티스토리 뷰
2027년부터 기업의 정보보호 공시 기준이 크게 달라집니다. 지금까지는 일정 매출 규모 이상의 상장기업 등이 정보보호 투자와 인력 현황을 의무적으로 공개했지만, 앞으로는 매출이 적은 코스피·코스닥 상장기업도 공시 의무를 적용받게 됩니다. 기업 규모에 따라 정보보호 현황을 공개하지 않아도 됐던 기존 기준이 바뀌는 것입니다.
과학기술정보통신부는 2026년 10월 20일 정보보호 공시 의무대상을 확대하는 「정보보호산업의 진흥에 관한 법률 시행령」 개정안이 국무회의를 통과했다고 발표했습니다. 개정 시행령은 2027년 1월 1일부터 시행되며, 상장기업의 매출액 기준 폐지와 정보보호 관리체계 인증 의무대상자 추가 등이 핵심입니다.
이번 개정에서는 기존에 정보보호 공시 의무대상에서 제외됐던 공공기관과 금융회사, 전자금융업자 등에 관한 예외 규정도 삭제됩니다. 다만 중소기업기본법령에 따른 소기업은 경영 여건을 고려해 2029년 1월 1일부터 의무를 적용하도록 유예기간을 뒀습니다. 모든 기업이 2027년에 같은 방식으로 공시해야 하는 것은 아니라는 점에 주의해야 합니다.
정보보호 공시는 기업이 사이버보안에 얼마나 투자하고 어떤 인력과 관리체계를 운영하는지 외부에 공개하는 제도입니다. 이번 글에서는 2027년 시행일과 의무대상 확대 범위, ISMS 인증기업의 적용 여부, 소기업 유예기간, 이용자 수 산정기준과 기업의 준비사항까지 공식 발표를 바탕으로 정리했습니다.
📅 정부 발표: 2026년 10월 20일
📅 시행일: 2027년 1월 1일
🏢 상장기업: 코스피·코스닥 전체 상장법인으로 확대
💰 매출기준: 기존 3,000억 원 이상 요건 삭제
🛡️ 신규 대상: ISMS 인증 의무대상자
🏦 예외 삭제: 공공기관·금융회사·전자금융업자 등
⏳ 소기업: 2029년 1월 1일부터 적용
📊 이용자 수: 전년도 전체 일일평균으로 산정
※ 기업인수목적회사(SPAC)는 상장법인 확대 대상에서 제외됩니다. 소기업은 별도의 시행 유예가 적용됩니다.
1. 시행일, 2027년 정보보호 공시 의무 확대 확정
정보보호 공시 의무 확대는 2026년 10월 20일 국무회의에서 의결된 시행령 개정에 따른 조치입니다. 정부는 2026년 1월 입법예고를 시작하고 공청회와 이해관계자 간담회 등을 통해 의견을 수렴했습니다. 이후 개정 절차를 거쳐 2027년 1월 1일 시행하도록 일정을 정했습니다.
이번 개정은 2025년 10월 발표된 범부처 정보보호 종합대책의 후속 조치입니다. 연이은 사이버 침해사고로 기업의 보안 관리와 정보공개에 대한 관심이 높아지면서, 공시 사각지대를 줄이고 정보보호 투자 현황을 보다 폭넓게 공개하도록 제도를 정비했습니다.
여기서 구분해야 할 것은 시행령의 시행일과 실제 공시 제출일입니다. 2027년 1월 1일은 개정 규정이 시행되는 날짜이며, 개별 기업의 공시 제출기한과 대상 정보의 산정기간은 해당 연도의 공식 공시 지침에 따라 확인해야 합니다. 시행일을 모든 기업의 공시 제출 마감일로 이해해서는 안 됩니다.
2. 상장기업, 매출 3,000억 원 기준 폐지
이번 개정에서 가장 큰 변화는 상장기업에 적용하던 매출액 3,000억 원 이상 기준을 삭제한 것입니다. 기존에는 상장기업이더라도 매출 규모에 따라 정보보호 공시 의무대상에 해당하지 않을 수 있었습니다. 앞으로는 매출액과 관계없이 코스피와 코스닥에 상장된 법인이 원칙적으로 공시 대상에 포함됩니다.
다만 기업인수목적회사인 SPAC는 상장법인 확대 대상에서 제외됩니다. 또한 중소기업기본법령에 따른 소기업에는 별도의 유예기간이 적용되므로, 매출이 적은 상장기업이라면 상장 여부뿐 아니라 법령상 소기업에 해당하는지도 확인해야 합니다.
공시 대상 확대는 중견기업과 중소 상장기업에도 정보보호 투자 및 인력 현황을 정리할 필요가 생긴다는 의미입니다. 특히 기존에 자율적으로 보안 관련 자료를 관리하던 기업은 공시항목별 증빙과 내부 담당부서의 역할을 정비할 필요가 있습니다.
