정보보호 공시 의무 확대…시행령 개정안 국무회의 통과

정부가 기업의 정보보호 투자와 보안관리 현황을 공개하는 정보보호 공시 제도의 적용 대상을 대폭 확대한다.

과학기술정보통신부는 10월 20일 '정보보호산업의 진흥에 관한 법률 시행령' 개정안이 국무회의를 통과했다고 밝혔다.

이번 개정안은 정보보호 공시 의무대상을 확대하고 기존의 일부 적용 제외 규정을 정비하는 내용을 담고 있다.

개정 시행령은 2027년 1월 1일부터 시행된다.

그동안 일정 규모 이상의 기업을 중심으로 적용되던 정보보호 공시 의무가 코스피와 코스닥 전체 상장법인으로 확대되는 것이 핵심이다.

정부는 기업의 매출액이나 업종 등에 따라 발생했던 정보보호 공시 사각지대를 줄이고, 기업의 정보보호 수준에 관한 정보를 국민에게 보다 폭넓게 제공한다는 방침이다.

정보보호 공시란 무엇일까

정보보호 공시는 기업이 정보보호를 위해 어느 정도의 자원을 투입하고 어떤 보안 활동을 수행하고 있는지 공개하는 제도다.

'정보보호산업의 진흥에 관한 법률'에 근거해 운영되며, 기업의 정보보호 투자와 인력, 관련 인증·평가·점검 및 활동 현황 등이 주요 공시 대상이다.

기업이 정보보호를 위해 투자한 금액과 전문인력 운영 현황, 정보보호 관련 인증 취득 여부 등을 공개함으로써 이용자와 투자자 등이 기업의 보안관리 현황을 확인할 수 있도록 하는 것이 목적이다.

정보보호 공시는 2022년부터 일정한 기준을 충족하는 기업을 대상으로 의무화됐다.

기존에는 사업 분야와 매출액, 이용자 수 등 일정 요건에 해당하는 기업이 의무적으로 공시하도록 운영됐다.

그러나 이러한 기준으로 인해 정보보호의 중요성이 높은 기업이라도 의무대상에서 제외되는 경우가 발생할 수 있었다.

정부는 이번 시행령 개정을 통해 정보보호 공시의 적용 범위를 넓히고 제도의 실효성을 강화할 계획이다.

코스피·코스닥 상장사, 매출액 3,000억 원 기준 삭제

이번 개정안에서 가장 큰 변화는 상장기업에 적용되던 매출액 기준이 사라진다는 점이다.

기존에는 상장기업 가운데 매출액 3,000억 원 이상이라는 요건을 충족하는 기업이 정보보호 공시 의무대상에 포함됐다.

하지만 개정 시행령에서는 해당 매출액 기준을 삭제했다.

이에 따라 2027년부터는 매출액 규모와 관계없이 코스피와 코스닥에 상장된 법인이 정보보호 공시 의무대상에 포함된다.

매출액이 3,000억 원에 미치지 못하는 상장기업도 정보보호 투자와 인력, 보안 관련 활동 현황 등을 공시해야 하는 것이다.

다만 기업인수목적회사인 SPAC은 의무대상에서 제외된다.

또한 소기업에 대해서는 별도의 시행 유예기간이 적용되므로 모든 상장기업이 2027년부터 동일하게 의무를 부담하는 것은 아니다.

정부는 상장 여부를 기준으로 공시 대상을 확대해 기업의 정보보호 활동에 대한 투명성을 높이겠다는 방침이다.

소기업은 2029년부터 적용…2년간 준비기간 부여

정부는 공시 의무 확대에 따른 기업의 부담을 고려해 소기업에 대해서는 적용 시점을 늦추기로 했다.

'중소기업기본법 시행령'에 따른 소기업은 2029년 1월 1일부터 정보보호 공시 의무가 적용된다.

이는 일반적인 개정 시행령 시행일인 2027년 1월 1일보다 2년 늦은 시점이다.

정부는 상대적으로 인력과 예산이 부족할 수 있는 소기업의 경영 여건을 고려해 준비기간을 부여했다고 설명했다.

정보보호 공시를 위해서는 기업이 관련 투자와 인력 현황 등을 파악하고 필요한 자료를 체계적으로 관리해야 한다.

특히 정보보호 전담조직이나 전문인력이 충분하지 않은 기업은 공시자료를 준비하는 과정에서 추가적인 행정 부담이 발생할 수 있다.

정부는 소기업에 대한 적용 유예와 함께 신규 의무대상 기업을 위한 가이드라인과 교육, 컨설팅 등을 제공할 계획이다.

다만 소기업에 해당하는지는 단순히 매출액이 적다는 이유만으로 판단할 수 없으며, 관련 법령에 따른 기준을 확인해야 한다.

ISMS 인증 의무기업도 정보보호 공시 대상에 추가

정보보호 관리체계 인증 의무대상 기업도 새롭게 정보보호 공시 의무대상에 포함된다.

