Earticle

초록

영어

While the digital transformation of the healthcare sector has enhanced the efficiency of medical care and access to medical services, it has simultaneously exposed medical institutions and healthcare data infrastructure to cyberattacks. Cyberattacks against medical institutions result not only in the leakage of personal information but also affect the lives and safety of patients. In this regard, healthcare cybersecurity needs to be treated not as a sub-area of ​​personal information protection, but as an independent domain to ensure the safety and resilience of the medical service delivery system. This study analyzed policy and legislative trends related to healthcare cybersecurity in the United States and the European Union and derived implications for domestic legislation. The United States has operated principle-based and risk-based regulations centered on the HIPAA Security Rule; however, through the amendments scheduled for December 2024, it is attempting to shift toward mandating specific minimum controls, such as multi-factor authentication, encryption, and network segmentation checks. The European Union regulates healthcare institutions as operators of essential services through the NIS2 directive, institutionalizing executive responsibility and phased incident reporting; combines product and supply chain security through the Cyber ​​Resilience Act and the Medical Devices Regulation; and implements both regulatory obligations and support policies through the Cyber ​​Solidarity Act and the ‘Cybersecurity Action Plan for Hospitals and Healthcare Providers.’ Based on this, when discussing the direction of relevant domestic legislation, it is necessary to address regulatory gaps and support systems through amendments to the current Medical Service Act, ensure consistency with other relevant laws, and consider designing legislation that reflects the specific characteristics of the healthcare sector during the process of reforming the national cybersecurity legislation.

한국어

보건의료 분야의 디지털 전환은 진료의 효율성과 의료접근성을 높였으나, 동시에 의료기관과 보건의료 데이터 인프라를 사이버공격에 노출시켰다. 의료기관에 대한 사이버공격은 개인정보 유출에 그치지 않고 환자의 생명과 안전에 영향을 미친다. 이 점에서 보건의료 사이버보안은 개인정보보호의 하위영역이 아니라 의료서비스 제공체계의 안전성과 복원력을 보장을 위한 독자적 영역으로 다루어질 필요가 있다. 이 연구는 미국과 유럽연합의 보건의료 사이버보안 관련 정책·입법 동향을 분석하고 국내 법제에 대한 시사점을 도출하였다. 미국은 HIPAA Security Rule을 축으로 원칙중심·위험기반 규제를 운영해 왔으나, 2024년 12월 개정안을 통해 다중인증·암호화·네트워크 분할·취약점 점검 등 구체적이고 의무적인 최소 보안기준 중심의 규제로 전환을 시도하고 있다. 유럽연합은 NIS2 지침을 통해 의료기관을 필수서비스 운영자로 규율하면서 경영진 책임과 단계적 사고보고를 제도화하고, 사이버복원력법과 의료기기규정으로 제품·공급망 보안을 결합하며, 사이버연대법과 ‘병원 및 의료제공자 사이버보안 실행계획’을 통해 규제의무와 지원정책을 병행하고 있다. 이를 바탕으로 국내 관련 입법 방향 논의 시에는 우선 현행 의료법 개정을 통해 규제 공백과 지원체계를 정비하고, 국가 사이버안보 법제 개편과정에서 보건의료 분야의 특수성을 반영한 법제의 설계를 고려할 필요가 있다.

목차

Ⅰ. 서론
Ⅱ. 사이버보안의 개념과 보건의료 분야 규제의 방향
Ⅲ. 미국의 보건의료 사이버보안 관련 정책 및 규제 동향
Ⅳ. 유럽연합의 보건의료 사이버보안 관련 정책 및규제 동향
Ⅴ. 국내 법제 현황과 미국과 유럽연합 규제 동향의 시사점
【참고문헌】
[ 국문초록 ]
[ABSTRACT]

키워드

저자

• 김계현 [ Kye-Hyun, Kim | 의료정책연구원 연구위원. ] 제1저자
• 이기호 [ Ki-Ho, Lee | 한국보건사회연구원 부연구위원 ] 교신저자

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  비교법연구 [The Journal of Comparative Law]

• 간기

  연3회

• pISSN

  1598-3285

• 수록기간

  2000~2026

• 십진분류

  KDC 360 DDC 340