상장사 정보보호 공시 확대와 금융사 예외 폐지

이번에 국무회의가 의결한 것은 ‘정보보호산업의 진흥에 관한 법률 시행령’ 개정안입니다. 핵심은 기업이 정보보호에 투입한 자원과 관련 활동을 의무적으로 공개해야 하는 범위를 넓히는 데 있습니다. 과학기술정보통신부가 밝힌 시행일은 2027년 1월 1일로, 2026년 10월 20일 현재는 확대 시행을 앞둔 단계입니다.

상장기업에는 공시 대상을 가르던 매출액 요건을 없앴습니다. 기존에는 직전 사업연도 매출액이 3,000억원 이상인 상장법인이 대상이었지만, 개정 후에는 매출 규모와 관계없이 코스피·코스닥 상장법인이 포함됩니다. 다만 기업인수목적회사인 스팩(SPAC)은 제외하므로, 전체 상장사로 확대한다는 설명에도 이 예외가 있습니다.

공개하는 내용은 정보보호 투자액과 전담 인력, 관련 인증·평가·점검, 보안 활동 현황입니다. 정보보호 공시는 기업이 보안에 얼마를 투자하고 어떤 활동을 하는지 외부에 알리는 제도입니다. 이번 개정에서 상장사와 관련해 달라지는 핵심은 이러한 정보를 의무적으로 공개할 기업을 매출액으로 구분하지 않게 됐다는 점입니다.

상장사 범위 확대와 함께 공공기관, 금융회사, 전자금융업자, 소기업 등을 공시 의무에서 제외하던 규정도 삭제했습니다. 다만 중소기업기본법 시행령에 따른 소기업은 경영 여건과 준비 기간을 고려해 2029년 1월 1일부터 적용합니다. 일반 시행일과 소기업 적용일이 다른 만큼, 예외 규정의 삭제와 실제 의무가 시작되는 시점을 구분해야 합니다.

정보보호 관리체계(ISMS) 인증 의무대상자도 공시 대상에 추가했습니다. ISMS는 기업이 정보자산을 보호할 관리체계와 보안 조치를 갖췄는지 심사하는 제도이며, 정보통신서비스 부문의 전년도 매출액이 100억원 이상이거나 전년도 일평균 이용자가 100만명 이상인 기업 등에 인증 의무가 발생합니다. 이번 개정은 인증 의무가 있는 기업에 투자·인력·활동 현황을 공개할 의무도 부여했습니다.

정보통신서비스의 이용자 수를 기준으로 공시 의무를 판단하는 방식도 바꿨습니다. 기존에는 전년도 말 직전 3개월의 일평균 이용자 수를 적용했지만, 앞으로는 전년도 전체의 일평균을 적용합니다. 상장사의 매출액 요건 삭제와는 별도로, 이용자 규모를 판단할 때 살펴보는 기간을 연말 일부에서 연간 전체로 변경했습니다.