자율성 제고(제12조, 제17조, 제34조) "4)전자금융거래수단이 되는 매체와 거래인증수단이 되는 매체를 분리하도록 하는 조항을 삭제". [18]
• 이전과 달라진 점

• 시행일: 2015.2.3 / 제37조의5·제60조·제73조 = 2015.4.16 — 부칙 "제1조(시행일) 이 규정은 고시한 날부터 시행한다. 다만, 제37조의5조, 제60조 및 제73조의 개정규정은 2015년 4월 16일부터 시행한다." (2015.4.16은 법률 제12837호 시행일과 같음) [18]
• 영향받는 대상: CISO(매월 점검·보고), 외부주문을 하는 금융회사와 외주업체, 전자금융보조업자(재위탁), 전자금융사고를 보고하는 모든 금융회사(창구 금감원), 망분리 예외 신청 회사, 금융공공기관(보안성심의 제외), 5·5·7 대상 회사(2020.1.1 일몰). 이 일몰 조항은 3-22·4-1 참조. 집행 사례: 신한카드 2015.5.29 "해커의 타인 앱카드 부정결제를 민원으로 최초 인지하고도 수일 경과 후 금감원 보고" — (舊)감독규정 제73조 제1항 위반(8장). [18][78]
• 학계 평가: 문헌 D5(김영환 2016)는 "정부주도적 규제환경"에서 "2015년 일련의 규제환경 변화"를 다뤘고, 문헌 B24(홍준호 2020)는 규제완화로 "공인 인증서 의무 사용 폐지 … '매체불리 원칙 폐지'" 등을 열거했습니다(매체 분리 조항 삭제를 가리키는 것으로 보임 해석). 학술

3-14. 일부개정 — 금융위원회고시 제2015-7호 (2015.3.18 발령·시행 / 제37조의4는 금융보안원 성립일) ★공인인증서 사용 의무 폐지

• 배경: law.go.kr에는 개정문만 있음. 금융위 보도자료 71479(2015.3.18) 원문: "금일 금융위원회는 '규제기요틴('14.12.28)' 및 'IT·금융융합지원방안('15.1.27)'의 후속조치로서 전자금융거래시 공인인증서 사용 의무 폐지 등을 내용으로 하는 「전자금융감독규정」 개정안을 의결하였음 ㅇ 동 개정을 통해 기술중립성 구현, 전자지급수단 활용성 증대를 유도하고 다양한 핀테크 서비스의 출현·활용 기반을 확보하고자 함" 1차-정부. 계기는 사고가 아니라 규제개혁입니다. 규정변경예고 noticeId 3092(2015.3.5~3.16). 앞서 2014.5.20 시행 세칙 개정으로 온라인 카드결제의 공인인증서 의무가 먼저 폐지됐습니다(5장). [19][46][44][80]
• 이전과 달라진 점

• 시행일: 2015.3.18 — 부칙 "제1조(시행일) 이 규정은 고시한 날부터 시행한다. 다만, 제37조의4의 개정규정은 같은 조 제1항제1호에 따른 금융보안원이 성립한 날부터 시행한다." 보도: "□ 동 개정 규정은 공포일인 금일부터 즉시 시행됨 ㅇ 다만, 침해사고대응기관의 변경은 금융보안원의 성립일부터 적용". 금융보안원 '성립일'은 [미해결] — 설립 허가 2015.3.31(금융위 보도 "금융위원회는 2015.3.31일(화) 금융보안원(원장 : 김영린) 설립을 허가하였으며, 금융보안원은 2015.4.10일(금) 출범할 예정"), 개원식 보도 2015.4.9, 출범 2015.4.10은 확인됐으나 법인 등기일 원문은 열람하지 못했습니다. [19][46][47][92]
• 영향받는 대상: 전자금융거래 인증방식을 정하는 모든 금융회사·전자금융업자(공인인증서 외 수단 선택 가능), 정보보호제품 공급업체, 직불수단 이용자, 금융결제원·코스콤·금융보안원(침해사고대응기관 이관). 법률 차원의 공인인증서 정비(2014.10.15 법 제21조②③ 보완·2015.10.16 시행, 2020.6.9 「전자서명법」 전부개정 타법개정·2020.12.10 시행)는 감독규정 폐지와 구분됩니다 → 「전자금융거래법 개정사」 3장 참조. [19][92]
• 학계 평가: 문헌 C6(송영관 2015, KDI)은 "'공인인증서 의무화정책'의 도입과 폐지 효과"를 분석해 "시장참여자의 각 기술에 대한 선호도 유형과 차이가 … 시장균형과 사회후생 수준을 결정"한다고 했습니다(초록, 이 개정 시기와의 연결은 해석). 문헌 C9(전응준 2017)은 공인인증서가 "기본적으로 전자서명의 수단이고 본인인증기능은 부가적인 효력"이며 "전자금융거래법영역에서 공인인증서의 현실적인 기능은 금융기관의 책임 범위, 이용자의 중과실 범위와 관련"된다고 했습니다. 학술

3-15. 일부개정 — 금융위원회고시 제2015-18호 (2015.6.24 발령·시행) ★자체 보안성심의·RTO 조항 재편

• 배경: law.go.kr 이유·개정문 없음. 규정변경예고 금융위원회 공고 제2015-124호(noticeId 3110, 2015.5.19~6.11), 변경 재공고 제2015-138호(noticeId 3113, 2015.6.1~6.11) — 공고 화면 본문에는 개정이유가 실려 있지 않음(첨부파일만) → 이유 미확인. 같은 해 세칙 2015.9.17 개정이유는 "사전 보안성심의 폐지에 따라 자율보안체계 확립을 위해 금융회사 자체 심의에 필요한 기준과 절차, 양식 등을 규정"이라고 적어, 이 판의 취지를 뒤에서 설명합니다 해석. [20][31][80]
• 이전과 달라진 점 [해석:diff — 본문 "<개정 2015.6.24.>" 표시로 재확인]

• 시행일: 2015.6.24 — 부칙 "제1조(시행일) 이 규정은 고시한 날부터 시행한다." [20]
• 영향받는 대상: 신규 전자금융업무를 시작하는 모든 금융회사·전자금융업자(금감원 사전심의 → 자체 심의 후 7일 내 결과 제출), 재해복구센터 의무 기관(RTO가 '전체' → '핵심업무' 기준으로) 해석
• 학계 평가: 이 판을 직접 다룬 문헌은 수집본에 없음.

3-16. 일부개정 — 금융위원회고시 제2016-24호 (2016.6.30 발령·시행) ★OTP·보안카드 사용 의무 폐지

• 배경(개정이유 원문, 추진 배경): "□ 핀테크 활성화를 위한 전자금융거래법 개정에 따라 개정 법률의 시행을 위한 세부사항을 감독규정에 반영하고, ㅇ 기술중립성 원칙 준수 및 금융회사 자율성 제고 등을 위한 일부 제도개선을 추진". 규정변경예고 금융위원회 공고 제2016-113호(noticeId 3202, 2016.4.19~5.24) 원문 "다. 전자자금이체시 보안카드 및 일회용 비밀번호 사용 의무를 폐지하여 금융회사가 자율적으로 다양한 핀테크 기술을 활용할 수 있도록 함 (안 제34조)". 소규모 PG 자본금 5억→3억원 완화 법률(제14132호)은 → 「전자금융거래법 개정사」 3장 참조. [21][80]
• 개정이유 주요 개정사항(원문 요지)
• (1) 소규모 전자금융업자 기준(안 제42조의2): "업종별로 다소 차이는 있으나 거래규모 기준 하위 30%(분기별 거래규모 30억원 이하)를 소규모 업자로 볼 수 있음 … 소규모 전자금융업자 기준이 되는 분기별 전자금융거래 규모를 법정 최고한도인 30억원 이하로 규정 / ② 소규모 업자로 등록한 후 2분기이상 연속하여 기준 초과시에는 6개월*내에 자본금을 증액하도록 함 * 기준 초과시 등록자본금을 3억원에서 5～10억원으로 증액해야 하는 점을 고려"
• (2) 추심이체 출금 동의 방법 다양화(안 제6조): "(현행) … ㉠서면, ㉡녹취, ㉢ARS, ㉣공인전자서명된 전자문서, ㉤실명증표를 통해 본인확인을 거친 후 전자서명된 전자문서 등으로 한정 … (개선) 공인전자문서 외 무결성 검증 등 일정 요건*을 충족한 전자서명을 한 전자문서도 … 허용"
• (3) 전자자금이체시 일회용 비밀번호 적용의무 폐지(안 제34조): "□ (현행) 전자자금이체 시 보안카드, 일회용 비밀번호(OTP)를 의무적으로 사용하도록 규정 ㅇ 생체정보 활용 등 다양한 핀테크 기술의 발전을 반영하지 못하고 기술중립성 원칙에 위배된다는 비판 존재 □ (개선) 전자자금이체시 보안카드, 일회용 비밀번호 사용 의무를 폐지하여 기술중립성 및 금융회사의 자율성 제고"
• (4) 공동 전자금융거래 표준의 보안성 검증 체계(안 제36조): "감사원은 전자금융거래 표준은 금융소비자의 전자금융거래 이용 안전성 및 신뢰성에 상당한 영향을 미치므로 금융당국의 검증 절차가 필요함을 지적* * … '국가 사이버안전 관리 실태' 감사('15.8.24.~10.14.)시 지적 … (개선) 금융회사 공동 전자금융거래 표준 제정 시 공동으로 자체 보안성심의를 실시한 후 심의결과를 금감원에 사후 제출 … 금감원장은 … 개선·보완을 요구할 수 있도록" [21]
• 이전과 달라진 점

• 시행일: 2016.6.30 — 부칙 "이 규정은 2016년 6월 30일부터 시행한다." [21]
• 영향받는 대상: 전자자금이체를 제공하는 모든 금융회사·전자금융업자(인증수단 자율 선택), 소규모 PG 등 전자금융업자(자본금 3억원 기준 판단), 공동 표준(예: 바이오 인증 표준)을 만드는 금융회사, 취약점 평가전문기관 해석
• 학계 평가: 문헌 C9(전응준 2017)은 법원이 "일회용 비밀번호를 노출한 것이 접근매체를 노출한 것으로서 … 이용자의 중과실"로 보는 경향과 공인인증체계 개선을 논했습니다(법률 제9조 쟁점은 법 문서). OTP 의무 폐지 자체를 정면으로 다룬 문헌은 수집본에 없음. 학술

3-17. 일부개정 — 금융위원회고시 제2016-37호 (2016.10.5 발령·시행 / 일부 고시 후 6개월) ★클라우드 첫 허용(비중요 정보처리시스템)

• 배경: law.go.kr에는 개정문만 있음. 금융위 보도자료 72218(2016.6.29, 규정변경예고 시점) 원문: "클라우드(클라우드컴퓨팅 서비스) 등 새로운 IT 기술이 확산되고, 핀테크 산업이 활성화됨에 따라 변화된 현실에 맞게 관련규제를 합리적으로 개선하고 … (현행) 정보보호의 중요성과 상관없이 금융회사의 모든 시스템에 대해 물리적 망분리 등 높은 수준의 보안 규제를 일률적으로 적용함에 따라, - 고객정보 보호와 무관한 시스템*도 클라우드 이용이 어려운 과도한 측면이 있었음 → (개선) 개인신용정보 등 고객정보 처리시스템을 제외한 전산시스템에 대해서는 금융회사가 자율적으로 클라우드를 이용할 수 있도록 개선 - 클라우드 이용 시스템에 대해서는 클라우드 활용을 어렵게 하는 물리적 망분리 등 일부 규제도 적용을 제외" / "규정변경예고 : '16.6.30 ~ '16.8.9 (40일간) … '16.9월 금융위에서 의결" 1차-정부. 공고 제2016-206호(noticeId 3237) 원문 "가. 금융권의 클라우드 이용 활성화를 위해 … 고객정보 처리시스템을 제외한 전산시스템 중 일부를 클라우드를 활용하는 시스템으로 자율적으로 지정 … (안 제7조의2) 나. 전용회선을 사용한 정보보호시스템의 원격관리 허용 등 기존과 동등한 수준의 새로운 보안 기술 적용을 허용 (안 제15조, 제60조)". 예고 단계 조문번호 "§7의2"가 고시본에서 제14조의2가 됐습니다 [해석: 두 원문 비교]. [22][48][80]
• 이전과 달라진 점

• 시행일: 2016.10.5 / 제5조제1항제6호·제2항 = "이 규정 고시 후 6개월이 경과한 날"(계산 2017.4.5 해석) — 부칙 제1조. 부칙 제2조 "제8조제3항의 개정규정은 이 규정 시행 전에 허가, 등록 또는 인가를 마친 금융회사 또는 전자금융업자에 대하여도 적용한다." 부칙 문구 차이(rvs "고시한 날" vs 현행 본문 수록 "공포한 날")는 효력 차이 없음(1-1 보충 설명). [22][92]
• 영향받는 대상: 클라우드를 쓰려는 금융회사(비중요 시스템만, 정보보호위원회 의결·7일 내 보고), 정보보호시스템 원격관리 업무, 카드정보를 저장하는 PG(보험 10억원), 신규 인가·등록 1년 미만 회사(공시 면제), 금융보안원(통합 보안관제센터). 집행: 토스·카카오페이 2021 "클라우드 이용절차(비중요 정보처리시스템 지정·클라우드 이용절차) 미수행"(8장). [22][78]
• 학계 평가: 문헌 H1(장명도·김인석 2018)은 당시 규제가 "중요하지 않은 정보를 취급하는 비중요 정보처리 시스템만 클라우드 컴퓨팅 사용이 가능"하고 그 "구체적 기준과 판단을 금융회사가 정하도록" 해 모호하다며 지정 기준의 구체화를 제안했습니다. 학술

3-18. 일부개정 — 금융위원회고시 제2018-36호 (2018.12.21 발령 / 2019.1.1 시행) ★개인신용정보·고유식별정보 클라우드 허용

• 배경: 개정이유(law.go.kr 원문) "□ 「금융분야 클라우드 이용 확대방안('18.7.16)」 후속조치로 금융회사 또는 전자금융업자가 클라우드를 통해 이용할 수 있는 데이터의 범위를 확대하고, 안전한 클라우드 이용 절차를 마련하기 위함". 금융위 보도자료 73442(게시 2018.12.7): "금융위원회는 '18.12.5(水) 제21차 정례회의를 개최하여, 「전자금융감독규정 개정안」을 심의·의결하고 '19.1.1일 시행할 예정 ㅇ 지난 '16년부터 금융권은 개인신용정보가 아닌 '비중요 정보'에 한해 클라우드를 허용하였으나 …" / "사고 발생시 법적 분쟁, 소비자 보호, 감독 관할 등을 고려해 개인신용정보 처리는 국내 소재 클라우드에 한해 우선 허용" 1차-정부. 규정변경예고 noticeId 3437(2018.9.20~10.30), 예고 보도 73326(2018.9.19). [23][49][80]
• 개정 내용(개정이유 원문): 가. "개인신용정보·고유식별정보도 클라우드에서 이용할 수 있도록 정비(제14조의2 제1항, 제8항)" / 나. "금융분야 특수성을 반영한 안전성 확보조치 등 금융권 클라우드 이용·제공 기준을 제시(제14조의2 제1항, 별표2의2)" / 다. "정보의 중요도를 자체 기준에 따라 분류하고 서비스 제공자의 건전성·안전성을 평가하는 클라우드컴퓨팅 서비스 이용절차를 마련 … 침해사고대응기관이 … 안전성 평가를 지원할 수 있는 근거를 마련(제60조 제5항)" / 라. "정보의 중요도에 따라 클라우드 이용 현황을 보고하도록 함(제14조의2 제3항~제6항)" / 마. "규제의 재검토 기한도 통일성있게 정비(제75조, 2019년 1월 1일을 기준으로 매 3년이 되는 시점마다 재검토)". [23]
• 이전과 달라진 점

