정보보호 공시 의무 전면 확대…금융·보험·ISMS 인증 기업까지 포함

정보보호 공시 의무 전면 확대…금융·보험·ISMS 인증 기업까지 포함

정보보호 공시 의무 전면 확대…금융·보험·ISMS 인증 기업까지 포함

정보보호 공시 의무 전면 확대…금융·보험·ISMS 인증 기업까지 포함

정보보호 공시 의무 대상이 대폭 확대된다. 유가증권시장과 코스닥시장 상장 법인은 물론 정보보호 관리체계(ISMS) 인증을 받은 기업까지 공시 대상에 포함되며, 그동안 제외됐던 금융회사와 전자금융사업자도 의무 공시 대상에 들어온다.

과학기술정보통신부는 지난 9일 ‘정보보호산업의 진흥에 관한 법률 시행령 일부개정령안’을 입법예고하고 정보보호 공시 제도의 적용 범위를 전면 확대한다고 서울시에 27일 전달했다. 이번 개정은 최근 전방위적 해킹 사고로 국민 불안이 커진 상황에서 민·관 전반의 정보보호 수준을 끌어올리기 위한 조치다.

개정안에 따르면 기존 공시 의무 요건이었던 ‘정보보호 최고책임자(CISO) 지정·신고’와 ‘매출액 3000억원 이상’ 조건은 삭제되며, 이에 따라 유가증권시장과 코스닥시장에 상장된 법인은 매출 규모와 관계없이 정보보호 공시 의무를 지게 된다. 다만 기업인수목적회사(SPAC)는 대상에서 제외된다.

이용자 수 산정 기준도 변경된다. 기존에는 전년도 말 기준 직전 3개월 평균 일일 이용자 수를 기준으로 했으나, 개정안에서는 전년도 전체 평균 일일 이용자 수로 산정 기준이 바뀐다. 이를 통해 특정 시점 이용자 급증이나 감소에 따른 왜곡을 줄이겠다는 취지다.

또 전년도 말 기준 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’에 따른 ISMS 인증을 받았거나 유지 중인 기업도 새롭게 공시 의무 대상에 포함된다. 인증을 통해 일정 수준 이상의 정보보호 체계를 갖춘 기업이라도, 투자 규모와 인력, 보안 활동 현황을 외부에 투명하게 공개하도록 하겠다는 의미다.

가장 큰 변화는 공시 제외 대상의 전면 삭제다. 기존에는 공공기관, 소기업, 금융회사, 전자금융사업자는 정보보호 공시 의무 대상에서 제외됐지만, 이번 개정으로 해당 예외 조항이 모두 삭제된다. 이에 따라 은행, 보험사, 카드사, 전자금융업자 등 금융권 전반이 정보보호 투자·인력·인증 현황을 공시해야 한다.

업계 관계자는 “금융회사는 그동안 다른 감독·공시 체계로 정보보호 공시에서 제외돼 왔지만, 사이버 리스크가 소비자 피해로 직결되는 만큼 동일한 공시 기준을 적용하겠다는 정책 방향”이라며 “보험사 역시 정보보호 투자 수준이 시장에서 직접 비교되는 환경에 놓이게 될 것”이라고 말했다.

개정 시행령은 2027년 1월 1일부터 시행될 예정이다. 과기정통부는 입법예고 기간 동안 의견을 수렴한 뒤 시행령 개정을 확정할 계획이다.