보완신고는 몇 번까지 해야 하나요?

횟수 제한이 아니라 조건으로 정해져 있습니다

답부터 적으면 공개 안내는 보완신고의 횟수를 정하지 않습니다. 대신 조건을 정합니다. 신고 이후 침해사고에 관하여 추가로 확인되는 사실이 있는 경우 확인한 때부터 24시간 이내에 신고하는 구조입니다. 그래서 질문의 답은 몇 번이 아니라, 추가로 확인되는 사실이 더 없을 때까지입니다.

기산점이 매번 새로 시작됩니다

여기서 중요한 것은 기산점입니다. 최초신고의 24시간은 사고를 알게 된 때부터 세고, 보완신고의 24시간은 추가 사실을 확인한 때부터 셉니다. 즉 같은 사고에서 기한이 하나가 아니고, 확인 시점마다 새 시계가 돌아갑니다. 사고 기록에 확인 시각을 건별로 적어야 하는 이유가 여기 있습니다.

최초신고는 중간 보고입니다

최초신고에 들어가는 항목은 발생 일시와 원인, 피해내용, 조치사항 등 대응 현황, 대응 담당 부서와 연락처 세 가지입니다. 24시간 안에 원인을 완전히 규명하라는 요구가 아닙니다. 그 시점까지 확인된 범위를 적는 것이고, 사실관계를 맞추는 자리는 보완신고입니다. 원인 분석이 끝나지 않았다는 이유로 24시간을 넘기는 것이 가장 흔한 실수입니다.

무엇이 추가로 확인되는 사실인가

공개 안내는 범주를 좁게 열거하지 않습니다. 최초신고 항목을 기준으로 보면 발생 일시와 원인, 피해내용, 대응 현황, 담당 연락처 가운데 값이 바뀌거나 새로 확정된 것이 추가 사실에 해당합니다. 피해 범위가 늘어난 경우, 원인이 다른 것으로 확정된 경우, 담당 부서가 바뀐 경우가 전형입니다.

사례: 한 사고에서 보완신고가 세 번 나온 경우

상황은 서버 침해 사고 1건입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인지 월요일 09시, 최초신고 월요일 15시, 이후 추가 확인이 세 차례 있었습니다. 수요일 11시에 피해 범위가 늘어난 것을 확인, 금요일 14시에 원인이 확정, 다음 주 월요일 10시에 담당 부서 변경입니다. 계산은 확인 시각마다 24시간을 더하는 것입니다. 1차 보완 기한은 목요일 11시, 2차는 토요일 14시, 3차는 화요일 10시입니다. 최종 결과는 최초신고 1건과 보완신고 3건, 합계 4건의 접수이고 각 건의 기한이 서로 다릅니다. 결과를 바꾸는 예외는 추가 확인이 한 번도 없는 사고로, 그때는 최초신고 1건으로 끝납니다. 다음 행동은 사고 기록에 확인 시각과 확인 내용을 한 줄씩 누적해 적는 것입니다.

끝났다고 판단하는 기준

보완신고가 끝나는 시점은 조사가 끝나고 최초신고 항목의 값이 더 바뀌지 않는 시점입니다. 조사 종료 보고서를 쓰는 시점과 맞물리는 경우가 많습니다. 다만 종료를 선언한 뒤에 새 사실이 확인되면 그 시점에서 다시 24시간이 시작됩니다. 종료는 상태가 아니라 그때까지의 판단입니다.

기록이 없으면 지킬 수 없는 의무입니다

보완신고는 기억으로 관리할 수 없습니다. 확인 시각이 남지 않으면 기한의 출발점을 특정할 수 없고, 나중에 기한을 지켰다는 것을 보일 수도 없습니다. CISA 의 랜섬웨어 지침이 중요 시스템 로그를 최소 1년 보관하라고 적는 것도 같은 맥락에서 쓸 수 있습니다. 로그와 사고 기록이 함께 있어야 확인 시각을 근거로 댈 수 있습니다.

최초신고와 보완신고의 역할 차이