• 시행일: 2019.1.1 — 부칙 "제1조(시행일) 이 규정은 2019년 1월 1일부터 시행한다. 제2조(클라우드컴퓨팅서비스 이용절차 등에 관한 적용례) 제14조의2의 개정규정은 이 규정 시행 이후 클라우드컴퓨팅서비스를 이용하고자 하는 금융회사 또는 전자금융업자부터 적용한다." 정정 학술 초록(문헌 H2)의 "정부는 2019년 1월 … 전자금융감독규정을 개정"은 시행 시점 표현이며, 정확히는 2018.12.5 의결·2018.12.21 고시·2019.1.1 시행입니다(교차검증 E15). [23][49][92]
• 영향받는 대상: 클라우드를 쓰려는 모든 금융회사·전자금융업자(중요도 평가·CSP 평가·위수탁 기준), 개인신용정보·고유식별정보를 클라우드로 처리하려는 회사(7영업일 전 사전보고·국내 설치), CSP(평가 대상), 침해사고대응기관(평가 지원) 해석
• 학계 평가: 문헌 H2(장우경·김인석 2019)는 "중요정보는 국내에만 두도록 하는 데이터 국지화 정책은 클라우드 이용 활성화를 가로막는 대표적인 규제이며, 이는 해외 사업자에 대한 차별문제도 야기"한다고 비판했습니다. 문헌 H3(강현구·이상후 2020)은 이 개정으로 "금융회사에서 사용하는 모든 정보처리시스템을 클라우드컴퓨팅 서비스를 이용하여 제공할 수 있는 길"이 열렸으나 "시행 1년이 넘어가는 지금에도 … 실제 중요시스템을 클라우드컴퓨팅 서비스를 도입하여 운용하는 사례가 미미"하다고 했습니다. 문헌 H4(김민희·권헌영 2020)는 금융보안원 "금융 분야 클라우드 컴퓨팅서비스 이용가이드"의 권고사항이 "실질적인 서비스 이용에 많은 불편사항"이라고 했고(가이드 원문 미열람 미확인), 문헌 H5(이승윤·임병인 2021)는 "2019년 1월 「전자금융감독규정」규제 완화 이후, 많은 글로벌 IT기업들이 국내에 데이터센터를 설립"했다며 40MW 가정 시 "데이터센터 1개의 연간 환경비용은 약 64억원, … 현재가치로는 약 870억원"으로 추정했습니다(저자 분석값). 학술

3-19. 일부개정 — 금융위원회고시 제2022-44호 (2022.11.23 발령 / 2023.1.1 시행) ★클라우드 절차 합리화·연구·개발 망분리 완화

• 배경: 개정이유(law.go.kr 원문) "「전자금융감독규정」 제14조의2에 따른 클라우드컴퓨팅서비스 이용절차를 개선하고, 동 규정 제15조제1항에 따른 망분리 규제를 일부 완화하여 금융회사 등의 디지털 혁신을 안정적으로 뒷받침하기 위한 것임". 배경 방안: 「금융분야 클라우드 및 망분리 규제 개선방안」(금융위 2022.4.14). 규정변경예고 noticeId 3792(2022.4.29~6.8), 예고 보도 77740(2022.5.2). 사고 계기가 아닙니다. [24][51][80]
• 주요 내용(개정이유 원문): 가. "클라우드컴퓨팅서비스 이용절차 및 이용업무 중요도평가 기준을 명료화하고, 업무 중요도에 따른 이용절차 차등화를 규정(안 제14조의2제1항)" / 나. "…건전성 및 안전성 평가시 침해사고대응기관의 대표평가를 허용(안 제14조의2제3항)" / 다. "…평가 항목을 간소화하고, SaaS에 대한 평가 기준을 별도로 마련(안 별표 2의2)" / 라. "…사전보고 의무를 사후 보고로 전환하고, 보고 시 제출해야 하는 서류를 간소화(안 제14조의2제4항, 제14조의2제5항)" / 마. "연구ㆍ개발 목적의 경우 일정한 조건 하에 망분리 규제를 완화할 수 있도록 허용(안 제15조제1항제3호, 제15조제1항제5호)". [24]
• 이전과 달라진 점

• 시행일: 2023.1.1 — 부칙 "제1조(시행일) 이 규정은 2023년 1월 1일부터 시행한다." 세칙도 2022.12.29 발령·2023.1.1 시행으로 망분리 예외 인용을 "제15조제1항제3호나목/제5호나목"으로 바꾸고 클라우드 보고 양식을 정비했습니다(5장). [24][30]
• 영향받는 대상: 연구·개발망을 쓰는 금융회사(고유식별·개인신용정보 미처리 + 자체 위험성 평가 + 대체통제), 클라우드 이용 회사(사후보고·평가 간소화), SaaS 이용 회사, 금융보안원(대표평가). 금융위 보도 78962는 앞서 "금융규제 샌드박스를 통해 카카오뱅크의 '금융기술연구소'를 혁신금융서비스로 지정('20.4.)하여, 망분리 규제 특례를 부여"했고, "※ 비중요업무에 대한 소프트웨어 형태의 클라우드(SaaS)를 내부망에서 이용할 수 있도록, 규제샌드박스를 통한 망분리 규제 완화를 검토할 예정입니다('23.上)"라고 적었습니다. [52]1차-정부
• 학계 평가: 문헌 G3(오정주·이환수 2021)은 "금융 망분리 규제는 디지털 금융 혁신에 있어 가장 큰 장애요인 중 하나"이며 "경직된 측면이 강하고, 신 금융기관 및 서비스의 특성을 고려하지 않은 비효율적인 규제"라 "금융서비스 및 거래 규모에 따라 망분리 규제를 차등화하고, 시스템이 아닌 금융서비스를 기준으로 한 규제"를 제안했습니다. 문헌 G4(나윤선 외 2022)는 핀테크 개발자 "134명" 조사에서 망분리가 "정보검색의 용이성과 오픈소스 획득의 용이성에 부정적인 영향"→"업무 생산성을 하락"→ "이직/퇴사 고려에 대한 의도는 증가"를 보였다고 했습니다. NARS N1(이수환 2021.6.4)은 망분리 하에서 "데이터와 분석도구가 분리되어 데이터 활용에 비효율", "개발 속도의 저하로 인건비가 증가하고 인재 유출"을 지적하고 개발망 물리적 망분리의 제한적 완화 등을 제시했습니다. 문헌 H6(윤대균 2022, 「금융권 클라우드 이용환경 개선을 위한 "전자금융감독규정" 개정안의 의미와 향후 과제」)은 서지만 확인(요지 미확인). 학술1차-국회

3-20. 일부개정 — 금융위원회고시 제2024-44호 (2024.9.10 발령 / 2024.9.15 시행) ★개정 전자금융거래법(선불업·소액후불결제) 후속

• 배경 — 머지포인트 → 2023 법 개정 → 이 개정 (인과 (나), 법률 후속): 개정이유는 사건명을 적지 않았습니다. 금융위원회 2024.6.25 규정변경예고 보도가 "제2의 머지포인트 사태를 방지하기 위해 개정된 ｢전자금융거래법｣은 선불전자지급수단 발행 및 관리 업무 … 규제"라고 하며 그 후속으로 감독규정 개정을 예고했습니다 1차-정부. 정정 감독규정 노트는 이 감독규정 개정과 사건의 연결을 해석으로 두었으나, 정부 문서가 직접 연결하므로 1차-정부로 올립니다(교차검증 E6). 다만 예고안(noticeId 4000, 2024.6.26~7.8)과 고시 제2024-44호의 동일성은 의결 보도를 열람하지 못해 "개정 조문(제42조·제48조·제51조·제56조의2~7·제62조)·시행일(2024.9.15)이 대응한다"로만 적습니다. 법률 쪽은 금융위 2023.8.24가 "개정안은 머지포인트 사태를 계기로 불거진 선불업 규제 사각지대를 해소"한다고 밝혔습니다 1차-정부. 머지포인트 사태와 2023 법률 개정(선불충전금 별도관리·소액후불결제 도입) 본문은 → 「전자금융거래법 개정사」 3장(2023 개정)·사건 연대표 참조. [25][56][85][92]
• 개정이유(원문 요지)

• 이전과 달라진 점(보안 측면): 보안 핵심 조항 변경은 없습니다. 제56조의2 "선불충전금 정보의 안전한 관리 … 제13조제1항제8호에 따른 방법"만 보안 조항을 인용합니다. 금융위 2024.6.25 예고 보도는 "선불충전금 정보 백업·소산", "소액후불결제 외부평가위원회"도 들었습니다. [25][56][94]
• 시행일: 2024.9.15 — 부칙 "이 규정은 2024년 9월 15일부터 시행한다."(법률 제19734호 시행일과 같음). 세칙도 2024.9.13 발령·2024.9.15 시행으로 업무보고서 서식을 바꿨습니다(5장). [25][30]
• 영향받는 대상: 선불업자(등록면제 판단·업무보고서), 소액후불결제를 겸영하려는 선불업자(부채비율 180%·승인신청·건전성·연체정보), 할인발행 선불업자(부채비율 200%), 항공사 마일리지 발행자, 전자금융업 등록 신청인. 집행: 2024말 등록 선불업자 89개사 → 2025.3 신규 포섭 16개사 등록으로 105개사(교차검증 E10, 상세는 법 문서). [25][92]
• 학계 평가: 머지포인트·선불 규율 문헌(E절)은 주로 법률을 다룸 → 법 문서 참조. 국회 검토보고서 K9(강민국의원안)는 금감원 "'전자금융업자 이용자자금 보호 가이드라인'을 통해 이용자자금의 분리관리를 감독하고 있었으나, 이는 행정지도의 성격으로 선불업자에게 강제성을 가지지 못하여 실효성이 매우 떨어지는 실정"이라고 해 행정지도→법률 상향의 이유를 밝혔습니다(10-4). 1차-국회

3-21. 일부개정 — 금융위원회고시 제2024-60호 (2024.12.24 발령·시행) ★망분리 개선 로드맵 첫 규정화 — 가명정보

• 배경: 개정이유(law.go.kr 원문) "○ '24.8.13일 발표한 「금융분야 망분리 개선 로드맵」에 따라 금융회사 등이 연구ㆍ개발 목적으로 망분리 규제 예외 적용시 가명처리된 개인신용정보 활용을 허용하고, 클라우드컴퓨팅서비스 이용을 위한 위수탁 계약시 기본 포함사항을 간소화하고자 함". 로드맵(금융위 82885, 2024.8.13)은 생성형 AI 허용·SaaS 범위 확대(샌드박스), R&D 환경 개선(감독규정 개정), 2단계 샌드박스 개인신용정보 활용, 중장기 "｢디지털 금융보안법｣"·"자율보안-결과책임"을 담았습니다. 규정변경예고 금융위원회 공고 제2024-386호(noticeId 4024, 2024.10.28~12.9). [26][57][80]
• 이전과 달라진 점

• 시행일: 2024.12.24 — 부칙 "이 규정은 고시한 날부터 시행한다." [26]
• 영향받는 대상: 연구·개발 목적 망분리 예외를 쓰는 금융회사(가명정보 활용), 클라우드 위수탁 계약을 맺는 금융회사·CSP 해석
• 학계 평가: 문헌 G5(김도형 2024)는 "2024년 8월 발표한 망분리 개선 로드맵"이 내부망에서 "외부 AI 기술 및 외부 SaaS형 서비스를 좀 더 확장하여 활용할 수 있도록 규제 샌드박스(혁신금융서비스)를 통해 허용"하고 "향후에는 법제화하여 규제 샌드박스 없이 활용할 수 있게 할 계획"이며 금융당국의 강조점이 "원칙중심-자율보안-책임강화"라고 정리했습니다. 학술

3-22. 일부개정 — 금융위원회고시 제2025-4호 (2025.2.5 발령·시행 / 단계 2025.8.5·2026.2.5) ★규칙→원칙, 5·5·7 삭제, 이사회 보고, DR 확대, 24시간 통지

• 배경
• 개정이유(law.go.kr 원문): "○ 금융회사 등이 급변하는 IT 환경과 보안위험에 유연하게 적응할 수 있도록「전자금융감독규정」을 원칙중심으로 합리화하여 금융회사 등의 자율보안 역량 강화를 뒷받침" [27]
• 카카오 데이터센터 화재 → 재해복구센터 확대 (인과 (나)): 개정이유에는 사건명이 없습니다. 금융위 2025.2.5 보도 원문 "한편, '22년 카카오 데이터센터 화재 이후, 재해·전자적 침해 등으로부터 금융전산 복원력(Cyber Resilience) 강화와 신속한 소비자 피해구제 필요성이 제기되어 왔다." — 2024.2.1 예고 보도에도 같은 문장, 2022.12.27 「금융보안규제 선진화 방안」은 "금번 데이터센터 화재 사태로 現 감독규정의 개정 필요성이 제기된 상황", "최근 데이터센터 화재 후속조치로서, ①일정규모 이상 전금업자 등의 재해복구센터 설치의무 신설 검토, ②전자금융사고시 책임이행을 위한 보험금 가입기준을 상향하는 방안 검토"라고 적었습니다. 법률 차원의 대응 개정은 연혁상 없습니다. [58][54][53][92]
• 화재의 전자금융 측면(요약): 금감원(2022.10.16 배포) "(카카오페이) 판교에 소재한 주전산센터에 화재 피해가 발생했으나, 곧바로 재해복구센터(가산디지털단지) 전산망으로 연계 … 송금 및 결제 서비스가 중단되었으나, 19시부터 대부분 서비스가 순차적으로 정상화"; 카카오뱅크는 전산센터가 상암 소재로 직접 손상은 없었으나 카카오톡 간편이체(1일 100만원 한도) 일부 미작동. 화재 발생일 자체는 1차 문서로 확인하지 못했습니다(금융위 문서는 "'22.10월", 금감원은 2022.10.16 배포). [75][94]
• 원칙중심 전환의 정책 배경: 「금융보안규제 선진화 방안」(2022.12.27) "｢전자금융감독규정｣(§8~37) 중 필수사항만을 남기고, 세부적으로 규율할 사항은 가이드라인 또는 해설서 등으로 전환하겠습니다." / 금융위 2025.2.5 "293개에 달하는 세세한 행위규칙(Rule)을 166개로 합리적으로 정비", "금융권의 자율보안체계 확립을 위해 금융보안규제를 "규칙(Rule)에서 원칙(Principle) 중심"으로 개선(수범사항 293개 → 166개)", "향후 금융당국은「전자금융감독규정」개정에 이어 "자율보안- 결과책임"을 주요 내용으로 하는 디지털 금융보안법제를 마련함으로써 금융보안 패러다임을 자율보안체계로 전환해 나갈 예정" 1차-정부. 예고 보도 81633: "293개에 달하는 세세한 행위규칙(Rule)을 166개로 획기적으로 줄였다." [53][58][54]
• 규정변경예고: 금융위원회 공고 제2024-29호(noticeId 3958). 예고기간은 2024.2.1~2024.3.12(40일) — 공고 본문 "2024년 3월 12일까지 … 의견서를 제출", 보도 81633 "￭ 예고기간 : 2024.2.1일(목) ~ 2024.3.12일(화), (40일)"; 공고 화면 메타 "2024-02-01 ~ 2024-02-08"은 오기로 판단(교차검증 V19). [54][80][92]
• 주요내용(개정이유 원문): 가. 전자금융사고 책임이행 보험 등의 가입 기준 현실화(제5조제1항) / 나. 금융보안 거버넌스 강화를 위해 정보보호위원회 심의ㆍ의결사항 중 중요한 사항의 이사회 보고 의무화(제8조의2제4항) / 다. 건물, 설비, 전산실 관련 규정을 원칙중심으로 규정(제9조, 제10조, 제11조) / 라. 악성코드ㆍ공개형 웹서버 관리방안 등을 원칙중심의 합리화(제16조, 제17조) / 마. … IT시스템 사업추진, 계약ㆍ감리 관련 원칙중심의 규정(제20조, 제21조, 제22조) / 바. 재해복구센터 구축의무 범위 확대(제23조제8항) / 사. 직무분리 세부규정을 원칙중심으로 규정(제26조) / 아. 비밀번호 설정방식 관련 획일적 규율의 삭제(제32조, 제33조) / 자. 기타 운영상의 미비 등을 고려하여 수정. [27]
• 이전과 달라진 점(보안 관련 주요 줄)

