내년부터 코스피·코스닥 상장사 전체 정보보호 공시 '의무'
정보보호산업법 시행령 개정안 국무회의 통과
매출 3000억 기준 폐지, 금융·공공기관도 포함
[파이낸셜뉴스] 오는 2027년부터 매출 규모와 관계없이 코스피·코스닥에 상장된 모든 일반 기업이 정보보호 투자와 인력 현황 등을 의무적으로 공개해야 한다. 그동안 공시 대상에서 제외됐던 금융회사와 공공기관 등으로도 의무가 확대되면서 기업의 보안 투자 현황에 대한 공개 범위가 넓어진다.
과학기술정보통신부는 정보보호 공시 의무대상을 확대하는 '정보보호산업의 진흥에 관한 법률 시행령' 개정안이 20일 국무회의를 통과했다고 밝혔다.
정보보호 공시는 기업이 보안에 투입한 투자액과 인력 규모, 정보보호 관련 인증·평가 및 점검 활동 등을 외부에 공개하는 제도다. 지난 2022년부터 일정 매출액이나 이용자 수 등의 요건을 충족하는 기업을 대상으로 의무화됐다.
이번 개정의 핵심은 상장기업에 적용되던 매출액 3000억원 이상 기준을 없앤 것이다. 이에 따라 기업인수목적회사(SPAC)를 제외한 코스피·코스닥 전체 상장법인이 공시 의무대상에 포함된다.
정보보호 관리체계(ISMS) 인증 의무대상자도 새롭게 공시 의무를 적용받는다. 기존에 예외로 인정됐던 공공기관과 금융회사, 전자금융업자, 소기업 등에 대한 제외 규정도 폐지된다.
다만 소기업은 경영 부담을 고려해 적용 시기를 2029년 1월 1일로 2년 유예한다. 공시 의무 여부를 판단하는 이용자 수 산정 방식도 전년도 말 직전 3개월간 일일평균 이용자 수에서 전년도 전체 일일평균 이용자 수로 변경된다.
이번 시행령 개정은 지난해 10월 정부가 발표한 '범부처 정보보호 종합대책'의 후속 조치다. 잇따른 사이버 침해사고를 계기로 기존 공시 제도의 적용 범위를 넓혀 기업의 정보보호 투자를 유도하겠다는 취지다.
과기정통부는 신규 의무대상 기업의 부담을 줄이기 위해 개정 내용을 반영한 공시 가이드라인을 배포하고 컨설팅을 지원할 예정이다. 온라인 상담과 교육, 지역 순회 방문 교육도 진행한다.
배경훈 부총리 겸 과기정통부 장관은 "이번 의무대상 확대를 계기로 정보보호 투자가 더욱 활성화되고 국가 전반의 정보보호 수준이 높아지는 선순환 구조가 정착되기를 기대한다"고 말했다.
[email protected] 최혜림 기자