ISMS는 정보보호 관리체계 인증을 의미한다.

기업이나 기관이 정보자산을 보호하기 위한 관리체계를 구축하고 운영하고 있는지를 일정한 기준에 따라 평가하는 제도다.

이번 개정안은 ISMS 인증을 의무적으로 받아야 하는 기업을 정보보호 공시 의무대상에도 포함하도록 했다.

이는 정보보호 관리체계 구축이 요구되는 기업에 대해 관련 투자와 보안 활동 현황도 공개하도록 하려는 취지다.

다만 ISMS 인증 의무대상에 포함된다는 사실과 실제 인증을 취득했다는 사실은 구분해야 한다.

정보보호 공시에서도 기업의 인증·평가·점검 및 활동 현황 등을 관련 기준에 따라 공개하게 된다.

정부는 이러한 제도 연계를 통해 기업의 정보보호 관리 수준에 대한 투명성을 높일 계획이다.

공공기관·금융회사 등 기존 예외 규정도 삭제

기존에 정보보호 공시 의무대상에서 제외됐던 일부 기관과 기업에 대한 예외 규정도 정비된다.

개정안은 공공기관과 소기업, 금융회사, 전자금융업자 등에 적용되던 공시 의무 제외 규정을 삭제하는 내용을 담고 있다.

이에 따라 해당 기관과 기업도 법령에서 정한 의무대상 요건에 해당하면 정보보호 공시를 해야 한다.

다만 예외 규정이 삭제됐다는 이유만으로 모든 공공기관과 모든 금융회사가 별도 요건 없이 일괄적으로 공시 의무를 부담한다고 단정해서는 안 된다.

실제 적용 여부는 개정된 의무대상 기준과 개별 기관의 해당 요건을 함께 확인해야 한다.

또한 소기업에는 2029년부터 의무를 적용하는 별도의 유예 규정이 마련됐다.

정부는 이번 개정을 통해 기업과 기관의 유형에 따라 발생할 수 있었던 공시 제도의 사각지대를 해소한다는 방침이다.

이용자 수 산정 기준도 변경…연간 평균으로 판단

정보보호 공시 의무대상을 판단하는 이용자 수 산정 방식도 달라진다.

기존에는 전년도 말 직전 3개월간의 일일평균 이용자 수를 기준으로 산정했다.

그러나 개정 시행령에서는 전년도 전체 기간의 일일평균 이용자 수를 기준으로 변경한다.

이에 따라 특정 기간의 이용자 수만을 기준으로 판단하는 대신 연간 이용 현황을 반영하게 된다.

이용자 수는 정보보호 공시 의무대상 여부를 판단하는 기준 가운데 하나다.

따라서 이용자 수 기준에 따라 공시 의무가 발생하는 기업은 변경된 산정 방식을 확인할 필요가 있다.

정부는 공시 대상 판단에 활용되는 기준을 정비해 제도의 적용 체계를 개선한다는 계획이다.

정보보호 공시 확대, 기업에는 어떤 변화가 생길까

이번 개정으로 새롭게 공시 의무대상에 포함되는 기업은 정보보호 관련 자료를 보다 체계적으로 관리해야 할 것으로 보인다.

정보보호 공시에는 투자와 인력, 인증 및 평가·점검, 관련 활동 현황 등이 포함된다.

따라서 기업은 정보보호에 사용한 비용과 관련 인력의 운영 현황 등을 공시 기준에 맞게 파악하고 정리해야 한다.

기존에 정보보호 공시를 하지 않았던 기업은 어떤 항목을 공개해야 하는지와 자료를 어떻게 산정해야 하는지 등을 확인할 필요가 있다.

특히 정보보호 업무가 여러 부서에 나뉘어 있는 기업이라면 관련 자료를 취합하고 관리하는 체계를 마련해야 할 수 있다.

정부는 이번 개정이 기업의 정보보호 투자를 촉진하는 계기가 될 것으로 기대하고 있다.

기업이 정보보호 현황을 공개하는 과정에서 자체적인 보안관리 수준을 점검하고 필요한 투자와 인력 확보를 검토할 수 있다는 것이다.

다만 공시 의무가 확대된다고 해서 모든 기업에 동일한 규모의 정보보호 투자금액이나 인력 확보 의무가 부과되는 것은 아니다.

이번 개정의 핵심은 정보보호 관련 현황을 공개해야 하는 기업의 범위를 확대하는 데 있다.

기업 보안 투자, 이용자와 투자자도 확인할 수 있어

정보보호 공시 제도의 확대는 기업뿐 아니라 서비스를 이용하는 국민과 투자자에게도 의미가 있다.

기업의 정보보호 투자와 인력, 보안 관련 활동 현황이 공개되면 외부에서도 기업의 정보보호 관리 현황을 확인할 수 있기 때문이다.

특히 개인정보와 각종 디지털 서비스를 다루는 기업에서는 정보보호 체계의 중요성이 커지고 있다.