• 재해복구센터 의무 대상 확대(보도 원문): "(현행) 은행, 금융투자업자, 보험회사, 신용카드업자, 저축은행(중앙회 전산 이용) 등 → (추가) 여신전문금융회사(총자산 2조원↑ + 상시종업원 300명↑), 저축은행(자체 전산설비), 전자금융업자(총거래액 2조원↑)" [58]1차-정부
• 시행일: 2025.2.5 / 제8조의2 = 발령 후 6개월(2025.8.5) / 제5조제1항·제2항·제23조제8항 = 발령 후 1년(2026.2.5) — 부칙 제1조 "이 규정은 고시한 날부터 시행한다. 다만, 제8조의2의 개정규정은 발령 후 6개월이 경과한 날부터 시작하고, 제5조제1항ㆍ제2항 및 제23조제8항의 개정규정은 발령 후 1년이 경과한 날부터 시행한다." 날짜는 금융위 보도 "고시한 날로부터 6개월 후인 '25.8.5일부터 적용", "1년 후인 '26.2.5일부터 적용"과 일치. 부칙 제3조(전산실 경과조치: 종전 규정에 따라 설치한 전산실은 종전 규정), 제4조(시행 전 금감원 검사 결과에는 제8조·제8조의3·제9조~제14조·제14조의2·제15조~제19조·제19조의2·제20조~제23조·제29조·제30조·제34조·제34조의3·제35조·제36조의 개정규정에도 불구하고 종전 규정). 같은 때 세칙도 2025.2.3 발령·2025.2.5 시행으로 내려온 세부사항(가동기록·망분리 예외 제2조의3·클라우드 첨부서류 제2조의4·원격관리 제2조의6·프로그램 통제 제2조의7·사고보고 대상 제7조의4)을 받았습니다(5장). [27][58][30]
• 영향받는 대상: 모든 금융회사·전자금융업자(원칙 중심 체계), CISO·이사회(중요 심의사항 보고), 새로 재해복구센터 의무를 지는 일정 규모 여전사·자체전산 저축은행·연간 거래 2조원 이상 전자금융업자, 책임이행보험 한도가 오른 금투사·선불업자, 침해사고를 겪은 회사(24시간 통지). 후속 집행 변화: 금융위 2025.9.3 「전자금융거래법상 안전성 확보 의무 관련 과태료 건별 부과기준이 강화됩니다」 — 과태료 동일성 판단을 감독규정 '절'이 아닌 "개별 수범사항" 기준으로, "오늘부터 전면 시행·적용"(직접 계기 사고는 명시 없음, "갈수록 고도화되고 대담해지는 금융침해범죄") — 과태료 체계는 → 「전자금융거래법 개정사」 제재 체계 절 참조. [27][58][59][94]
• 학계 평가: 문헌 G6(이형균 2026)은 "2025년 발생한 대규모 정보 유출 사고들은 물리적 망분리와 기존 경계 기반 통제가 존재했음에도 불구하고, 데이터 단위 보호의 부재가 심각한 피해로 이어질 수 있음을 입증"했다고 했습니다(사건명은 초록 앞부분에 없음 미확인). 5·5·7 삭제 자체를 다룬 문헌은 수집본에 없음. 문헌 L9(정진영·장항배 2023)는 EU DORA가 "emphasizes the role and responsibility of senior management in financial security"라고 해 이사회 보고 강화와 비교되는 국제 흐름을 소개했습니다(연결은 해석). 학술

3-23. 일부개정 — 금융위원회고시 제2026-7호 (2026.2.13 발령·시행) ★과징금 환급가산금 이율

• 배경: 개정이유(law.go.kr 원문) "1. 과징금 과오납에 따른 환급가산금 이율 근거 마련(안 제72조의2) ◇ 제ㆍ개정 이유 ○ 과징금 과오납에 따른 환급가산금 이율을 시중금리 수준을 고려하고 보다 명확하게 규정하기 위하여 개정 추진". 규정변경예고 금융위원회 공고 제2025-820호(noticeId 4107, 2025.11.17~12.29). [28][80]
• 이전과 달라진 점

• 시행일: 2026.2.13 — 부칙 "이 규정은 고시한 날부터 시행한다." [28]
• 영향받는 대상: 과징금을 과오납해 환급받는 금융회사·전자금융업자 해석
• 학계 평가: 해당 문헌 없음.

3-24. 일부개정 — 금융위원회고시 제2026-29호 (2026.7.15 발령·시행 / 제56조의8·제56조의9 2026.10.1) ★PG 위험평가·가맹점수수료 고지 — 현행

• 배경: 금융위 보도 87339(2026.7.15) "'26.7.15.(수) 개최된 제13차 금융위원회 정례회의에서 … 의결 … ｢전자금융업 결제수수료 공시 확대 및 PG업 규율 강화방안｣('25.10.1일 발표)의 후속조치", "※ ｢PG사 결제 리스크 관리 가이드라인｣(금감원 행정지도) 기시행('26.1.5일)" 1차-정부. 규정변경예고 금융위원회 공고 제2026-50호(noticeId 4119, 2026.1.21~3.3). 티메프 미정산 사태(2024.7) → 법률 제21205호(2025.12.16) → 이 고시(2026.7.15) → 금융위 10개 전자금융업자 첫 조치요구(2026.7.31)로 이어지는 PG 규율 강화의 흐름은 → 「전자금융거래법 개정사」 3장(2025 개정)·집행 절 참조(교차검증 분담표: 법 문서 본문). 법률 쪽 계기는 금융위 2025.11.27 "'24년 7월 발생한 티메프 미정산 사태를 계기로"입니다 1차-정부. 조치요구 원문은 "이는'25.12.16일 ｢전자금융거래법｣ 개정･시행*으로, 경영지도기준을 미준수한 PG(전자지급결제대행업자)‧선불업자 등 등록 전자금융업자에 대한 금융위원회의 조치 요구 제도가 신설", "금번이 첫 번째 조치 요구 사례"라고 적었습니다 1차-정부. [29][66][60][86][70][92]
• 개정이유(law.go.kr 원문)
• 1. 전자지급결제대행업자에 대한 위험평가 사항 명확화(안 제56조의8, 안 제56조의9) — "선불업자 및 전자지급결제대행업자 등*이 직불ㆍ선불전자지급수단 또는 전자화폐에 의한 거래를 대행하는 자와 계약체결 및 갱신 시 PG업 등록 여부, 경영지도기준 준수 현황 등을 평가하고, 계약기간 중 분기별(시행일로부터 1년이 되는 날까지는 반기별 점검)로 점검하도록 함 * PG업자, 결제대금예치업자, 은행 등 금융위원회에 등록하지 않고 전자금융업을 행할 수 있는 금융회사(전자금융거래법 시행령 제4조의2 각 호의 자) ㅇ … 위 평가 또는 점검 결과에 따라 계약 미체결, 미연장 등 필요한 조치를 취하도록 함"
• 2. 가맹점수수료 고지 시점 및 내용 명확화(안 제57조제2항 및 제3항) — "현행 전자금융거래법은 … 가맹점수수료를 고지할 의무를 규정하고 있으나, 고지 시점, 내용 등이 불명확 … 계약체결 및 갱신 시(영업대행인을 통해 계약체결 및 갱신하는 경우를 포함), 결제수수료 부과기준 변경시 가맹점수수료를 고지하고, 결제수수료 부과기준을 가맹점에 불리하게 변경할 시에는 1개월 전에 고지 … 결제수수료를 구분하여 알리도록 함" [29]
• 이전과 달라진 점

• 시행일: 2026.7.15 / 제56조의8·제56조의9 = 2026.10.1 — 부칙 "제1조(시행일) 이 고시는 공포한 날부터 시행한다. 다만, 제56조의8 및 제56조의9의 개정규정은 2026년 10월 1일부터 시행한다. 제2조(가맹점 준수사항에 관한 특례) … 제3조(가맹점 평가ㆍ점검에 관한 특례) 제56조의9제1호의 개정규정에도 불구하고 이 규정 시행일부터 1년이 되는 날까지는 계약기간중 같은 호 각 목의 사항을 반기별로 점검하여야 한다." 금융위 보도는 특례 기간을 "('26.10.1~'27.9.30일)"로 적음. [29][66]
• 영향받는 대상: 선불업자·상위 PG·결제대금예치업자·은행 등(하위 PG 평가·점검), 가맹점과 계약하는 금융회사·전자금융업자(수수료 고지), 가맹점 해석
• 학계 평가: 이 판을 직접 다룬 문헌은 수집본에 없음(티메프·PG 문헌 E3 등은 법률 개정 대상 → 법 문서).

3-25. 타법개정 2건 일람

• 재검토 주기의 이후 변화: 2012-26이 제75조 재검토기한 2015.6.30을 적었고, 2013-44가 2014.1.1 기준 3년 주기로 바꿨으며, 2018-36이 "2019년 1월 1일을 기준으로 매 3년이 되는 시점마다 재검토"로 통일했습니다. 2016-37은 제75조제1항 단서로 제14조의2제1항을 2년 재검토 대상으로 했습니다. 다음 재검토 시점은 2019.1.1 기준 매 3년 계산상 2025.12.31 다음 주기인 2028.12.31로 보입니다 해석. (원문 "제8조?제19조의2"의 '?'는 원문 문자 깨짐) [14][17][22][23][96]

3-26. 규정변경예고 20건 ↔ 고시 대조표

금융위원회 「입법예고/규정변경예고」 게시판에서 '전자금융감독규정'으로 검색한 공고 20건(같은 판에 대한 재공고 포함)과 그 뒤 고시를 짝지었습니다. 공고 화면에는 고시번호가 없으므로 예고 내용(조문·주제)과 이후 고시의 개정이유·개정문 조문이 같은 것을 짝지은 해석 입니다. 고시 26개 판 가운데 예고 공고가 확인된 것은 17개 판(+미고시 1)이며, 2000~2009 판과 타법개정 2건에는 대응 공고가 검색되지 않았습니다. [80][93]

• 공고 제2026-350호의 미고시 확인 방법: 2026-10-21 재수신 law.go.kr 연혁 목록은 26개 판, 최신 "제2026-29호, 2026. 7. 15."이고, 금융위 보도자료 제목 검색('감독규정'·'정산자금'·'전자금융거래법', 2026.6.1 이후)에서 2026.6.19 입법예고(no.87151) 외에 이 개정안의 의결 보도가 없었습니다. 함께 예고된 시행령 개정안도 시행령 연혁 최신이 대통령령 제36281호(2026.4.28)여서 미공포입니다. [1][64][92]

4. 보안 핵심 조항 변천 (조문 추적 — 현행 = 제2026-29호·세칙 2026.4.20 원문)

항목마다 생긴 때 → 바뀐 과정 → 현행 원문 순서의 표입니다. 조문 번호가 여러 번 바뀌었으므로(예: 공인인증서 제7조 → 제37조 → 제34조의2, 침해사고대응기관 제37조의4 → 제37조의6) 각 행에 그 판의 조문 번호를 적었습니다. 현행 문구는 본문_2100000282622.txt·세칙본문_2200000108629.txt에서 그대로 옮겼습니다. [2][3][93]

4-1. 정보기술부문 인력·예산 비율 (이른바 "5·5·7", 제8조제2항)

"5·5·7"은 원문 용어가 아니라 업계 통칭입니다 해석. 원문은 비율을 "준수하도록 노력하여야 한다"(노력의무) 로 정했고, 개정이유는 "권고"라고 했으며, 미달 시 공시만 의무였습니다. "2025년까지 시행"이나 "의무 채용"처럼 쓰지 않습니다(교차검증 E11·E16). [13][92]

• 현행 원문(제8조제2항): "② 금융회사 또는 전자금융업자는 정보기술 및 정보보호 분야별 전문성을 갖춘 인력과 충분한 예산을 확보해야 한다. <개정 2013. 12. 3., 2025. 2. 5.>" — 다만 현행 본문 끝 별표 목록에 "[별표 1] 정보기술부문 및 정보보호 인력 산정기준", "[별표 2] 정보기술부문 및 정보보호 예산 기준"이 여전히 표시되고 law.go.kr에서 별표 1 파일도 내려받아짐(내용 "<개정 2013.12.3., 2015.2.3.>") → 인용 조문이 삭제된 별표의 존치·효력은 [미해결](감독당국 해석 자료 미발견). [2][92]

4-2. 망분리 (제15조제1항제3호·제5호)

• 현행 원문(제15조제1항제3호·제5호): "3. 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리ㆍ차단 및 접속 금지. 다만, 다음 각 목의 경우에는 그러하지 아니하다. <개정 2013. 12. 3., 2022. 11. 23.> 가. 이용자의 고유식별정보 또는 개인신용정보(「신용정보의 이용 및 보호에 관한 법률」제40조의2에 따른 가명처리에 관한 행위규칙을 준수한 가명정보는 제외)를 처리하지 않는 연구ㆍ개발 목적의 경우(단, 금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 금융감독원장이 정한 망분리 대체 정보보호통제를 적용하고 정보보호위원회가 승인한 경우에 한한다) 나. 업무상 불가피한 경우로서 금융감독원장의 확인을 받은 경우" / "5. 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것. 다만, 다음 각 목의 경우에는 그러하지 아니하다.<신설 2013. 12. 3., 개정 2015. 2. 3., 2022. 11. 23.> 가. (제3호 가목과 같음) 나. 업무상 불가피한 경우로서 금융감독원장이 인정하는 경우" [2]1차-행정규칙
• 법률과의 관계: 현행 법률·시행령 본문과 법률 20개 판·시행령 47개 판 개정이유·개정문에 "망분리" 0건 — 망분리는 고시(행정규칙)만의 의무입니다. [91][92]