기존: 상장기업에 매출액 3,000억 원 이상 기준 적용
2027년부터: 코스피·코스닥 전체 상장법인으로 확대
제외: 기업인수목적회사(SPAC)
유예: 법령상 소기업은 2029년 1월 1일부터 적용
3. ISMS 인증, 정보보호 관리체계 의무대상 추가
정보보호 관리체계 인증인 ISMS의 의무대상자도 정보보호 공시 의무대상에 새롭게 포함됩니다. ISMS는 기업이나 기관이 정보자산을 보호하기 위한 관리체계를 적절하게 수립하고 운영하는지 평가하는 인증제도입니다. 이번 개정으로 ISMS 인증 의무대상에 해당하는 사업자는 공시 의무 여부도 함께 확인해야 합니다.
ISMS 인증과 정보보호 공시는 서로 다른 제도입니다. 인증은 관리체계가 정해진 기준에 적합한지 심사하는 절차이고, 공시는 기업의 정보보호 투자와 인력, 인증 및 보안 활동 현황을 공개하는 제도입니다. 따라서 ISMS 인증을 보유하고 있다는 사실만으로 정보보호 공시 의무를 이행한 것으로 볼 수는 없습니다.
이번 개정에서 새로 추가된 것은 ISMS 인증을 자율적으로 취득한 모든 기업이 아니라 ISMS 인증 의무대상자라는 점도 중요합니다. 기업은 법령상 인증 의무대상 해당 여부와 공시 적용시점을 확인하고, 중복으로 관리할 수 있는 자료와 별도로 준비해야 하는 자료를 구분하는 것이 좋습니다.
4. 소기업 유예, 2029년부터 공시 의무 적용
공공기관과 소기업, 금융회사, 전자금융업자 등에 적용되던 공시 의무대상 제외 규정은 이번 개정으로 삭제됩니다. 이는 기존 예외 규정 때문에 공시 대상에서 빠졌던 기관과 기업도 법령상 의무대상 요건에 해당하면 공시를 검토해야 한다는 의미입니다. 다만 예외 규정이 삭제됐다는 사실만으로 모든 비상장기업과 모든 공공기관이 자동으로 공시 대상이 되는 것은 아닙니다.
특히 중소기업기본법 시행령에 따른 소기업은 인력과 경영 여건을 고려해 2년의 준비기간을 부여받았습니다. 소기업의 공시 의무 적용일은 2029년 1월 1일입니다. 따라서 2027년부터 확대되는 일반 대상과 소기업의 적용시점을 구분해야 합니다.
소기업에 해당하는지는 단순히 직원 수가 적거나 매출액이 낮다는 이유만으로 판단해서는 안 됩니다. 업종별 규모기준과 관계 법령에 따른 분류를 확인해야 합니다. 상장기업이나 ISMS 인증 의무대상에 해당하더라도 소기업 유예 적용 여부는 기업의 법적 분류를 기준으로 검토할 필요가 있습니다.
2027년 1월 1일: 개정 시행령 일반 시행
2029년 1월 1일: 법령상 소기업 공시 의무 적용
※ 소기업 유예는 모든 중소기업에 일괄 적용되는 규정이 아닙니다.
5. 공시항목, 정보보호 투자와 인력 현황 공개
정보보호 공시는 기업이 보안 분야에 투입한 투자와 인력, 정보보호 관련 인증 및 평가·점검, 주요 활동 현황 등을 공개하는 제도입니다. 단순히 해킹 사고가 있었는지 여부만 공개하는 제도가 아니라 기업이 정보보호를 위해 어떤 자원과 관리체계를 운영하고 있는지 확인할 수 있도록 마련됐습니다.
기업은 정보보호 관련 비용과 인력을 일관된 기준으로 구분하고, 공시자료를 작성할 수 있도록 근거자료를 정리해야 합니다. 예를 들어 보안솔루션 도입과 유지관리, 정보보호 전담인력, 관련 인증 및 점검 활동 등을 내부적으로 파악할 필요가 있습니다. 실제 인정되는 항목과 계산방식은 공식 공시 가이드라인을 따라야 합니다.
이용자 수를 기준으로 공시 의무대상을 판단하는 방식도 달라집니다. 기존에는 전년도 말 직전 3개월의 일일평균 이용자 수를 기준으로 삼았지만, 앞으로는 전년도 전체 기간의 일일평균 이용자 수를 적용합니다. 기업은 기존 산정방식을 그대로 사용하지 않도록 데이터 집계기간을 확인해야 합니다.
6. 기업 준비, 공시 가이드라인과 정부 지원 확인
새롭게 정보보호 공시 의무대상이 되는 기업은 먼저 적용 여부를 확인해야 합니다. 코스피·코스닥 상장 여부와 SPAC 해당 여부, ISMS 인증 의무대상 여부, 법령상 소기업 분류, 기존 이용자 수 기준 등을 함께 검토하면 적용시점을 판단하는 데 도움이 됩니다.
과기정통부는 신규 의무대상 기업의 부담을 줄이기 위해 개정 내용을 반영한 정보보호 공시 가이드라인과 컨설팅을 지원할 계획이라고 밝혔습니다. 온라인 상시 상담과 교육, 지역 순회 방문 교육도 병행할 예정입니다. 구체적인 교육일정과 신청방법은 이후 공지되는 공식 안내를 확인해야 합니다.
