이 법은 「전기통신법」(Telecommunications Act)을 개정하여 캐나다 통신시스템의 보안을 통신정책의 목표에 추가하고 전기통신서비스 제공자에 대한 보안명령 제도를 마련하는 한편, 「핵심 사이버시스템 보호법」(Critical Cyber Systems Protection Act)을 새로 제정하여 연방 관할 필수서비스·시스템의 연속성과 보안을 뒷받침하는 핵심 사이버시스템의 위험관리·보호 및 사고대응 체계를 구축하기 위하여 제정됨.
구체적 내용 ① 총독과 산업부장관이 전기통신서비스 제공자에게 특정 제품·서비스의 사용금지·제거, 보안계획 수립 등을 명할 수 있도록 함 ② 법률 별표에 통신·에너지·운송·금융 등의 필수서비스·시스템을 열거하고, 총독이 적용 사업자군과 담당 감독기관을 총독령으로 정하도록 함 ③ 지정운영자에게 사이버보안프로그램 수립, 공급망·제3자 위험 완화 및 사이버보안사고 보고 의무 부과 ④ 감독기관의 검사·준수명령과 행정상 금전제재 및 형사처벌 규정

※ 이 법은 2026년 6월 15일 왕실재가되었음. 「전기통신법」을 개정하는 제1부와 법률의 5년 이내 검토를 규정한 제3부는 재가일부터 시행되며, 「핵심 사이버시스템 보호법」의 제정 및 관련 법률의 후속개정을 규정한 제2부는 총독령으로 정하는 날부터 시행됨.

1. 통신시스템 보안명령
- 「전기통신법」의 통신정책 목표에 캐나다 통신시스템의 보안 증진을 추가하고, 제15.1조 및 제15.2조에 총독과 산업부장관의 보안명령 권한을 신설함.
- 총독은 캐나다 통신시스템의 보호를 위하여 특정인이 제공하는 모든 제품·서비스의 사용금지 또는 해당 제품의 제거를 전기통신서비스 제공자에게 명할 수 있음. 산업부장관은 특정인에 대한 서비스 제공의 금지·일시중단, 특정 제품·서비스의 사용금지·제거, 관련 계약의 금지·종료, 보안계획 수립, 취약점 평가·완화 및 예비시스템 사용 등을 명할 수 있음.
- 보안명령의 내용은 위협의 중대성에 비추어 필요하고 합리적이어야 함. 산업부장관은 암호화된 사적 통신의 복호화나 사적 통신·무선전화 통신의 감청을 명할 수 없음.

2. 필수서비스·시스템과 지정운영자
- 새로 제정되는 「핵심 사이버시스템 보호법」은 기밀성·무결성·가용성이 훼손될 경우 필수서비스 또는 필수시스템의 연속성이나 보안에 영향을 미칠 수 있는 사이버시스템을 ‘핵심 사이버시스템’으로 정의함.
- 별표 1은 통신서비스, 주(州) 간·국제 파이프라인 및 전력선 시스템, 원자력에너지 시스템, 연방 관할 운송시스템, 은행시스템 및 청산·결제시스템을 필수서비스·시스템으로 규정함. 총독은 국가안보 또는 공공안전에 필수적이라고 인정되는 연방 관할 서비스·시스템을 총독령으로 별표 1에 추가하거나 기존 항목을 변경·삭제할 수 있음.
- 총독은 총독령으로 별표 2에 필수서비스·시스템별 사업자군과 해당 사업자군을 감독할 기관을 추가하거나 이를 변경·삭제할 수 있음. 별표 2에 규정된 사업자군에 속하는 자가 ‘지정운영자’가 되며, 법 제정 당시 별표 2에는 사업자군과 감독기관이 기재되어 있지 않음.
- 지정운영자가 핵심 사이버시스템을 소유·통제·운영하는 경우 해당 시스템에 관하여 법률과 하위규정상의 의무를 준수하여야 함. 따라서 총독이 개별 핵심 사이버시스템이나 개별 사업자를 각각 지정하는 구조는 아님.

3. 사이버보안프로그램과 사고 대응
- 지정운영자는 자신이 별표 2의 사업자군에 속하게 된 날부터 90일 이내에 핵심 사이버시스템에 관한 사이버보안프로그램을 수립하여 담당 감독기관에 제공하거나 이용할 수 있도록 하여야 함.
- 사이버보안프로그램에는 조직·공급망·제3자 제품 및 서비스 관련 위험의 식별·관리, 핵심 사이버시스템의 보호, 사고의 탐지 및 피해 최소화 조치가 포함되어야 함. 지정운영자는 식별된 공급망·제3자 위험을 신속히 완화하고 프로그램을 이행·유지·정기검토하여야 함.
- 지정운영자는 하위규정으로 정하는 기간에 사이버보안사고를 통신보안국(Communications Security Establishment)에 보고하여야 하며, 그 기간은 72시간을 초과할 수 없음. 보고 직후에는 담당 감독기관에 보고 사실을 통지하고 보고서 사본을 제공하여야 함.
- 총독은 핵심 사이버시스템을 보호하기 위하여 필요하다고 볼 합리적인 근거가 있는 경우 지정운영자 또는 사업자군에 필요한 조치의 이행을 지시할 수 있음. 다만 암호화된 사적 통신의 복호화나 사적 통신·무선전화 통신의 감청을 지시할 수 없음.

4. 감독 및 제재
- 금융기관감독원장, 산업부장관, 캐나다은행, 캐나다원자력안전위원회, 캐나다에너지규제기관 및 교통부장관 중 별표 2에서 해당 사업자군의 감독기관으로 정해진 기관이 지정운영자의 법률 준수 여부를 감독함.
- 감독기관은 자료제출 요구, 검사, 내부감사 명령 및 위반행위의 중지·시정을 위한 준수명령 등의 권한을 행사할 수 있음.
- 「핵심 사이버시스템 보호법」상 하위규정으로 정할 수 있는 행정상 금전제재의 상한은 개인 50만 캐나다달러, 그 밖의 자는 1,500만 캐나다달러임. 사이버보안프로그램의 수립·이행, 공급망 위험 완화 또는 사이버보안 지시 준수 등의 의무를 위반한 개인은 정식기소 시 5년 이하의 징역 또는 법원이 정하는 벌금에 처하거나 이를 병과할 수 있음.
- 「전기통신법」상 보안명령 위반에 대한 행정상 금전제재의 상한은 개인의 경우 최초 위반 2만 5,000 캐나다달러, 재위반 5만 캐나다달러이며, 그 밖의 자는 각각 1,000만 캐나다달러와 1,500만 캐나다달러임.