4-3. 클라우드 이용 (제14조의2)

• 현행 원문(제14조의2 주요 항): "① 금융회사 또는 전자금융업자는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다. <개정 2018. 12. 21.> 1. 다음 각 목의 기준에 따른 이용업무의 중요도 평가 … 2. 클라우드컴퓨팅서비스 제공자의 건전성 및 안전성 등에 대한 평가(단, 제1호의 평가를 통해 비중요업무로 분류된 업무에 대해서는 <별표 2의2>의 평가항목 중 필수항목만 평가할 수 있다.) 3. 클라우드컴퓨팅서비스 이용과 관련한 업무 연속성 계획 및 안전성 확보조치의 수립ㆍ시행(…)" / "④ 금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 사유가 발생한 날로부터 3개월 이내에 금융감독원장에게 보고하여야 하고, 관련 서류를 최신상태로 유지하여야 한다." / "⑦ 제1항의 절차를 거친 클라우드컴퓨팅서비스 제공자의 정보처리시스템이 위치한 전산실에 대해서는 제11조제1호 및 제2호, 제15조제1항제5호를 적용하지 아니한다. 다만, 금융회사 또는 전자금융업자(…)가 고유식별정보 또는 개인신용정보를 클라우드컴퓨팅서비스를 통하여 처리하는 경우에는 제11조제2호를 적용하고, 해당 정보처리시스템을 국내에 설치하여야 한다." [2]1차-행정규칙
• 클라우드 사업자(CSP)는 감독규정의 직접 수범자가 아니고, 금융회사의 외부주문·위탁(법 제40조)이나 전자금융보조업자(감독규정 제3조제3호 "정보처리시스템을 … 운영하는 사업자") 지위로 규율될 수 있습니다 해석. 「금융회사의 정보처리 업무 위탁에 관한 규정」도 적용됩니다(제14조의2⑧ 인용 — 그 고시 본문은 미열람). [96]

4-4. 공인인증서 사용 의무와 폐지

• 현행 원문(제34조의2): "제34조의2(인증방법 사용기준) 금융회사 또는 전자금융업자는 전자금융거래의 종류ㆍ성격ㆍ위험수준 등을 고려하여 안전한 인증방법을 사용하여야 한다. [본조 신설 2025. 2. .5.]"(원문의 ". .5."는 원문 그대로) [2]
• 감독규정 폐지와 법률 정비는 다릅니다: 법률 차원에서는 2014.10.15 법 제21조②③ 보완(2015.10.16 시행), 2020.6.9 「전자서명법」 전부개정에 따른 타법개정(2020.12.10 시행)이 있었습니다 → 「전자금융거래법 개정사」 3장 참조. 현행 법 제21조제2항 원문은 금융위 보도 86745 인용상 "「전자서명법」에 의한 인증서의 사용 등 인증방법에 관하여"입니다. [92][93]

4-5. 일회용 비밀번호(OTP)·보안카드

• 현행 원문(제34조): "1. 전화 등 거래수단 성격상 암호화가 불가능한 경우를 제외한 전자금융거래는 암호화 통신을 할 것(…) 2. 전자금융사고를 예방하기 위하여 비대면 전자금융거래를 허용하지 않는 계좌 개설, 중요거래정보에 대한 문자메시지 및 이메일(e-mail) 통지 등의 서비스를 이용자가 요청하는 경우, 동 서비스를 제공할 수 있도록 시스템을 갖출 것 3. 전자금융거래에 사용되는 접근매체를 발급받기 위해서는 반드시 실명확인 후 교부할 것. 4. … 무결성을 검증할 수 있는 방법을 제공할 것<종전의 제5호에서 이동, 2025. 2. 5.>" — OTP·보안카드 의무 문구 없음. [2]

4-6. 사고보고 — 30분(2001) → 10분(2006) → 30분/10분+1만명(세칙, 2025) · 침해사고 24시간 통지(2025)

두 가지를 구분합니다. ① 전자금융사고 보고(장애·침해 등 사고를 금감원에 보고 — 어떤 사고가 보고 대상인지의 기준이 "30분", "10분") ② 침해사고 통지(법 제21조의5 침해사고를 금융위원회에 알리는 기한 — "24시간"). 법률은 "지체 없이"만 정하고, 24시간은 고시(감독규정)가 정한 기한입니다. [2][92]

• 현행 원문(제37조의4): "금융회사 및 전자금융업자는 법 제21조의5에 따른 침해사고가 발생한 사실을 안 때에는 지체 없이 사고 내용, 사고에 따른 영향 등을 <별지 7호 서식>에 기재하여 금융위원회에 보고하여야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여서는 아니된다." [2]
• 현행 세칙 제7조의4(사고보고 대상·절차, 감독규정 제37조의5④ 위임): 대상 — 장애로 업무 지연·중단 30분 이상, 또는 10분 이상 + 해당 서비스 가입자 1만명 이상, 전산자료·프로그램 조작·오류, 전자적 침해, 법 제9조① 사고(사고금액 100만원 미만 제외 등). 24시간 이내 최초보고(EFARS), 2월 이상 소요 시 중간보고, 종결보고. 법 제9조①제1호 사고 3억원 미만은 익월 15일까지 일괄보고 가능. 침해사고는 금감원장이 침해사고대응기관에 통보(세칙 제7조의4⑦). [3][96]
• (舊) 기준: 2025.2.5 전 감독규정 제73조① "장애로 10분 이상 전산업무가 중단 또는 지연된 경우" 등 지체 없이 금감원장 보고. [96]
• 침해사고대응기관 조문의 변천: 2013.12.3 제37조의4 신설(금융결제원·코스콤·금융위원장 지정자, 침해사고조사단, 연 1회 대응·복구훈련) → 2015.3.18 제1호 "금융보안원"(금융보안원 성립일 시행) → 2016.10.5 제2항제4호 금융권 통합 보안관제센터·제7항 소프트웨어 조사·분석 → 2025.2.5 제37조의6으로 이동. 현행 제37조의6제1항 "1. 금융보안원 2. 삭제 3. 금융위원장이 지정한 자". [2][16][19][22][27]

4-7. 취약점 분석·평가 (제37조의2·제37조의3)

• 현행 원문(제37조의2제1항): "① 전자금융기반시설의 취약점 분석ㆍ평가는 총자산이 2조원 이상이고, 상시 종업원 수(…) 300명 이상인 금융회사 또는 전자금융업자이거나 「수산업협동조합법」, 「산림조합법」, 「신용협동조합법」, 「상호저축은행법」 및 「새마을금고법」에 따른 중앙회의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하여야 한다." 시행령은 사업연도마다 1회 이상, 종료 후 30일 이내 결과보고·이행계획 제출(영 제11조의6②③). 평가전문기관 제1호 "「정보통신기반 보호법」 제16조에 따라 금융분야 정보공유ㆍ분석센터로 지정된 자", 제2호 "「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호전문서비스 기업 <개정 2016. 6. 30.>". [2][96]
• 집행 예: 쿠팡페이 2026.7.23 과태료 480만원 — 2021.6.21 전자금융기반시설·2022.1.10 홈페이지 취약점 분석·평가에서 도출된 취약점을 2022.1.28 정보보호위원회에서 '위험수용' 처리하면서 최고경영자 승인 미득(전금법 제21조의3제2항, 감독규정 제37조의2제5항제2호). [78]

4-8. 재해복구센터·RTO (제23조)

• 현행 원문(제23조제8항~제10항): "⑧ 다음 각 호의 금융회사 및 전자금융업자는 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 업무지속성을 확보할 수 있도록 적정 규모ㆍ인력을 구비한 재해복구센터를 주전산센터와 일정거리 이상 떨어진 안전한 장소에 구축ㆍ운용하여야 한다. … 11. 「전자금융거래법」에 의한 전자금융업자(연간 전자금융거래 총액이 2조원 이상인 회사에 한정한다) <신설 2025. 2. 5.> ⑨ 제8항 각 호의 금융회사는 업무별로 업무지속성 확보의 중요도를 분석하여 핵심업무를 선정하여야 하며, 업무별 복구목표시간을 정하여야 한다. 이 경우 핵심업무의 복구목표시간은 3시간 이내로 하되, 「보험업법」에 의한 보험회사의 핵심업무의 경우에는 24시간 이내로 한다. ⑩ 제8항의 규정에 따른 재해복구센터를 운영하는 금융회사는 매년 1회 이상 재해복구센터로 실제 전환하는 재해복구전환훈련을 실시하여야 한다." — 제9항·제10항의 주어는 여전히 "금융회사"로 남아, 2025년에 추가된 전자금융업자에게 RTO·전환훈련이 적용되는지는 문언상 불명 해석. 현행 제11조제1호는 국내 본점 금융회사·전자금융업자의 전산실 및 재해복구센터를 국내에 설치하도록 합니다. [2][96]
• 비상대응훈련은 연 1회, 결과 금융위 보고(제24조①). [96]
• 관련 사고(인과 (다), 규정 개정과 연결 문서 없음): 2014.4.20 삼성SDS 과천 전산센터 화재(삼성생명·삼성카드·삼성자산운용 주전산센터, 삼성화재·삼성선물 백업센터 소재), 2018.11.24 KT 아현지사 화재(인근 은행 ATM·카드결제 장애). [89]

4-9. 정보보호최고책임자(CISO)·정보보호위원회

CISO 지정 의무 자체(법 제21조의2, 2011.11.14 신설·2014 겸직 제한·시행령 2조원·300명/10조원·1,000명)는 법률·시행령 소관 → 「전자금융거래법 개정사」 3장(2011·2014 개정) 참조. 여기서는 감독규정이 정한 운영 규정만 다룹니다(교차검증 분담표). [92]

• 현행 원문(제8조제1항제3호·제5호, 제8조의2제4항): "3. 정보보호최고책임자는 임직원의 정보보호역량 강화를 위하여 매년 교육계획을 수립ㆍ시행할 것 … 5. 정보보호최고책임자는 임직원이 정보보안 관련법규를 준수하고 있는지 정기적으로 점검하고 그 점검결과 및 보완계획을 최고경영자에게 보고할 것" / 제8조의2 "④ 정보보호최고책임자는 정보보호위원회 심의ㆍ의결사항을 최고경영자에게 보고하여야 하며, 정보보호최고책임자가 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미친다고 판단하는 심의ㆍ의결사항에 대해서는 이사회에 보고 하여야 한다. <개정 2025. 2. 5.>" [2]
• 현행 제6조의2: CISO 임원 지정 대상 판단의 상시 종업원 = 「소득세법」상 근로소득세 원천징수 대상자. [2][96]
• 향후(법률 단계, 미입법): 금융위 2026.7.31 "CISO의 권한을 강화하는 내용 등을 포함한 「전자금융거래법」 개정안의 국회 통과를 적극 지원", 계류 유동수의원안(2214714)은 "정보보호최고책임자 권한 강화(이사회 의결로 임면)" 포함 — 지원 대상 의안 특정은 해석 → 법 문서 참조. [69][92]

4-10. 원격접속 (정보보호시스템 원격관리·임직원 원격접속)

• 세칙 2020.11.6 판 개정이유(원문, 인과 (가) — 세칙 개정이유가 계기를 직접 적음): "◇ 개정 배경 □ 금융회사는 망분리 규제로 인해 회사 외부에서 내부 업무시스템으로 접속할 수 없어 재택근무가 사실상 불가했던 상황 □코로나19로 금융회사 임직원의 재택근무가 불가피해짐에 따라 비조치의견서를 통해 원격접속을 한시적*으로 허용('20.2월)하였으나, * 대체자원 확보가 곤란하거나 업무상 불가피한 경우에 한하여 필수 인력에 대해서만 허용하고 비상상황 종료시 재택근무 중단 … ◇ 개정 내용 <1>임직원의 원격접속을 망분리 예외사유로 명시함으로써 금융권 상시 재택근무를 허용(제2조의2 ①항) ㅇ(현행)IT부문(개발, 보안, 운영 업무) 직원에 한하여 시스템 장애 발생 등 비상상황 시에만 원격접속 허용 ㅇ(개정)일반 임직원(외주업체 포함)도 원격접속을 통해 상시 재택근무가 가능하도록 허용 <2>원격접속시 지켜야 하는 정보보호 통제사항을 명시함으로써 재택근무로 인해 예상되는 취약점을 사전 예방(<별표7>) …" [32]
• 현행: 감독규정에는 원격 조항 없음(제15조제2항 "금융감독원장이 정하는 사항을 준수") / 세칙 제2조의3제1항제2호·제2항제3호(망분리 예외로서 원격접속), 제2조의6제3호(정보보호시스템 원격관리 금지·예외). [2][3]

4-11. SaaS·생성형 AI — 규정 개정 vs 혁신금융서비스(특례)·세칙·비조치의견서

2024.8.13 로드맵 뒤 조치는 규정(감독규정) 개정, 세칙 개정, 혁신금융서비스(금융혁신지원 특별법상 규제 특례), 비조치의견서(한시 회신), 정책 발표로 형식이 서로 다릅니다. 표의 '형식' 열로 구분합니다. [93]

• 생성형 AI: 2026-10-21 현재 감독규정·세칙(그리고 법률 본문)에 "생성형"·"인공지능" 문자열 0건 — 생성형 AI 명시 조문은 없고 혁신금융서비스로 운영 중입니다. 보도 86972: "[생성형AI] 샌드박스 활용중, 연내 제도화 추진"(계획). [92][63]
• SaaS 현행 원문(세칙 제2조의3): "3. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제3조제2호에 따른 "응용프로그램 등 소프트웨어를 제공하는 서비스" 이용 목적의 경우 <신설 2026. 4. 20.>" / "④ 제1항제3호의 경우 금융회사 또는 전자금융업자는 별표 7에서 정한 망분리 대체 정보보호통제의 이행 여부를 반기에 1회 평가하고 정보보호위원회에 보고하여야 한다. <신설 2026. 4. 20.>" [3]1차-행정규칙
• 2차 긴급 완화 비조치의견서의 실제 발급: 선정 예정일(2026.10.7)은 지났으나 발급 사실은 1차 문서로 확인하지 못했습니다 → 미확인. [96]

5. 「전자금융감독규정시행세칙」(금융감독원 세칙) 연혁 — 24개 판

• law.go.kr 세칙 연혁 목록은 22개 판(세칙 번호는 law.go.kr에 표시 안 됨 — "금융감독원세칙 , <날짜>")입니다. 여기에 목록에서 빠진 것으로 확인된 2개 판(2014.3.31 개정판, 2014.5.20 시행판)을 더해 24개 판으로 정리했습니다. [30][93]
• 목록 누락 확인: 2015.4.8 판 본문에 "<개정 2014.3.31>", "<신설 2014.3.31>" 표시가 다수 있고, 금융위 보도 71140은 "시행일 : '14.5.20일(화)부터 시행"인 세칙 개정(카드결제 공인인증서 예외)을 알립니다 → law.go.kr 세칙 연혁 목록은 불완전합니다 [1차-행정규칙/1차-정부, 누락 판단은 해석]. 금감원(fss.or.kr) 법규정보로 완전 목록 대조는 하지 못했습니다 → 두 판의 발령일·세칙번호 미확인. 두 판이 같은 판의 발령·시행일일 가능성도 배제하지 못합니다 해석. [30][44]
• law.go.kr에 이유가 있는 세칙 판은 6개(2015.9.17, 2016.5.12, 2016.11.10, 2017.9.5, 2020.11.6, 2024.9.13)뿐이고, 나머지는 앞 판 본문과 비교(diff)한 결과입니다([해석:diff]).

