혼자 일하는 사업자에게 필요한 첫 단계, 그리고 도구의 한계
NIST 의 1인 사업자 사이버보안 안내서 소개와 EU 집행위원회의 연령 확인 연구 요약을 바탕으로, 작은 사업자에게 규범이 닿을 때 필요한 첫 단계·공용 도구·규모별 의무를 정리한 뒤 법률 정보 서비스가 밝혀야 할 확인 범위를 살펴봅니다.
초록 미국 국립표준기술연구소(NIST)는 2026년 11월, 사업의 유일한 유급 종사자가 대표 자신인 1인 사업자를 위한 사이버보안 안내서(NIST Cybersecurity White Paper 50)를 냈습니다. 미국에서 2,800만 곳이 넘는 소기업이 여기에 해당한다고 합니다. 같은 주 유럽연합 집행위원회는 연령 확인이 기본권과 기업 비용에 미치는 영향에 관한 외부 연구를 공개했는데, 중소기업이 과도한 비용을 질 가능성은 낮다고 봤습니다. 두 자료는 규범이 작은 사업자에게 닿을 때 무엇이 필요한지를 보여 줍니다. 처음 시작할 수 있는 작은 단계, 그리고 여럿이 함께 쓰는 저렴한 도구입니다. 본 칼럼은 이 관점에서 1인 사업자에게 법률 정보 서비스가 해야 할 일과 하지 말아야 할 약속을 정리합니다.
혼자 일하는 사람에게 보안과 규제는 '언젠가 해야 할 일'로 밀리기 쉽습니다. NIST 의 새 안내서는 이 점을 전제로 쓰였습니다. 저자 중 한 명인 대니얼 엘리엇은 1인 사업자가 사이버보안 전문성이 없을 수 있어 그들을 위한 자료를 만들었고, 많은 조치를 기술 지식이 적어도, 돈을 거의 들이지 않고도 직접 할 수 있다고 말했습니다. 안내서는 데이터 백업과 소프트웨어 업데이트 같은 첫 단계부터 시작하고, 기본 비밀번호를 바꾸는 일처럼 구체적인 행동마다 이유와 시작 방법, 사업이 커졌을 때의 다음 단계를 붙였습니다. 예시로 든 가상의 1인 사업자에는 변호사도 있습니다. 그리고 안내서 스스로 모든 필요를 다루는 포괄적 자료는 아니라고 밝힙니다. 작은 사업자에게 필요한 것은 완벽한 체계보다 확실한 첫걸음이라는 태도입니다.
핵심 개념 정의
비고용 기업(Non-Employer Firms)
NIST 기사는 사업의 유일한 유급 종사자가 대표 자신인 사업을 '솔로프러너'라고 부르고, 미국에서 2,800만 곳이 넘는 소기업이 여기에 해당한다고 설명합니다.
규모에 맞춘 의무 (Size-scaled Obligations)
같은 영역의 규범이라도 사업자의 규모나 영향력에 따라 의무의 범위를 달리 정하는 방식을 이 칼럼에서 부르는 말입니다. 예컨대 EU 디지털서비스법 제39조의 광고 저장소 의무는 초대형 온라인 플랫폼(VLOP)과 초대형 검색엔진(VLOSE)에 지워집니다.
공용 준수 도구 (Shared Compliance Tooling)
여러 사업자가 함께 쓸 수 있도록 공적으로 개발되거나 표준화된 도구를 이 칼럼에서 부르는 말입니다. EU 연구는 공적 지원으로 개발된 연령 확인 청사진(blueprint)이 모든 규모의 사업자에게 가장 저렴한 준수 수단 가운데 하나가 될 수 있다고 봤습니다.
전략적 관점
작은 사업자에게는 첫 단계가 필요하다
NIST 의 이번 안내서는 소기업 정보보안 기초 자료(NISTIR 7621)를 고친 것입니다. 원래 자료는 다양한 규모의 소기업을 대상으로 정보보안 전반을 다뤘는데, 새 판은 대상을 1인 사업자로 좁히고 내용도 악의적 공격으로부터 디지털 시스템을 지키는 데 집중했습니다. 사이버보안 프레임워크(CSF 2.0)에서 지침을 가져오되, 독자가 그 프레임워크를 전혀 모른다고 가정하고 썼습니다. 이것은 새로운 법적 의무를 부과하는 문서가 아니라, 혼자 일하는 사람이 실제로 실행할 수 있게 규범을 번역한 안내입니다. 법률 정보도 마찬가지입니다. 1인 사업자에게는 방대한 해설보다 지금 확인해야 할 조문과 첫 행동이 먼저 필요합니다.
비용은 공용 도구로 낮출 수 있다
EU 집행위원회가 공개한 외부 연구는 연령 확인이 기본권과 기업 비용에 미치는 영향을 분석했습니다. 온라인 서비스는 새 비용을 피할 수 없겠지만, 그 비용은 대부분의 서비스에서 크지 않고 시간이 지나며 줄어들 것으로 봤습니다. 제3자 공급 시장의 경쟁, 기술 표준, 상호운용성 개선, 그리고 EU 연령 확인 청사진 덕분이라는 것입니다. 중소기업도 저렴하고 바로 쓸 수 있는 해법과 공급자 간 경쟁 덕분에 과도한 비용을 질 가능성이 낮다고 했습니다. 다만 이 연구는 제안된 EU KIDS Act 자체나 특정 사업자의 준수 여부를 평가하지 않았다고 스스로 밝힙니다. 작은 사업자의 부담을 줄이는 길이 각자 비싼 체계를 갖추는 것이 아니라 함께 쓰는 도구에 있을 수 있다는 점은 법률 정보 서비스에도 시사하는 바가 있습니다.
