CISO 의무지정 요건이 궁금합니다.

일반적인 규모가 큰 정보통신서비스 제공자들은 CISO 정보보호 책임자 지정이 의무라고하는데 이 CISO가 꼭 임원이 해야되는건가요? 임원이 없는 애매한기업들은 그냥 팀장급이 하면 안되나요?