• 세칙 판별 이유 원문 — 2015.9.17 판: "◇ 개정 필요성 「전자금융감독규정」개정에 따른 금융감독원장 위임사항을 반영하고, 효율적인 보안점검을 위해 일일점검항목을 조정 ◇ 주요 개정 내용 가. 망분리 예외 규정 신설(제2조의2) ○ 국외 전산센터를 둔 금융회사의 정보처리 위탁 등 업무상 불가피한 경우 망분리 예외 규정 신설 나. 자체 보안성심의 기준·절차 마련(제3조) ○ 사전 보안성심의 폐지에 따라 자율보안체계 확립을 위해 금융회사 자체 심의에 필요한 기준과 절차, 양식 등을 규정 다. 공인인증서 관련 규정 삭제(제4조~제7조) ○ 공인인증서 의무사용 폐지에 따라 동 규정의 예외항목을 정한 위임사항 및 공인인증서 외 인증방법의 안전성을 평가하기 위한 인증방법평가위원회 관련 사항 삭제 라. 외부주문 등의 일일 점검 항목 조정(제9조의2, 별표 5-3) … 마. 기타 ○ 전자금융업무 미수행 회사의 업무보고서 제출의무 면제에 따라 관련 업무보고서 서식 삭제" [31]1차-행정규칙
• 세칙 판별 이유 원문 — 2020.11.6 판: 4-10 인용 참조. [32]
• 세칙의 위계와 판례: 세칙은 감독규정보다 아래의 금감원 세칙이지만, 대법원 2018다222303은 구 세칙 제9조제1항제7호 위반을 민사상 주의의무 위반 판단에 썼습니다(7장). [82]

6. 사고·사건과 규정 개정 연대표

인과 표기: (가) 개정이유가 사건 유형을 직접 언급 / (나) 개정이유엔 사건명이 없고 정부(또는 국회) 문서가 특정 사건과 직접 연결 / (다) 시기만 맞음 → 연결하지 않거나 해석. 법률 개정과의 연결(2014 카드3사↔법률 제12837호, 2021 머지포인트↔법률 제19734호, 2024 티메프↔법률 제21205호, 2025~2026 침해사고↔징벌적 과징금 계류 법안)은 → 「전자금융거래법 개정사」 사건 연대표 참조. [92]

• (나) 연결의 정리: 감독규정 개정을 정부 문서가 사건과 직접 연결한 것은 2011-18(현대캐피탈·농협), 2013-39(3·20), 2015-3(카드사 유출 — 개정이유가 대책 이름을 적고 대책이 사건을 적는 사슬), 2024-44(머지포인트, 법률 후속), 2025-4(카카오 데이터센터 화재) 5건이며, 미고시 공고 제2026-350호(티메프)가 같은 유형입니다. 개정이유 자체가 사건 유형을 적은 (가)는 2011-18("전자적 침해행위도 증가")입니다. [92]
• 2025~2026 침해사고 이후 규정 개정: 2026-10-21까지 이들 사고에 대응한 감독규정 개정은 없고, 취약점 점검 주기 확대 등은 정책 발표 단계입니다. [68][92]

7. 판례·헌법재판소 결정

7-1. 대법원 2019.9.26. 선고 2018다222303, 222310, 222327 판결 — 세칙 위반을 민사 주의의무 판단에 쓴 사례

교차검증 분담표상 이 판결은 규정 문서 본문입니다(판단 대상이 세칙). 같은 판결의 정보통신망법·신용정보법 적용 부분, 위자료 판단은 → 「신용정보법 개정사」 5-3절 참조. [92]

• 사건: 손해배상(기). 2010년 롯데카드 카드사고분석시스템(FDS) 업데이트 용역 과정의 개인정보 유출(판시사항 [3]: "신용카드 등 발행·관리 등의 사업을 영위하는 甲 주식회사가 乙 주식회사에 카드사고분석시스템의 업데이트에 관한 용역을 의뢰하고, 업무상 필요를 이유로 乙 회사의 직원들에게 신용카드 회원의 개인정보를 제공하였는…"). 원심 서울고법 2018.2.2. 2016나2090012, 2090029, 2090036. 주문: 상고 모두 기각. 재판부: 대법관 박상옥(재판장) 안철상 노정희(주심) 김상환. [82]1차-판결
• 판시사항 [1] 원문: "구 전자금융감독규정시행세칙 제9조 제1항 제7호에 규정한 '보조기억매체'에 금융기관의 업무상 필요에 따라 외부로부터 반입된 것이 포함되는지 여부(적극) 및 하드디스크 드라이브를 비롯한 새로운 저장매체가 '보조기억매체'에 해당하는지 여부(적극)" [82]
• 판결요지 [1] 원문: "구 전자금융거래법(2013. 5. 22. 법률 제11814호로 개정되기 전의 것) 제21조는 금융기관이 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 하고(제1항), 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 정보기술부문 및 전자금융업무에 관하여 금융위원회가 정하는 기준을 준수하여야 한다고 정하였다(제2항). 그에 따라 제정된 구 전자금융감독규정(2011. 10. 10. 금융위원회고시 제2011-18호로 전부 개정되기 전의 것, 이하 같다)의 위임을 받은 구 전자금융감독규정시행세칙(2012. 5. 24. 전부 개정되기 전의 것) 제9조는 금융기관이 전산자료의 유출, 파괴 등을 방지하기 위하여 수립하여야 할 전산자료 보호대책 중 하나로 '정기적으로 보조기억매체의 보유 현황 및 관리실태를 점검하고 관리책임자의 확인을 받을 것'을 정하였다(제1항 제7호). 여기에서 말하는 보조기억매체에는 금융기관이 직접 보유·관리하는 것뿐만 아니라, 금융기관의 업무상 필요에 따라 외부로부터 반입된 것도 포함된다. 금융기관이 전자금융거래의 안전성을 확보하여야 할 선량한 관리자로서의 주의의무를 다하기 위해서는 외부로부터 반입한 보조기억매체의 보유 현황 및 관리실태도 정기적으로 점검하고 확인할 필요가 있기 때문이다. 그리고 구 전자금융감독규정 제2조가 보조기억매체를 정의하면서 든 '자기테이프, 디스크, 디스켓, 콤팩트디스크(CD) 등'은 예시에 불과하다. 따라서 하드디스크 드라이브를 비롯한 새로운 저장매체도 보조기억매체에 해당한다." [82]1차-판결
• 참조조문 [1]: 구 전자금융거래법(2013.5.22 법률 제11814호로 개정되기 전의 것) 제21조 제1항·제2항, 구 전자금융감독규정(2011.10.10 금융위원회고시 제2011-18호로 전부 개정되기 전의 것) 제2조 제1항 제2호(현행 제2조 제2호 참조), 제6조(현행 제7조 참조), 구 전자금융감독규정시행세칙(2012.5.24 전부 개정되기 전의 것) …. [82]
• 의미(정리): 법률(제21조②) → 고시(감독규정) → 세칙으로 이어지는 위임 사슬을 대법원이 그대로 인정하고, 세칙 조항의 의미를 넓게 해석(외부 반입 매체·새로운 저장매체 포함) 해 금융기관의 선관주의 위반 판단에 썼습니다. 행정규칙(세칙) 위반이 민사 판단에 쓰인 사례입니다(판단 구조의 요약은 해석). 수집본에서 감독규정의 위임 한계를 정면으로 다툰 판례·헌재 결정은 찾지 못했습니다(10-4). [82][95]

7-2. 헌법재판소 2011헌마620 (각주)

• 헌법재판소 지정재판부 2011.11.1 결정, 입법부작위 위헌확인(자동입출금기 과잉설비 제한 입법부작위) — 각하(4호). 이유 중 "나. 그런데 입법자는 전자금융거래법 제21조, 전자금융감독규정(금융위원회고시 제2011-18호) 제8조 및 제34조 제1항 등에서 전자금융업자의 안전성확보 의무, 인력ㆍ조직ㆍ예산에 관한 사항의 준수의무를 규정하는 등 이미 자동입출금기를 통한 안전한 금융서비스 제공을 위해 일정한 규제를 하고 있…" → 헌법상 작위의무 없음. 감독규정 조문(제8조 = 인력·예산, 제34조①= OTP)을 헌재가 '이미 있는 규제'로 언급한 예입니다. 전자금융거래법 조항을 다룬 그 밖의 헌재 결정은 → 「전자금융거래법 개정사」 판례 장 참조. [83]1차-헌재

8. 집행 — 감독규정 위반 제재와 전자금융사고 통계

8-1. 조사 방법과 한계

• 금감원 「검사결과제재」 공시 목록(2014-01-01~2026-10-21)을 전수 내려받아 4,558건(목록 최상단 번호 4575)을 확보하고, 담당부서가 IT·디지털·전자금융 계열인 건을 걸러 236줄(회사명에 '디지털'·'핀테크'가 들어가 걸린 오탐 2건 포함 해석)을 목록화한 뒤, 그중 30건의 제재내용 공개안을 직접 내려받아 위반 조문을 확인했습니다. 나머지 IT부서 건과 다른 부서 건의 감독규정 위반 포함 여부는 전수 확인하지 못했습니다 → 미확인. [79][78][96]
• 법률과 고시의 관계(제재 문서 읽는 법): 감독규정은 법 제21조② 등의 위임에 따른 금융위 고시이고, 위반 시 과태료 근거는 법 제51조①제1호("제21조제1항 또는 제2항을 위반하여 … 금융위원회가 정하는 기준을 준수하지 아니한 자")입니다. 그래서 제재공개안은 통상 "전자금융거래법 제21조 제2항 + 전자금융감독규정 제○조"를 함께 적습니다 — 즉 "법률의 위임에 따른 기준(감독규정) 위반" 입니다. 현행 시행령 별표 3 개별기준은 제21조② 감독규정 기준 미준수 5,000만원, 제21조① 선관주의 위반 3,000만원, 침해사고 미통지 600만원(단위 만원 표기: 5,000·3,000·600) 등입니다. [96]1차-법령해석
• 2025.9.3 이후 과태료 산정 단위: 감독규정 수범사항 정비(293→166) 뒤 금융위는 과태료 동일성 판단을 감독규정 '절'이 아닌 "개별 수범사항" 기준으로 하는 건별 부과로 바꿨습니다("오늘부터 전면 시행·적용"). 과태료 체계 연혁(상한 5천만원/2천만원/1천만원 3단계 등)은 → 「전자금융거래법 개정사」 제재 체계 절 참조. [59][96]

8-2. 금감원·금융위 제재 중 감독규정 위반이 인용된 건 (1차 원문 확인분, 시간순)

• 정정 롯데카드(2026) 근거 표기: 집행 노트가 적은 "금융위 보도 각주: 여전법 제24조·시행령 제7조의2, 「전자금융거래법」 제21조(안전성의 확보 의무), 신용정보법 제19조①"는 2014.2.16 카드3사 처분 보도자료의 각주를 잘못 옮긴 것으로, 2026.7.31 보도참고(게시 본문·첨부 HWPX 전문)에는 각주 형태의 근거 나열도, 「전자금융거래법」 근거도 없습니다(교차검증 E9). 따라서 "전금법 제21조 근거"라고 쓰지 않습니다. 같은 사건의 신용정보법 측면은 → 「신용정보법 개정사」 4-3절 참조. [69][71][92]
• 무관 확인분: ㈜비바리퍼블리카 2025.7.9(과태료 12백만원 — 「금융혁신지원 특별법」 혁신금융서비스 부가조건 위반), 피에프씨테크놀로지스 2025.6.17(온투법)·2026.9.17(신용정보법, 과징금 49백만원), ㈜헥토이노베이션 2025.9.8(신용정보법), 롯데카드 2025.9.8(신용정보법 마이데이터, 과태료 면제)는 전금법·감독규정 위반이 아닙니다. 본문 미추출(이미지 PDF·HWP): 우리은행 2020.9.18, 에이치엔알 2025.3.27, KG이니시스 2015.5.7·농협은행·농협중앙회 2014.10.24 → 내용 미확인. [78]
• 위반 조문 빈도(위 확인분 기준, 이 문서 집계 해석): 감독규정 제15조(망분리 등 해킹 방지) 인용 = 농협은행 2015·신한은행 2017·카카오 2018·네이버 2019·토스 2021·카카오페이 2021·네이버파이낸셜 2021·NHN페이코 2022 = 8건(+롯데카드 2026 금감원 공개안의 제14조·제15조 인용) / 제29조(프로그램 변경·테스트 등) 인용 = 우리은행 2020·신한은행 2021·한국투자증권 2021·카카오페이 2021·롯데카드 2024·한국투자증권 2026·한화생명 2026·우리은행 2026 = 8건 / 제14조의2(클라우드) = 토스·카카오페이 2021 2건 / 세칙 제2조의2(망분리 예외 절차) = 네이버파이낸셜 2021·NHN페이코 2022 2건. 30건 표본 기준이므로 전체 경향으로 일반화하지 않습니다. [78]해석
• 과태료 금액 관찰 해석: 위 확인분 중 기관 과태료 최고액은 2020.7.8 우리은행·2026.5.21 한화생명의 8,000만원, 한국투자증권 2026.5.15의 1억원(100백만원)입니다. 법 제51조①의 1건 상한은 5천만원이므로 1억원은 복수 위반행위 합산으로 보입니다 해석. [78][96]
• 전금법 제46조① 과징금(50억원 이하) 실제 부과 사례: 확인분에서 찾지 못함 → 미확인(롯데카드 2026 과징금 50억원은 신용정보법 근거). [92]

8-3. 비제재 조치(감독규정 관련)

8-4. 전자금융사고(장애·침해) 보고 건수 (금감원)

이 통계의 "사고" 집계 기준(어떤 장애를 보고하는가)이 감독규정·세칙의 사고보고 기준(10분 이상 등)이므로 규정 문서 본문으로 둡니다(교차검증 분담표). [92]