의무는 규모에 맞춰 설계된다
같은 주에 집행위원회는 디지털서비스법 광고 저장소에 관한 기술 지침을 만들기 위해 의견을 받기 시작했습니다. 제39조에 따라 광고 저장소를 공개해야 하는 것은 초대형 온라인 플랫폼과 초대형 검색엔진입니다. 모든 규범이 모든 사업자에게 같은 무게로 걸리는 것은 아니라는 뜻입니다. 그래서 1인 사업자에게 필요한 첫 질문은 '어떤 규제가 있는가'보다 '그중 무엇이 내 사업에 실제로 적용되는가'입니다. 이 질문에 답하려면 적용 대상과 요건을 정한 조문을 직접 확인해야 합니다. 일반론으로 모든 의무를 나열하는 안내는 오히려 작은 사업자를 겁주거나, 반대로 중요한 의무를 묻히게 할 수 있습니다.
법률 정보 서비스가 할 수 있는 일과 그 한계
법마디 OS 는 한국 법령을 다룹니다. 질문을 60개 분야별 AI 리더에게 배정하고, 여러 분야가 얽힌 질문은 CSO 서연이 주재하는 리더 협의를 거치며, 답변 속 조문·판례 인용을 국가법령정보센터(law.go.kr) 원문과 대조해 확인되지 않은 인용은 내보내지 않도록 설계돼 있습니다. 한국에서 혼자 사업을 하는 사람이 자기 상황에 적용될 수 있는 조문을 원문과 함께 확인하는 데는 이 장치가 도움이 됩니다. 그러나 인용 대조는 그 조문이 실재하고 문구가 맞는지를 확인할 뿐, 사실관계에 어떻게 적용되는지나 예외가 있는지까지 보증하지 않습니다. 여기서 설명한 한국 법령 인용 확인 기능이 미국·EU 규제 준수를 확인해 주는 것도 아닙니다. 작은 사업자에게 정직한 도구는 할 수 있는 일과 없는 일을 함께 밝히는 도구입니다.
반론과 재반박
예상 반론 1인 사업자는 시간도 돈도 없으니 법률 정보도 결론만 짧게 주면 충분하고, 근거 조문이나 한계를 길게 밝히는 것은 오히려 읽히지 않는다는 반론이 있습니다.
재반박 짧게 줘야 한다는 데는 동의합니다. NIST 안내서도 바쁜 1인 사업자를 위해 용어마다 맥락과 정의를 붙이고 행동 단위로 나눴습니다. 다만 짧은 결론일수록 그 근거를 다시 확인할 길이 있어야 합니다. 결론 옆에 근거 조문과 확인 범위를 한 줄로 붙이는 것은 길이를 크게 늘리지 않으면서, 혼자 판단해야 하는 사람이 필요할 때 원문을 찾아볼 수 있게 해 줍니다.
이 주장이 틀리는 조건
반증 조건 1인 사업자를 대상으로 한 비교에서, 근거 조문과 확인 범위를 함께 보여 준 안내와 결론만 보여 준 안내 사이에 이해도, 실제 행동 실행률, 잘못된 판단의 비율에 의미 있는 차이가 없다는 결과가 사전에 정한 평가 설계에서 나온다면, 근거와 한계를 함께 밝히자는 이 칼럼의 제안은 설득력을 잃습니다. 또 공용 도구가 작은 사업자의 준수 비용을 낮추지 못한다는 후속 측정이 나온다면, 공용 도구에 기대는 관점도 다시 따져야 합니다.
법마디 OS가 그리는 미래
작은 사업자를 돕는 법률 정보 서비스의 기준은 얼마나 많은 것을 약속하느냐가 아니라, 무엇을 확인했고 무엇은 확인하지 못했는지를 정확히 말하느냐입니다. 법마디 OS 가 말할 수 있는 것은 한국 법령 인용을 원문과 대조해 확인되지 않은 인용을 내보내지 않도록 설계했다는 데까지입니다. 1인 사업자는 이런 도구를 쓸 때 결론보다 근거 조문을 먼저 확인하고, 적용 여부가 애매한 부분은 전문가에게 묻는 순서를 지키는 편이 안전합니다.
전략적 함의
- 작은 사업자에게 필요한 것은 포괄적 체계보다 실행할 수 있는 첫 단계다. NIST 안내서도 스스로 포괄적이지 않다고 밝힌다.
- 규범은 규모에 맞춰 설계되기도 한다. 어떤 의무가 내 사업에 실제로 적용되는지를 조문으로 먼저 확인해야 한다.
- 인용 원문 대조는 조문의 실재와 문구를 확인할 뿐, 사실관계 적용과 예외 판단까지 대신하지 않는다.
"혼자 일하는 사람에게 좋은 도구는 모든 것을 해 주겠다는 도구가 아니라, 무엇을 확인해 줄 수 있는지 정확히 말하는 도구입니다."
