과학기술정보통신부(이하 “과기정통부”)는 정보보호 공시의무를 전체 상장사 등으로 확대하는 내용의 「정보보호산업의 진흥에 관한 법률 시행령」 개정안(이하 “개정 시행령”) 이 10월 20일 국무회의를 통과하였다고 밝혔습니다. 개정 시행령은 10월 27일 공포되었으며, 2027년 1월 1일부터 시행됩니다.
이번 개정은 상장법인에 적용되던 매출액 요건을 삭제하여 공시의무 대상을 전체 상장법인으로 확대하고, 정보보호 관리체계(ISMS) 인증 의무대상자를 새로 공시의무 대상에 추가하는 한편, 공공기관·금융회사 등을 공시의무 대상에서 제외한 예외 규정을 삭제하는 것을 주요 내용으로 합니다. 아래에서는 개정 시행령의 주요 내용과 시사점 등에 대해 살펴보도록 하겠습니다.
1. 개정 배경
정보보호 공시는 「정보보호산업의 진흥에 관한 법률」(이하 “정보보호산업법”)에 따라 기업의 정보보호 투자·인력, 관련 인증·평가·점검 및 활동 현황 등을 공개하는 제도로, 2022년부터 사업 분야, 매출액 및 이용자 수 등 일정 기준에 해당하는 기업을 대상으로 시행되고 있습니다.
개정 시행령은 연이은 사이버 침해사고를 계기로 지난해 10월 관계부처 합동으로 발표된 「범부처 정보보호 종합대책」의 후속 조치 중 하나로, 공시 제도의 사각지대를 해소하고 국민의 알 권리를 보장하는 한편, 기업이 정보보호를 비용이 아닌 투자로 인식하도록 유도하기 위해 추진되었습니다.
2. 주요 개정 내용 : 정보보호 공시의무 대상 확대
개정 시행령에 따른 정보보호 공시의무 대상의 주요 변경 사항은 다음과 같습니다.
| 구분 | 현행 | 개정 |
|---|---|---|
| 상장법인 | 정보보호 최고책임자 신고 의무가 있는 상장법인 중 직전 사업연도 매출액 3,000억원 이상인 자 | 유가증권시장·코스닥시장 전체 상장법인 (기업인수목적회사(SPAC)는 제외) |
| 이용자 수 기준 | 전년도 말 기준 직전 3개월간 일일평균 이용자 수 100만명 이상 | 전년도 일일평균 이용자 수 100만명 이상 |
| ISMS 인증 의무대상자 | <신설> | 「정보통신망법」 제47조 제2항에 따른 ISMS 인증 의무대상자 |
| 예외 규정 | 공공기관, 금융회사, 일부 소기업·전자금융업자는 공시 의무 대상에서 제외 | 삭제 (소기업은 2029. 1. 1.부터 적용) |
3. 시행 시기 및 향후 계획
(시행 시기) 개정 시행령은 2027년 1월 1일부터 시행됩니다. 다만, 「중소기업기본법 시행령」에 따른 소기업은 경영 여건 등을 고려하여 2029년 1월 1일부터 공시 의무가 적용됩니다.
(이행 지원) 과기정통부는 신규로 공시의무 대상이 된 기업의 부담을 완화하고자 개정 내용을 반영한 ‘정보보호 공시 가이드라인’을 제공하고 컨설팅을 지원할 계획이며, 온라인 상시 상담 및 교육, 지역 순회 방문 교육도 병행할 예정입니다.
배경훈 부총리 겸 과기정통부장관은 “정보보호 공시는 국민의 알 권리를 보장하고, 기업의 자발적인 정보보호 투자를 유도하는 중요한 제도”라며, “이번 공시의무 대상 확대를 계기로 정보보호 투자가 더욱 활성화되고, 국가 전반의 정보보호 수준이 높아지는 선순환 구조가 정착되기를 기대한다”고 밝혔습니다.
4. 시사점
- (공시의무 대상 해당 여부 확인 필요) 개정 시행령에 따라 매출액 규모와 관계없이 모든 상장법인 및 ISMS 인증 의무대상자는 공시의무를 부담하게 됩니다. 그동안 예외로 인정되던 공공기관·금융회사 등도 의무대상 기준에 해당하면 공시의무를 부담합니다. 비상장기업은 이용자 수 산정 기준을 충족하면 공시의무를 부담하는데 개정안에 따라 이용자 수 기준도 바뀌는 만큼, 자사가 공시의무 대상에 해당하는지 미리 확인해 둘 필요가 있습니다.
- (공시 준비 체계 마련) 정보보호 공시는 매년 6월 30일까지 정보기술부문 대비 정보보호부문 투자·인력 현황 등을 공개하는 방식으로 이루어지며, 정보보호 최고책임자가 주관하고 최고경영자의 확인을 거쳐야 합니다(정보보호산업법 시행령 제8조). 신규로 공시의무 대상이 된 기업으로서는 투자액과 전담인력을 집계하는 내부 체계와 공시 절차를 미리 정비해 둘 필요가 있습니다.
- (제재 및 후속 안내 유의) 공시 의무를 이행하지 않거나 과기정통부의 공시 내용 검증·수정 요청에 따르지 않는 경우에는 과태료가 부과될 수 있으므로(정보보호산업법 제13조 제4항, 제41조), 공시 내용의 정확성에도 유의할 필요가 있습니다. 아울러 향후 제공될 가이드라인 등 후속 안내도 지속적으로 주시할 필요가 있을 것으로 보입니다.
About Shin & Kim’s ICT Group
법무법인(유) 세종 ICT그룹은 ICT 분야에서 독보적인 전문성과 인적 네트워크를 보유하고 있으며, 고객들로부터 최근 수년간 가장 높은 평가를 받고 있습니다. 방송과 통신, 개인정보, 인터넷 IT 분야에서 축적된 역량을 바탕으로 방송·통신·ICT 규제 동향 파악 및 대관, 법제개선·입법컨설팅, 규제영향 분석과 기업의 전략 수립 등에 대한 종합적인 법률자문을 제공하고 있으며, 정보보호 공시, 정보보호 관리체계 인증, 침해사고 대응 등과 관련하여서도 다양한 업무경험과 전문성을 보유하고 있습니다. 보다 전문적인 내용이나 궁금하신 사항이 있으면 언제든지 연락 주시기 바랍니다.