• 2023 하반기 이후 반기·연간 집계 보도자료는 찾지 못했습니다 → 미확인. 2026.6.29 금감원 「금융IT 리스크 대응회의」는 491개사 대상이었으나 건수 통계를 제시하지 않았습니다. [96]
• 금감원은 2014년부터 보안대책 강화로 "대형 침해사고로 인한 소비자 피해 사례는 발생하지 않았으며"라고 하면서 과거 대형 사고로 "7.7 DDoS('09년), 3.4 DDoS 공격, 농협 및 현대캐피탈 해킹사고('11년), 3.20 금융전산사고('13년), 카드사 고객정보 유출사고('14년)"를 열거했습니다(2022년 자료). [76][94]

9. 관련 법률과의 관계

9-1. 「전자금융거래법」 — 위임하는 법률

• 위임 구조: 법 제21조②(안전성 기준) → 감독규정(고시) → 세칙. 대법원 2018다222303이 이 사슬을 그대로 인정했습니다(7-1). [82][91]
• 법률에는 원칙, 고시에는 구체 기준: 침해사고 통지는 법 제21조의5① "금융위원회에 지체 없이"(2013.11.23 시행), 감독규정 제37조의4 "24시간을 경과하여서는 아니된다"(2025.2.5). CISO는 지정 의무·임원 지정·겸직 제한이 법률·시행령, 운영(점검·정보보호위원회·이사회 보고)이 감독규정입니다. 망분리는 법률·시행령에 0건으로 고시에만 있습니다. [2][91][92]
• 고시가 법률보다 먼저 간 사례: 2011.6.23 대책의 첫 결과물은 감독규정 전부개정(2011.10.10)이었고 법률 개정(제11087호)은 2011.11.14 공포였습니다. 반대로 현금인출 최고한도는 "법령에 근거 없이 전자금융감독규정에 따라 제한"하다가 2013 법률 개정(제23조②)으로 근거가 생겼습니다(2-2). [91][92]
• 제재의 연결: 감독규정 위반 = 법 제21조② 위반 → 법 제51조①제1호 과태료(5천만원 이하, 시행령 별표 3 개별기준 5,000만원). 2014.10.15 법 개정이 이 과태료 항목을 신설(2015.4.16 시행)했습니다. 업무정지 사유(법 제43조②제1호)에 "제21조제1항ㆍ제2항, 제21조의5제2항"이 들어간 것은 2013.11.23 시행(법률 제11814호, 2013.5.22 공포)입니다(교차검증 E14). [92][96]
• 앞으로(법률 단계): 징벌적 과징금(전체 매출액의 3% 이내)·CISO 권한 강화를 담은 법 개정은 2026-10-21 현재 정무위 계류 의원안 단계(유동수의원안 2214714 "총매출액의 100분의 3 이하", 김용만의원안 2218583 "매출액의 100분의 3 이하"; 정부 제출 0건)이고, 금융위는 2026.7.31 국회 통과 지원 방침을 밝혔습니다(지원 대상 의안 특정은 해석). 가칭 「디지털 금융보안법」(자율보안-결과책임)은 정책 구상 단계입니다. → 「전자금융거래법 개정사」 계류 법안 절 참조. [57][58][69][92]

9-2. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(클라우드컴퓨팅법)

• 감독규정 제14조의2①은 2018.12.21(2019.1.1 시행)부터 "「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스"를 인용해 정의를 빌려 씁니다(현행 본문 인용 1건). 세칙 제2조의3제1항제3호(2026.4.20)는 같은 법 시행령 제3조제2호 "응용프로그램 등 소프트웨어를 제공하는 서비스"를 인용해 SaaS 범위를 정합니다. [2][3][23]1차-행정규칙
• 클라우드컴퓨팅법 자체의 조문·개정 연혁은 수집 범위 밖입니다 → 미확인(정의 조문 원문 미열람). [93]

9-3. 「개인정보 보호법」

• 직접 인용 없음(실측): 2026-10-21 현행 감독규정 본문과 현행 세칙 본문에서 "개인정보 보호법" 문자열은 0건입니다(이 문서 작성 때 원문 사본을 문자열 검색, 1차-행정규칙 실측 / 의미 판단은 해석). 감독규정은 개인정보 대신 "고유식별정보", 「신용정보법」상 "개인신용정보" 라는 용어로 망분리·클라우드 예외의 범위를 정합니다(제14조의2, 제15조제1항제3호·제5호 가목). 공개용 웹서버 조항(제17조)은 "개인정보 유출 및 위ㆍ변조를 방지하기 위한 보안조치 방안"이라는 일반 표현을 씁니다. [2][3]
• 금융회사의 개인정보 유출 사건에서 어떤 법이 적용되는지(정보통신망법 vs 신용정보법, 대법원 2018다222303 판시사항 [2])와 「개인정보 보호법」 개정사는 → 「신용정보법 개정사」 5장·docs/개인정보보호법_개정사_정리.md 참조. 학술 문헌 H7(구자영 2025)은 생성형 AI 은행업 적용 쟁점으로 「개인정보 보호법」·「은행법」·「인공지능산업 육성 및 신뢰 기반 조성에 관한 법률」의 적용 가능성을 평가했습니다(전금법·감독규정 직접 언급은 초록 앞부분에 없음 미확인). [82]학술

9-4. 「신용정보의 이용 및 보호에 관한 법률」(신용정보법)

• 현행 감독규정의 신용정보법 인용 3건(실측): ① 제15조제1항제3호 가목 ② 같은 항 제5호 가목 — "「신용정보의 이용 및 보호에 관한 법률」제40조의2에 따른 가명처리에 관한 행위규칙을 준수한 가명정보는 제외"(2024.12.24 제2024-60호) ③ 제54조(허가 및 등록신청 결격자) — "「신용정보의 이용 및 보호에 관한 법률」제25조 제2항 제1호의 종합신용정보집중기관". 2016.10.5 제14조의2도 "「신용정보의 이용 및 보호에 관한 법률」에 따른 개인신용정보"를 처리하는 시스템을 비중요 시스템에서 뺐습니다. [2][22][26]
• 제재의 병행: 카드3사 2014(위반 근거에 전금법 제21조·신용정보법 제19조①·여전법 함께), 롯데카드 2024(신용정보법 제19조① + 전금법 제21조② + 감독규정 제7조 등), 롯데카드 2026(과징금은 신용정보법, 감독규정은 금감원 공개안의 기준 인용)처럼 한 사건에 두 법이 함께 적용되는 경우가 있습니다(8-2). [71][78][69]
• 상세는 → docs/신용정보법_개정사_정리.md 참조.

9-5. 그 밖에 감독규정이 인용하는 법령·고시

10. 학계 쟁점 (주제별)

학술 문헌은 초록·목차 수준만 확인했습니다(본문 미열람). 따옴표 안은 초록 원문입니다. 국회 문서는 본문을 열람한 범위입니다. [95]

10-1. 망분리 — 보안 효과 vs 혁신 비용

• 효과의 한계: 문헌 G1(2015) — 망분리 이후에도 "이동식 저장매체를 통한 악성코드의 감염경로가 완전히 차단되지 않았음". 문헌 G6(2026) — 현행 규정은 "'네트워크 단절' 중심"이며 "특정 기술 방식을 법령에 직접 명시함으로써 기술중립성 원칙과 충돌", "2025년 발생한 대규모 정보 유출 사고들은 물리적 망분리와 기존 경계 기반 통제가 존재했음에도 불구하고, 데이터 단위 보호의 부재가 심각한 피해로 이어질 수 있음을 입증". 학술
• 비용·생산성: 문헌 G3(2021) — "디지털 금융 혁신에 있어 가장 큰 장애요인 중 하나", 서비스·거래 규모별 차등화 제안. 문헌 G4(2022) — 개발자 134명 조사, 생산성 하락·이직 의도 증가. 문헌 G7(2026) — "인프라 이중화에 따른 TCO 상승, SI 프로젝트 예산의 15~20%에 달하는 상주 간접 인건비 증가, 그리고 폐쇄적 생태계로 인한 소프트웨어 자산의 재활용 단절", "데이터 등급 기반의 망분리 체계 개편" 제언(수치는 저자 분석 — 1차 통계 아님). NARS N1(2021) — "현재 안전한 디지털금융 생태계 확립을 위한 명확한 보안원칙과 기준이 「전자금융거래법」 상 존재하지 않음", 금융위원회 내 "금융보안전문위원회" 설치(감독규정 개정·물리적 망분리 예외 결정 등) 제시. 학술1차-국회
• AI 시대의 역설: 문헌 G8(2026) — 망분리 환경의 섀도우 AI는 "전자금융감독규정 위반, 피평가 기업 영업비밀 유출, 자본시장법 위반이라는 추가적 위험", "망분리 규제는 … 섀도우 AI를 억제하는 제도적 장벽이지만 동시에 그 발생 압력을 증폭시키는 역설적 구조", "차등 허용(differentiated enablement) 원칙". 문헌 G9(2026)은 망분리 환경의 프라이빗 LLM 성능(BLEU 47.03% 대 13.34%)을 보고했으나 일반화에 한계를 밝혔습니다(기술 논문). 문헌 G5(2024) — 로드맵의 방향 "원칙중심-자율보안-책임강화". 학술
• 정부 쪽 대응: 2015 예외 단서 → 2016·2019 클라우드 전산실 예외 → 2021 원격접속 → 2023 R&D → 2024 가명정보 → 2026 SaaS 세칙·비조치 긴급 완화(4-2·4-11). 학계가 제안한 "데이터 중심·차등 규제"와 정부의 "원칙중심·자율보안-결과책임"이 같은 방향인지는 초록만으로 판단하지 않습니다 [해석 유보].

10-2. 클라우드 — 데이터 국지화와 실효성

• 문헌 H1(2018) — 비중요 시스템 지정 기준의 모호성. 문헌 H2(2019) — "데이터 국지화 정책은 클라우드 이용 활성화를 가로막는 대표적인 규제이며, 이는 해외 사업자에 대한 차별문제도 야기". 문헌 H3(2020) — 2019 개정에도 "실제 중요시스템을 클라우드컴퓨팅 서비스를 도입하여 운용하는 사례가 미미". 문헌 H4(2020) — 금융보안원 이용가이드 권고사항의 불편, 재위탁·가상화·SLA 개선안. 문헌 H5(2021) — 규제 완화 뒤 글로벌 데이터센터 설립과 환경비용(1개 연간 약 64억원·현재가치 약 870억원, 저자 추정), "환경비용에 대한 어떤 제약 또는 조건을 규정하지 않았다". 문헌 H9(2025) — 현행 법제는 "동의 중심 통제, 자율･권고 위주의 기준, 기술별 분절 규정"에 머물러 "책임추적성･락인(lock-in) 완화･복원력" 논의 부족. 학술
• 규정의 반응: 2023.1.1 평가항목 141개→54개·사후보고 전환, 2024.12.24 계약 기재사항 간소화(4-3). 국내 설치 요건(제14조의2⑦ 단서)은 현행에도 남아 있습니다. [2][52]

10-3. 5·5·7(인력·예산 비율) — 일률 기준의 적정성

• 문헌 I2(2016) — 기준이 "established entirely based on commercial banks"라 협동조합형 금융기관에 부적합할 수 있음. 문헌 I3(2017) — 대부분 금융기관이 규모·업무 특성을 고려하지 않고 "일률적으로 … 비율(5%)만 준수", 겸직으로 리스크 확대. 문헌 I1(2014)은 '채용·편성'으로 서술했으나 원문은 노력의무(E16 정정, 3-9). 학술
• 규정의 반응: 2015.2.3 일몰 조항(2020.1.1) → 2025.2.5 삭제, 현행은 "전문성을 갖춘 인력과 충분한 예산을 확보해야 한다"는 원칙 문구(4-1). 일몰 뒤 공시 의무·별표 효력은 미해결입니다. [2][18][27]

10-4. 감독규정의 법적 성격·위임의 한계

• 법률 근거 문제의 역사: 제정 전 "법률이 아닌 규정으로 감독위임의 법률근거가 불명확"(국회 검토보고서 K2, 2005) → 2006 법률 위임 → 그래도 "법령에 근거 없이 전자금융감독규정에 따라 제한"하던 현금인출 한도는 2013 법률로 근거 마련(2-2). [84][91]
• 행정규칙의 법규성 일반론: 문헌 K-1(백윤기 2014) — 금융위원회는 "법규명령으로서의 부령을 발령할 수 있는 기관이 아니라는 점에서 … 규칙제정권을 법규명령제정권으로 볼 수 있는가에 대해서 논란", "고시 등 형식을 갖는 규칙들을 법규명령으로 보는 것은 법체계 논리상 타당하지 않다", 법규적 사항은 "판례와 「행정규제기본법」 제4조 제2항 단서에서 명시한 것과 같이 전문적·기술적 사항 혹은 경미한 사항으로 업무의 성질상 위임이 불가피한 사항에 한정하여, 또한 구체적으로 범위를 정하여 위임한 경우에 한하여 그 효력을 인정", "행정규칙 자체에는 법규적 사항을 담아낼 수 없고, 그러한 행정규칙은 위헌·위법으로 판단"(금융위 고시 일반론 — 감독규정을 지목했는지는 초록에 명시 없음 해석). 학술
• 행정지도의 한계 → 법률 상향: 국회 검토보고서 K9 — 금감원 「전자금융업자 이용자자금 보호 가이드라인」은 "행정지도의 성격으로 선불업자에게 강제성을 가지지 못하여 실효성이 매우 떨어지는 실정"이라 "'전자금융거래법'으로 상향조정"(2023 법 개정으로 이어짐). 문헌 D14(김한주 2026) — 전자금융업자 AML 감독이 "금융감독원이 행정지도 형식으로 제정·운용하는 업무처리기준 수준"이라 "헌법상 법률유보원칙의 관점에서 검토"해 "업무처리기준을 정식 감독규정으로 격상하는 단계적 법제화 방안" 제안. 1차-국회학술
• 위임 문언의 설계: 윤관석의원안(2105855, 2024.5.29 임기만료폐기) 검토보고서 K4는 개정안 제21조제1항 후단 "금융위원회는 선량한 관리자로서의 주의에 관한 구체적인 기준을 정하여 고시할 수 있다", 이사회의 금융보안 최종책무 등을 소개했습니다(미입법). 1차-국회
• 판례의 태도: 대법원 2018다222303은 법률→감독규정→세칙의 위임 사슬을 전제로 세칙 위반을 민사 주의의무 판단에 썼고(7-1), 헌재 2011헌마620은 감독규정 조문을 '이미 있는 규제'로 언급했습니다(7-2). 감독규정의 위임 한계를 정면으로 다룬 판례·헌재 결정·전용 논문은 수집본(RISS 검색 「전자금융감독규정 법적 성격」, 「고시 위임 금융」 등)에서 찾지 못했습니다 → 미확인. [82][83][95]

10-5. 공인인증서·기술중립성

• 문헌 C2(김기창 2010)와 C3(장영환 2010)의 대립(3-8), 문헌 C4(2013) "승인받은 대체기술이 없어 사용하지 못하고", 문헌 C6(2015) 의무화·폐지의 후생 효과, 문헌 A11(2008) "특정한 기술을 지지하는 감독정책이 아니라" — 2015·2016 기술중립 개정(공인인증서·OTP 의무 폐지)과 같은 방향의 주장이 일찍부터 있었습니다(연결은 해석). 학술