기업의 보안관리 수준은 서비스 이용자의 신뢰와도 연결될 수 있다.

정보보호 공시는 기업이 관련 분야에 어느 정도의 자원을 투입하고 있는지 확인할 수 있는 자료가 된다.

다만 공시된 정보보호 투자금액이 많다는 이유만으로 해당 기업이 반드시 더 안전하다고 단정할 수는 없다.

실제 보안 수준은 투자 규모뿐 아니라 관리체계의 적절성, 보안 활동의 실효성, 사고 대응 역량 등 다양한 요소에 영향을 받는다.

따라서 공시자료는 기업의 정보보호 현황을 파악하는 참고자료로 활용할 필요가 있다.

정부, 신규 의무기업에 가이드라인·컨설팅 제공

정부는 정보보호 공시 의무대상이 확대되는 만큼 신규 대상 기업의 제도 이행을 지원할 계획이다.

과학기술정보통신부는 개정 내용을 반영한 '정보보호 공시 가이드라인'을 제공하기로 했다.

가이드라인에는 기업이 공시 제도를 이해하고 필요한 자료를 준비하는 데 참고할 수 있는 내용이 담길 예정이다.

또한 신규 의무대상 기업을 대상으로 컨설팅도 지원한다.

기업이 공시 항목과 작성 기준 등을 이해할 수 있도록 온라인 상시 상담과 교육 지원도 제공할 계획이다.

지역별로 순회 방문 교육도 병행한다.

정부는 이러한 지원을 통해 새롭게 의무대상에 포함되는 기업이 공시 제도에 적응하고 관련 업무를 원활하게 수행할 수 있도록 돕겠다는 방침이다.

구체적인 교육 일정과 컨설팅 신청 방법 등은 향후 관련 안내를 통해 확인할 필요가 있다.

2022년 의무화 이후 적용 대상 확대…제도 사각지대 해소

정보보호 공시 제도는 2022년부터 일정 요건에 해당하는 기업을 대상으로 의무화됐다.

그동안 사업 분야와 매출액, 이용자 수 등을 기준으로 공시 의무대상을 정해 왔다.

그러나 기업의 규모나 유형에 따라 공시 의무 적용 여부가 달라지면서 일부 기업은 의무대상에서 제외됐다.

정부는 이러한 제도적 사각지대를 줄이기 위해 이번 시행령 개정을 추진했다.

개정안 마련 과정에서는 입법예고와 공청회, 주요 이해관계자 간담회 등을 통해 기업과 전문가, 국민의 의견을 수렴했다.

이를 바탕으로 상장기업의 매출액 기준을 삭제하고 ISMS 인증 의무대상자를 추가하는 등 공시 의무대상을 확대하는 방안을 마련했다.

정부는 공시 대상 확대를 통해 기업의 정보보호 투자 현황을 보다 폭넓게 공개하고, 정보보호를 기업 운영의 중요한 요소로 인식하도록 유도할 계획이다.

배경훈 부총리 “정보보호를 비용 아닌 투자로 인식해야”

배경훈 부총리 겸 과학기술정보통신부 장관은 정보보호 공시가 국민의 알 권리를 보장하고 기업의 자발적인 정보보호 투자를 유도하는 중요한 제도라고 설명했다.

또한 이번 의무대상 확대를 계기로 정보보호 투자가 활성화되고 국가 전반의 정보보호 수준이 높아지는 선순환 구조가 정착되기를 기대한다고 밝혔다.

정부는 기업이 정보보호를 단순한 비용 부담으로 바라보는 대신 지속적인 투자와 관리가 필요한 분야로 인식하도록 유도한다는 방침이다.

정보보호 투자와 관련 활동을 공개하는 제도가 확대되면 기업의 보안관리 현황에 대한 관심도 높아질 것으로 예상된다.

2027년 시행 앞둔 기업들…공시 대상 여부 확인 필요

이번 정보보호산업법 시행령 개정안은 2027년 1월 1일부터 시행된다.

이에 따라 코스피와 코스닥 상장법인은 매출액 규모와 관계없이 정보보호 공시 의무대상에 포함된다.

다만 기업인수목적회사인 SPAC은 제외되며, 소기업은 2029년 1월 1일부터 의무가 적용된다.

ISMS 인증 의무대상 기업도 새롭게 공시 의무대상에 포함되고, 공공기관과 금융회사 등에 대한 기존 예외 규정도 삭제된다.

정부는 새롭게 공시 의무를 부담하는 기업들이 제도를 원활하게 이행할 수 있도록 가이드라인과 컨설팅, 온라인 상담 및 교육 등을 지원할 계획이다.

기업 입장에서는 개정 시행령에 따른 공시 의무대상 여부와 적용 시점을 먼저 확인하고, 정보보호 투자·인력 및 관련 활동 현황을 관리할 준비가 필요하다.

이번 제도 확대가 기업의 자발적인 보안 투자와 정보보호 관리체계 강화로 이어질 수 있을지가 향후 주요 관심사가 될 전망이다.