기업 내부에서는 정보보호 담당부서뿐 아니라 재무·인사·법무·공시 담당부서가 함께 자료를 점검하는 것이 좋습니다. 보안 관련 투자액과 인력 수를 정확하게 산정하려면 여러 부서의 자료가 필요할 수 있기 때문입니다. 공식 지침이 나오면 공시항목별 작성기준과 증빙자료를 확인해 제출 과정의 오류를 줄이는 것이 중요합니다.
① 상장기업·ISMS 인증 의무대상 여부 확인
② SPAC 제외 및 소기업 유예 여부 확인
③ 정보보호 투자액과 전담인력 자료 정리
④ 인증·평가·점검 및 보안활동 현황 확인
⑤ 전년도 전체 일일평균 이용자 수 산정
⑥ 공식 가이드라인과 공시 일정 확인
⑦ 정부 컨설팅·교육 지원 공지 확인
7. 정보보호 공시 FAQ, 의무대상과 시행일 주요 질문
Q1. 2027년 정보보호 공시 의무 확대는 언제 시행되나요?
2027년 1월 1일부터 시행됩니다. 실제 공시 제출기한은 해당 연도의 공식 안내를 확인해야 합니다.
Q2. 매출 3,000억 원 미만 상장기업도 대상인가요?
그렇습니다. 기존 매출액 기준이 삭제돼 코스피·코스닥 전체 상장법인으로 확대되지만 SPAC 제외와 소기업 유예 규정을 함께 확인해야 합니다.
Q3. ISMS 인증기업은 모두 정보보호 공시를 해야 하나요?
이번 개정으로 추가된 대상은 ISMS 인증 의무대상자입니다. 자율적으로 인증을 취득한 기업까지 일괄적으로 해당한다고 해석해서는 안 됩니다.
Q4. 소기업은 2027년부터 바로 적용되나요?
아닙니다. 중소기업기본법령에 따른 소기업은 2029년 1월 1일부터 의무가 적용됩니다.
Q5. 정보보호 공시에는 어떤 내용을 공개하나요?
정보보호 투자와 인력, 관련 인증·평가·점검 및 주요 보안활동 현황 등을 공개합니다. 구체적인 산정기준은 공식 가이드라인을 확인해야 합니다.
Q6. 신규 공시대상 기업을 위한 지원도 있나요?
과기정통부는 가이드라인과 컨설팅, 온라인 상담·교육 및 지역 순회 교육을 지원할 계획입니다. 구체적인 운영일정은 후속 공지를 확인해야 합니다.
2027년 1월 1일부터 정보보호 공시 의무가 코스피·코스닥 전체 상장법인으로 확대됩니다. 상장기업에 적용하던 매출액 3,000억 원 이상 기준이 삭제되며, 기업인수목적회사인 SPAC는 확대 대상에서 제외됩니다.
ISMS 인증 의무대상자도 새롭게 공시 대상에 포함되며, 공공기관과 금융회사 등 기존 예외 규정이 삭제됩니다. 다만 소기업은 2029년 1월 1일부터 적용되고, 이용자 수 산정기간은 전년도 전체 일일평균으로 변경됩니다.
신규 의무대상 기업은 정보보호 투자액과 인력, 인증 및 보안활동 자료를 준비하고 공식 가이드라인을 확인해야 합니다. 과기정통부가 제공할 컨설팅과 교육도 활용할 수 있습니다.
이번 제도 개정은 정보보호를 기업 내부의 기술적 관리사항에만 머물게 하지 않고 외부에 공개되는 경영정보로 다루는 변화입니다. 기업의 보안 투자와 관리활동을 확인할 수 있는 정보가 확대된다는 점에서 이용자와 투자자에게도 의미가 있습니다. 다만 공시가 이뤄진다는 사실만으로 해당 기업의 정보보호 수준이나 사고 예방이 보장되는 것은 아닙니다.
기업은 2027년 시행을 앞두고 공시 의무대상 해당 여부와 적용시점을 먼저 확인해야 합니다. 특히 소기업 유예와 ISMS 인증 의무대상 구분, 이용자 수 산정기준 변경을 놓치지 않는 것이 중요합니다. 공시 작성에 필요한 구체적인 사항은 과학기술정보통신부의 최신 안내와 정보보호 공시 가이드라인을 기준으로 준비하시기 바랍니다.
🔐 2027년 정보보호 공시 의무 확대 내용이 도움이 되셨다면 공감 한 번 눌러주세요!
'정책,생활정보' 카테고리의 다른 글
| 동물성 식품 수출안내서 개정 (싱가포르·베트남·등록요건) (0) | 2026.10.23 |
|---|---|
| 온실가스 국제감축 투자설명회(민간참여·해외사업·탄소중립) (0) | 2026.10.23 |
| 2026 미리위크 체험행사 개막 (미디어교육·방탈출·예약) (0) | 2026.10.23 |
| 지하안전평가 예방 강화 (국토부설명·굴착공사·안전점검) (0) | 2026.10.23 |
| 쿠팡 노동법 위반 206건 적발 (근로감독·산재은폐·처분결과) (0) | 2026.10.22 |