10-6. 비교법 (국내 문헌이 다룬 범위만)

• 문헌 L8(2018) — 미국 뉴욕주 금융 사이버보안 규정(23 NYCRR 500): "In March 2017, the State of New York became the first state to implement regulation specific to cybersecurity for financial institutions", 위험평가 기반 프로그램, "designate of CISO, and report to regulatory entity". 문헌 L9(2023) — EU DORA "introducing a direct supervision method for ICT third parties for the first time", 경영진 책임 강조. 문헌 L6(2019) — 개정 EU 지급결제서비스지침의 보안위험 대응. (국내 감독규정과의 구체 비교 결론은 초록 앞부분만으로 판단하지 않음) 학술

11. 실무에 도움이 될 것

11-1. 현행 의무 기준 한눈에 보기 (기준일 2026-10-21, 제2026-29호·세칙 2026.4.20)

11-2. 앞으로의 일정 (기준일 2026-10-21 이후)

11-3. 실무 체크리스트 (일반 정보 — 개별 판단은 전문가 자문 필요)

• [ ] 5·5·7 비율 대신 "전문성 있는 인력과 충분한 예산": 2025.2.5부터 비율 기준은 없습니다. 다만 별표 1·2가 화면에 남아 있고 효력이 미해결이므로, 내부 산정·이사회 보고 자료에 기준을 어떻게 쓸지 감독당국 해석을 확인하십시오(12장).
• [ ] 망분리 예외를 쓰는가: 연구·개발 예외는 고유식별·개인신용정보 미처리(가명정보 제외 가능) + 자체 위험성 평가 + 대체통제(세칙 별표 7) + 정보보호위원회 승인이 모두 필요합니다. 승인 없이 운영하다 사후 승인한 사례가 제재됐습니다(네이버파이낸셜 2021, NHN페이코 2022).
• [ ] SaaS 이용: 세칙 제2조의3제1항제3호 요건(고유식별·개인신용정보 미처리 SaaS) 확인, 대체통제 이행 반기 1회 평가·정보보호위원회 보고 일정 관리. 혁신금융서비스로 쓰던 SaaS·생성형 AI는 지정 조건·변경절차(2026.4.15 간소화)를 함께 확인.
• [ ] 클라우드: 이용 사유 발생일부터 3개월 이내 금감원장 보고, 관련 서류 최신 유지, 개인신용정보·고유식별정보 처리 시스템은 국내 설치. 클라우드 절차 미수행은 제재 사례가 있습니다(토스·카카오페이 2021).
• [ ] 침해사고 통지 24시간 / 전자금융사고 보고 24시간: 침해사고는 금융위원회에 안 때부터 24시간 이내(별지 7호), 장애 등 전자금융사고는 세칙 제7조의4 기준(30분 이상, 또는 10분 이상 + 가입자 1만명 이상 등)에 해당하면 24시간 이내 최초보고(EFARS). 보고 지연이 제재된 사례(신한카드 2015)가 있습니다.
• [ ] 재해복구센터: 연간 전자금융거래 총액 2조원 이상 전자금융업자는 2026.2.5부터 의무 대상. RTO·전환훈련 조항(제9항·제10항)의 주어가 "금융회사"로 남아 있어 전자금융업자 적용 범위는 문언상 불명 → 감독당국 확인 권장 해석.
• [ ] 취약점 분석·평가: 위험수용 처리 시 최고경영자 승인(쿠팡페이 2026 제재). 대형사 연 2회 확대는 아직 규정 개정 전이므로 개정 고시를 지켜보십시오.
• [ ] 프로그램 변경·테스트(제29조 계열): 위 확인분에서 망분리와 함께 가장 자주 인용된 위반 유형입니다(8-2). 제3자 검증·책임자 승인·테스트 기록을 점검하십시오.
• [ ] CISO·이사회: 정보보호위원회 심의사항 중 "전자금융거래의 안전성 및 신뢰성에 중대한 영향"이 있는 것은 이사회 보고(2025.8.5 시행).
• [ ] PG·선불업자: 하위 PG 위험평가(2027.9.30까지 반기별), 가맹점수수료 고지(불리 변경 1개월 전). 2026.12.17 시행 예정 개정안(공고 제2026-350호)은 고시 여부를 확인한 뒤 대비하십시오.
• [ ] 기준일 확인: 이 문서는 2026-10-21 기준입니다. 공고 제2026-350호 고시, 시행령 개정, 취약점 주기 확대 등이 곧 바뀔 수 있으므로 law.go.kr 행정규칙 연혁을 다시 확인하십시오.

12. 남은 미확인 사항 목록

교차검증 기록의 미해결 16건(M1~M16) 과 수집 노트 5종의 미확인·[충돌] 항목을 중복 없이 합쳤습니다. 이 문서 작성 때 원문 사본으로 새로 풀린 것은 12-2에 따로 적었습니다. '소관' 열의 "법 문서"는 「전자금융거래법 개정사」가 주로 다룰 항목(참고로 남김)입니다. [92][93][94][95][96]

12-1. 미확인 항목 (총 33건)

12-2. 교차검증·이 문서 작성 중 해소·정정된 항목 (참고)

13. 참고문헌 및 출처 목록

13-1. 참고문헌 (학술·공식 문헌, 문헌 수집본 기준 — 기호는 문헌 노트와 같음)

학술 문헌은 RISS 상세페이지의 초록·목차만 확인했습니다(본문 미열람). 국회 문서는 likms PDF 본문 텍스트(띄어쓰기 정리)로 확인했습니다. [95]

국회 공식 문서 1차-국회

• K2 — 재정경제위원회 수석전문위원 현성수, 「전자금융거래법안(정부 제출) 검토보고」, 2005.2.(의안번호 171270). 감독규정의 "감독위임의 법률근거가 불명확" 지적.
• K4 — 정무위원회 수석전문위원 이용준, 「전자금융거래법 일부개정법률안 검토보고 <전자금융업 규율체계 개편 및 이용자 보호 강화 등>」(윤관석 의원 대표발의, 2105855), 2021.2. 금융보안 원칙·위임 문언.
• K8 — 정무위원회 수석전문위원 고상근, 「… 검토보고 <금융보안책임자 지정 및 이용자예탁금 예치 등>」(박재호 의원 대표발의, 2117424), 2022.11.
• K9 — 정무위원회 수석전문위원 고상근, 「… 검토보고 <선불충전금 예치·신탁 등 보호제도 마련>」(강민국 의원 대표발의, 2118692), 2023.2. 행정지도 가이드라인의 한계.
• N1 — 이수환, 「디지털 금융혁신 관련 입법·정책과제」(NARS 현안분석 제202호, 부제 "금융부문 망분리 규제 개선을 중심으로"), 2021.6.4. NARS:35088.
• N6 — 김유향·심우민, 「농협·현대캐피탈의 금융 전산망 보안사고와 대처 방향」(이슈와논점 226호), 2011.4.28. NARS:1171.

학술논문 학술

• A10 — 손진화, 「전자금융거래 관련법의 구조와 개선방향」, 『가천법학』 1권 1호, 2008, 161-191쪽.
• A11 — 이재삼, 「전자금융거래에 대한 공법적 규제에 관한 연구」, 『가천법학』 1권 1호, 2008, 193-222쪽.
• B24 — 홍준호, 「정보유출로 인한 부정결제 사건에서의 금융 소비자 보호에 관한 제도적 방안 연구」, 『한국산업보안연구』 10권 3호, 2020, 89-110쪽.
• B25 — 이한준·김인석, 「간편결제 서비스에서 전자금융사고 시 국내 사이버 배상책임보험의 한계 및 개선방안에 대한 연구」, 『지능정보논문지』 16권 2호, 2016, 1-8쪽.
• C2 — 김기창, 「공인인증서와 전자금융 거래의 안전」, 『Law & technology』 6권 3호, 2010, 3-22쪽.
• C3 — 장영환, 「공인인증서 제도 현황과 이슈 : 전자금융거래에서의 공인인증서 사용 의무화와 관련하여」, 『Law & technology』 6권 3호, 2010, 23-30쪽.
• C4 — 정기석, 「전자금융거래시 공인인증서 의무사용 개선방안에 관한 연구」, 『융합보안 논문지』 13권 6호, 2013, 25-33쪽.
• C6 — 송영관, 「기술표준화, 정부개입, 그리고 공인인증서」, 『KDI Journal of Economic Policy』 37권 S호, 2015, 1-32쪽.
• C9 — 전응준, 「새로운 전자금융환경에서 공인인증체계의 개선방향에 관한 연구」, 『정보법학』 21권 3호, 2017, 285-310쪽.
• D5 — 김영환, 「전자금융 규제환경 변화에 따른 간편결제 서비스 시장의 동향과 전망」, 『정보보호학회지』 26권 2호, 2016, 6-13쪽.
• D14 — 김한주, 「전자금융업자에 대한 자금세탁방지 의무의 집행 실태와 감독체계 개편 방안」, 『금융법연구』 23권 2호, 2026, 253-278쪽.
• G1 — 조병주·윤장호·이경호, 「금융회사 망분리 정책의 효과성 연구」, 『정보보호학회논문지』 25권 1호, 2015, 181-195쪽.
• G2 — 박지윤·정윤선·이재우, 「금융권 망분리 현황과 망분리 정책 개선에 대한 고찰」, 『정보보호학회지』 26권 3호, 2016, 58-63쪽.
• G3 — 오정주·이환수, 「디지털 금융 산업 활성화를 위한 망분리 규제 개선 방안」, 『융합보안 논문지』 21권 5호, 2021, 51-60쪽.
• G4 — 나윤선·박나현·김재윤·원종호·이대호, 「망분리 정책이 핀테크 기업의 개발자들의 업무환경에 미치는 영향에 대한 연구」, 『정보통신정책연구』 29권 3호, 2022, 27-62쪽.
• G5 — 김도형, 「금융회사 제로트러스트 모델 적용방안에 대한 연구」, 『융합보안 논문지』 24권 4호, 2024, 67-75쪽.
• G6 — 이형균, 「데이터 중심 보안 전환에 따른 망분리 규제의 규범적 한계와 재구성 방향」, 『법학논고』 93호, 2026, 337-373쪽.
• G7 — 임복출·김협, 「망분리 규제가 시스템 통합 프로젝트의 비용상승과 기술 종속성에 미치는 영향 요인」, 『지급결제학회지』 18권 1호, 2026, 365-381쪽.
• G8 — 양문일, 「망분리 규제 환경에서의 섀도우 AI 리스크와 거버넌스 대응」, 『대한경영학회지』 39권 9호, 2026, 1809-1837쪽.
• G9 — 임기범·오종훈, 「망분리 금융 환경에서의 프라이빗 LLM 구축 및 성능 평가」, 『미래사회』 17권 2호, 2026, 204-213쪽.
• H1 — 장명도·김인석, 「금융회사 클라우드 활성화를 위한 비중요정보처리시스템 지정방안 연구」, 『정보보호학회논문지』 28권 4호, 2018, 889-903쪽.
• H2 — 장우경·김인석, 「금융 클라우드의 데이터 국지화에 대한 비판적 고찰」, 『정보보호학회논문지』 29권 5호, 2019, 1191-1204쪽.
• H3 — 강현구·이상후, 「금융회사의 클라우드컴퓨팅서비스 사용에 따른 법적 규제에 관한 연구」, 『금융법연구』 17권 2호, 2020, 111-149쪽.
• H4 — 김민희·권헌영, 「금융분야 클라우드 서비스 이용규제와 개선방안」, 『한국IT서비스학회 학술대회 논문집』 2020-1, 413-416쪽.
• H5 — 이승윤·임병인, 「전자금융감독규정의 규제 완화로 인한 환경비용 분석」, 『규제연구』 30권 1호, 2021, 29-53쪽.
• H6 — 윤대균, 「금융권 클라우드 이용환경 개선을 위한 "전자금융감독규정" 개정안의 의미와 향후 과제」, 한국지능정보사회진흥원 『ICT 동향 분석』, 2022, 14-20쪽(서지만).
• H7 — 구자영, 「생성형AI의 은행업 적용에 있어서 법적 쟁점과 개선 방향」, 『은행법연구』 18권 2호, 2025, 97-134쪽.
• H9 — 김민규, 「생성형 AI-클라우드 생태계의 위험관리와 법적 대응」, 『연세법학』 49호, 2025, 263-291쪽.
• I1 — 최창래·윤장호·이경호, 「금융보안 리스크 기반의 IT도급 정책 연구」, 『정보보호학회논문지』 24권 4호, 2014, 681-694쪽.
• I2 — 임정환·김인석, 「협동조합형 금융회사의 중앙회를 위한 정보보호 인력 및 예산의 적정성에 관한 연구」, 『지능정보논문지』 16권 3호, 2016, 29-38쪽.
• I3 — 박재영·김인석, 「금융기관 정보보호업무의 적정인력 산정에 대한 연구」, 『정보보호학회논문지』 27권 3호, 2017, 653-671쪽.
• K-1 — 백윤기, 「금융행정에 있어서 행정규칙의 현황과 법적 문제점」, 『행정법연구』 40호, 2014, 55-83쪽.
• L6 — 김현부·김인석, 「개정된 유럽연합 지급결제서비스지침의 보안위험에 대한 제도적인 대응과 관련 국내 전자금융 규제와의 비교 연구」, 『한국디지털산업학회지』 24권 4호, 2019, 79-107쪽.
• L8 — 김도철·김인석, 「국내 금융 사이버보안 규제의 국제경쟁력 제고를 위한 연구 - 美 뉴욕 주 금융 사이버보안 규정 (23 NYCRR 500)을 중심으로」, 『한국디지털산업학회지』 23권 4호, 2018, 87-107쪽.
• L9 — 정진영·장항배, 「국내 금융보안 규제의 개선 방안 연구: EU 디지털운영복원력법과의 비교를 중심으로」, 『한국디지털산업학회지』 28권 3호, 2023, 85-107쪽.

13-2. 출처 목록 (본문 [숫자], 열람일 2026-10-21)

원문 사본 경로의 raw/ = refs/2026-10-21_전금법_raw/. law.go.kr 행정규칙 판별 화면은 https://www.law.go.kr/LSW/admRulInfoP.do?admRulSeq=<번호>&chrClsCd=010201, 금융위원회 보도자료는 https://www.fsc.go.kr/no010101/<번호>, 규정변경예고는 https://www.fsc.go.kr/po040301/view?noticeId=<번호> 입니다.

law.go.kr 행정규칙 1차-행정규칙

• [1] 「전자금융감독규정」 연혁 목록 — POST https://www.law.go.kr/LSW/admRulHstListR.do(admRulSeq=2100000282622), 26개 판. 사본 raw/감독규정연혁/연혁목록_admRulHstListR_2100000282622.html, 재수신 raw/교차검증/admrul_감독규정_연혁목록_재수신_20261021.html
• [2] 현행 「전자금융감독규정」 본문(금융위원회고시 제2026-29호, admRulSeq 2100000282622, admRulId 21828) — POST https://www.law.go.kr/LSW/admRulLsInfoR.do. 사본 raw/감독규정연혁/본문_2100000282622.txt, 현행_admRulInfoP_2100000282622.html
• [3] 현행 「전자금융감독규정시행세칙」 본문(2026.4.20, admRulSeq 2200000108629) 및 세칙 연혁 목록(22개 판) — 사본 raw/감독규정연혁/시행세칙/세칙본문_2200000108629.txt, 세칙_연혁목록_admRulHstListR_2200000108629.html
• [4] 금융감독위원회공고 제2000-117호(제정, admRulSeq 2000000077616) — 본문_2000000077616.txt, rvs_2000000077616.txt
• [5] 금융감독위원회공고 제2006-88호(전부개정, 2000000077615) — 본문_2000000077615.txt
• [6] 제2007-42호(2000000077614) — 본문_2000000077614.txt
• [7] 제2007-120호(2000000077613) — 본문_2000000077613.txt
• [8] 제2008-4호(2000000077612) — 본문_2000000077612.txt
• [9] 금융위원회고시 제2008-8호(2000000077611) — 본문_2000000077611.txt
• [10] 제2008-21호(1869) — 본문_1869.txt
• [11] 제2009-50호(타법개정, 2000000012149) — rvs_2000000012149.txt
• [12] 제2010-18호(2000000053644) — 본문_2000000053644.txt
• [13] 제2011-18호(전부개정, 2000000064853) — rvs_2000000064853.txt, 본문_2000000064853.txt
• [14] 제2012-26호(2000000084730) — 본문_2000000084730.txt
• [15] 제2013-20호(2000000095162) — rvs_2000000095162.txt
• [16] 제2013-39호(2000000026310) — rvs_2000000026310.txt(부칙 159행)
• [17] 제2013-44호(타법개정, 2000000026651) — rvs_2000000026651.txt
• [18] 제2015-3호(2200000025743) — rvs_2200000025743.txt(제75조② 38행, 개정이유 44행)
• [19] 제2015-7호(2100000016186) — rvs_2100000016186.txt
• [20] 제2015-18호(2100000021445) — 본문_2100000021445.txt
• [21] 제2016-24호(2100000051356) — rvs_2100000051356.txt
• [22] 제2016-37호(2100000061069) — rvs_2100000061069.txt
• [23] 제2018-36호(2100000174672) — rvs_2100000174672.txt
• [24] 제2022-44호(2100000216177) — rvs_2100000216177.txt
• [25] 제2024-44호(2100000247014) — rvs_2100000247014.txt
• [26] 제2024-60호(2100000251454) — rvs_2100000251454.txt
• [27] 제2025-4호(2100000254312) — rvs_2100000254312.txt(제8조② 삭제 32행, 제75조② 삭제 170행)
• [28] 제2026-7호(2100000274812) — rvs_2100000274812.txt
• [29] 제2026-29호(2100000282622) — rvs_2100000282622.txt, 본문_2100000282622.txt(부칙 633행)
• [30] 시행세칙 22개 판 제정·개정이유·본문 — raw/감독규정연혁/시행세칙/세칙rvs_*, 세칙본문_*
• [31] 시행세칙 2015.9.17 판 이유 — 시행세칙/세칙rvs_2200000040242.txt
• [32] 시행세칙 2020.11.6 판 이유 — 시행세칙/세칙rvs_2200000078157.txt

금융위원회·금융감독원 보도자료·공고 1차-정부

• [33] 금감위·금감원 보도자료 68199(2007.1.4) — 전자금융감독규정·세칙 2007.1.1 시행. 사본 raw/감독규정연혁/fsc/fsc_no010101_68199.txt
• [34] 금융위 69607(2010.6.23) — 2010-18 의결
• [35] 금융위 69976 「금융회사 IT보안강화 종합대책」(2011.6.23) — raw/판례사고/금융위_20110623_no69976_첨부본문.txt
• [36] 금융위 70094 「「전자금융감독규정」 개정·시행('11.10.10)」
• [37] 금융위 70401 「전자금융거래 활성화를 위한 전자금융감독규정 개정」(2012.7.12)
• [38] 금융위 70525(2012.10.31) — 2012-26 의결
• [39] 금융위 70771 「금융전산 보안 강화 종합대책」(2013.7.11)
• [40] 금융위 70833 「｢전자금융감독규정｣개정안 규정변경예고」(2013.9.16)
• [41] 금융위 70834 「「금융전산 망분리 가이드라인」배포」(2013.9.16) — raw/집행/fsc_70834.txt
• [42] 금융위 70923 「「전자금융감독규정」일부개정규정안 금융위 의결」(2013.11.27)
• [43] 금융위 71072 「금융분야 개인정보 유출 재발방지 종합대책」(2014.3.10) — raw/판례사고/금융위_20140310_no71072_첨부본문.txt
• [44] 금융위 71140(2014.5.19) — 세칙 개정(카드결제 공인인증서 예외, 2014.5.20 시행)
• [45] 금융위 71340 「전자금융감독규정 개정안 규정변경예고」(2014.11.13)
• [46] 금융위 71479 「전자금융감독규정 개정」(2015.3.18)
• [47] 금융위 71513(2015.3.31 금융보안원 설립 허가) / 71530(2015.4.9 개원식)
• [48] 금융위 72218(2016.6.29) — 2016-37 예고
• [49] 금융위 73326(2018.9.19 예고) / 73442 「「전자금융감독규정」 개정·시행(2019년 1월 1일)」(2018.12.7 게시)
• [50] 금융위 74157(2020.2.7) — 재택근무 비조치의견서
• [51] 금융위 77672 「금융분야 클라우드 및 망분리 규제 개선방안」(2022.4.14) / 77740(2022.5.2 예고)
• [52] 금융위 78962 「클라우드 이용절차 합리화 및 망분리 규제 완화를 위한 ｢전자금융감독규정｣ 개정안 금융위 의결」(2022.11.23)
• [53] 금융위 79174 「금융보안규제 선진화 방안」(2022.12.27) — raw/판례사고/금융위_20221227_no79174_첨부본문.txt
• [54] 금융위 81633 「「전자금융감독규정」 개정안 규정변경 예고」(2024.2.1) / 81637 「금융보안 선진화를 추진하겠습니다」(2024.2.1)
• [55] 금융위 82108(2024.4.12 망분리 T/F) / 82370(2024.5.29) / 83148(2024.9.27) / 83554(2024.11.27) — 혁신금융서비스 지정
• [56] 금융위 82531 「｢전자금융감독규정｣ 규정변경예고 실시」(2024.6.25) — raw/판례사고/금융위_20240625_no82531.txt
• [57] 금융위 82885 「｢금융분야 망분리 개선 로드맵｣ 발표」(2024.8.13)
• [58] 금융위 83954 「｢전자금융감독규정｣ 일부개정고시안 금융위원회 의결」(2025.2.5) — raw/판례사고/금융위_20250205_no83954.txt(수범사항 54·60행, 카카오 화재 62행)
• [59] 금융위 85234 「전자금융거래법상 안전성 확보 의무 관련 과태료 건별 부과기준이 강화됩니다」(2025.9.3)
• [60] 금융위 85420 「전자금융업 결제수수료 공시 확대 및 PG업 규율 강화방안 마련」(2025.9.30 게시)
• [61] 금융위 86080(2026.1.20) — SaaS 망분리 예외 세칙 사전예고. raw/감독규정연혁/fsc/fsc_no010101_86080.txt(336행)
• [62] 금융위 86712(2026.4.15) / 86745(SaaS 세칙 시행, 2026.4.20)
• [63] 금융위 86972(2026.5.26 게시, 5.22 간담회) — raw/집행/fsc_86972.txt
• [64] 금융위 87151 「PG업 정산자금 보호 및 관리·감독 강화 관련 전자금융거래법 시행령 및 감독규정 개정안 입법예고 실시」(2026.6.19) + 금융위원회 공고 제2026-350호(noticeId 4155) — raw/감독규정연혁/fsc/fsc_po040301_notice4155.txt
• [65] 금융위 87240(2026.6.30) — AI 보안테스트 면책·대응요령
• [66] 금융위 87339 「PG 시장의 건전화와 가맹점 보호 강화를 지속 추진해나가겠습니다 - ｢전자금융감독규정｣ 개정안 금융위 의결」(2026.7.15)
• [67] 금융위 87646 「… 제2차 망분리 규제 긴급 완화 조치를 추진합니다」(2026.9.3) — raw/집행/fsc_87646.txt(34·60·65·66행)
• [68] 금융위 87927 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」(2026.10.14) / 87869(2026.10.2) / 87876(2026.10.6 게시)
• [69] 금융위 87455 「롯데카드(주)의 정보유출 관련 1.5개월 업무정지 및 50억원 과징금 부과」(2026.7.31) — raw/판례사고/금융위_20260731_no87455_첨부본문_hwpx.txt, raw/집행/fsc_87455.txt
• [70] 금융위 87458 「㈜더페이 등 10개 전자금융업자에 대한 조치 요구」(2026.7.31) — raw/집행/fsc_87458.txt
• [71] 금융위 71046 「고객정보유출 3개 신용카드업자 업무정지 처분」(2014.2.16) — raw/판례사고/금융위_20140216_no71046.txt
• [72] 금융위 70631·70633 「[보도참고] 금융권 전산사고 대응」(2013.3.20) / 「… 금융회사 전산장애 대응상황」(2013.3.21)
• [73] 금감원 2013.12.5 3·20 전산사고 조치(nttId 10572) — raw/판례사고/금감원_20131205_nttId10572_첨부본문.txt
• [74] 금감원 「현대캐피탈 해킹사고 검사결과 중간발표」(2011.5.17 배포·5.18 게시, nttId 8503) — raw/판례사고/금감원_20110518_nttId8503_첨부본문.txt
• [75] 금감원 카카오 데이터센터 화재 관련 보도참고(2022.10.16 배포) — 판례사고 수집본(배경 노트 F8)
• [76] 금감원 전자금융사고 통계 보도자료(nttId 55473, 2022.4) — raw/판례사고/금감원_20220424_nttId55473_첨부본문.txt, raw/집행/fss_bodo_55473_pdf.txt
• [77] 금감원 전자금융사고 통계 보도자료(2023.9.6) — 집행 노트 [S81]
• [78] 금감원 제재내용 공개안(집행 노트 B-1 원문 확인 30건 중 감독규정 관련분: 신한은행 2017·2021, 카카오 2018, 네이버 2015·2019, 하나은행 2020, 우리은행 2020·2026, 토스 2021, 한국투자증권 2021·2026, 카카오페이 2021, 네이버파이낸셜 2021, NHN페이코 2022, 롯데카드 2015·2024·2026, 신한카드 2015, 농협은행 2015, 비씨카드 2025, 위메프·티몬 2025, 한화생명 2026, 쿠팡페이 2026) — https://www.fss.or.kr/fss/job/openInfo/list.do?menuNo=200476, 사본 raw/집행/fss_*
• [79] 금감원 검사결과제재 공시 전체 목록(2014-01-01~2026-10-21, 4,558건) — raw/집행/fss_제재공시_전체목록_2014-2026.txt, fss_제재공시_IT부서목록.txt
• [80] 금융위원회 입법예고/규정변경예고 공고 20건(noticeId 4155, 4119, 4107, 4024, 4000, 3958, 3792, 3437, 3237, 3202, 3113, 3110, 3092, 3078, 3068, 2972, 2945, 2905, 2830, 2769) — raw/감독규정연혁/fsc/fsc_po040301_notice<번호>.txt
• [81] 금융위 보도자료 제목 검색(교차검증, 2001~2006 개정 유무) + 64287 「금융기관 전자금융업무 감독규정 제정」(2000.12.23) + 64862 「"금융기관 전자금융업무 감독규정 해설" 발간」(2001.11.1) — raw/교차검증/fsc_보도제목검색_전자금융_103건_20261021.tsv, fsc_no010101_64287_교차검증.html, fsc_no010101_64862_교차검증.html

판결·결정·국회 1차-판결1차-헌재1차-국회

• [82] 대법원 2019.9.26. 선고 2018다222303, 222310, 222327 판결 — law.go.kr 판례 원문. 사본 raw/판례사고/대법원2018다222303_p209687.txt(판시사항 4행, 판결요지 9·10행, 참조조문 17행, 재판부 65행)
• [83] 헌법재판소 2011.11.1. 2011헌마620 결정(지정재판부, 각하) — law.go.kr detcSeq 17284. 사본 raw/판례사고/헌재2011헌마620_d17284.txt(15행)
• [84] 재정경제위원회 「전자금융거래법안(정부 제출) 검토보고」(2005.2, 의안 171270) — raw/문헌/검토보고서_171270_2005정부제정안_재수신_pypdf.txt(149~153행 부근)

그 밖의 보도자료 1차-정부

• [85] 금융위 80616 「선불업자 관리 강화로 제2의 머지포인트 사태를 방지 … 전자금융거래법 개정안 국회 본회의 통과」(2023.8.24) — raw/판례사고/금융위_20230824_no80616.txt
• [86] 금융위 85751 「PG업자의 가맹점 정산자금을 안전하게 보호 … ｢전자금융거래법｣ 개정안 국회 본회의 통과」(2025.11.27) — raw/판례사고/금융위_20251127_no85751.txt
• [87] 금융위 85029 「금융권 침해사고가 재발하지 않도록 철저히 대비하고 점검하겠습니다」(2025.7.30) — SGI서울보증 후속
• [88] 금융위 85319 「롯데카드 정보유출 관련 긴급 대책회의 개최」(2025.9.18)
• [89] 금융위 71128 「삼성 전산센터 화재 발생에 따른 금융위-금감원 대응상황」(2014.4.22) / 73420 「KT 아현지사 화재 관련 금융권 영향 점검회의 개최」(2018.11.26)
• [90] 금감원 2021.8.16 머지플러스 관련 점검회의(nttId 16475) — raw/판례사고/금감원_20210816_nttId16475_첨부본문.txt

수집 노트·교차검증 기록 (같은 프로젝트 refs/)

• [91] refs/2026-10-21_전금법_연혁_lawgokr.md — 법률·시행령 연혁(제정 제21조②③ 원문, 2013 개정이유 "법령에 근거 없이 전자금융감독규정에 따라 제한", 법률·시행령 "망분리" 0건)
• [92] refs/2026-10-21_전금법_교차검증.md — 정정 E1~E18, 확인 V1~V81, 미해결 M1~M16, 5. 문서 작성 지침(5-1 쓸 값, 5-2 인과 3단계, 5-3 분담표, 5-4 시대 구분, 5-5 대시보드 수치)
• [93] refs/2026-10-21_감독규정_연혁_lawgokr.md — 감독규정 26개 판·세칙 22개 판 수집 노트(판별 상세, 보안 핵심 조항 변천, 규정변경예고 대조)
• [94] refs/2026-10-21_전금법_배경_사고_판례.md — 사건·입법 연대표, 판례·헌재
• [95] refs/2026-10-21_전금법_문헌_연구논문.md — 국회 문서·NARS·학술논문 181건
• [96] refs/2026-10-21_전금법_집행_영향분야.md — 감독기구·제재·통계·현행 수치·일정