정보보호 공시 의무, 2027년 전체 상장사로 확대, 매출 기준 폐지
내가 투자한 회사나 다니는 회사가 보안에 돈과 사람을 얼마나 쓰는지 공개 자료로 확인할 수 있는 범위가 내년부터 넓어져요. 정보보호 공시 의무가 매출 3000억원 이상 상장사에서 코스피·코스닥 전체 상장사로 확대돼요.
3줄 요약
- 정보보호산업법 시행령 개정안이 10월 20일 국무회의를 통과했고, 2027년 1월 1일부터 SPAC을 뺀 코스피·코스닥 전체 상장사가 정보보호 공시를 해요.
- 상장사의 매출 3000억원 기준이 없어지고 ISMS 인증 의무 대상이 새로 들어오며, 소기업은 2029년 1월 1일부터 적용돼요.
- 공시 항목은 보안 투자액, 전담 인력, 인증·평가·점검 활동이고, 현행 제도에서 의무를 지키지 않으면 과태료가 최대 1000만원이에요.
01무슨 일인가
과학기술정보통신부는 10월 20일 정보보호산업법 시행령 개정안이 국무회의를 통과했다고 밝혔어요. 정보보호 공시(기업이 보안에 쓴 돈과 인력, 받은 인증을 해마다 공개하는 제도)를 해야 하는 기업의 범위를 넓히는 개정이에요.
상장사 쪽 변화는 단순해요. 지금은 전년도 매출액 3000억원 이상인 상장사만 해당하는데, 이 기준이 없어지면서 기업인수목적회사(SPAC)를 뺀 코스피·코스닥 상장법인 전체가 2027년 1월 1일부터 의무 대상이 돼요. ISMS(정보보호 관리체계 인증) 의무 대상자가 새로 포함되고, 그동안 빠져 있던 공공기관·금융회사·전자금융업자 예외 규정도 사라져요.
소기업은 2년 유예를 받아 2029년 1월 1일부터예요. 이용자 수 기준도 달라져서, 전년도 말 직전 3개월의 일평균 이용자가 아니라 전년도 전체 일평균 이용자로 따져요. 과기정통부는 새로 들어오는 기업을 위해 공시 가이드라인과 컨설팅, 온라인 상담과 지역 순회 교육을 마련한다고 밝혔어요.
02왜 이렇게 됐나
정보보호 공시는 2022년에 시작됐어요. 정보보호산업법 제13조에 따라 일정 기준에 해당하는 기업이 정보보호 투자액, 전담 인력, 인증·평가·점검 활동을 해마다 6월 30일까지 정보보호 공시 종합포털에 내요. 상장사는 매출, 정보통신서비스는 이용자 수가 기준이었어요.
문제는 기준에 걸리지 않으면 아무 정보도 나오지 않는다는 점이에요. 매출이 3000억원에 못 미치는 상장사는 보안에 얼마를 쓰는지 알 길이 없었고, 공공기관과 금융회사, 전자금융업자는 아예 예외 규정에 묶여 있었어요.
이번 개정은 2025년 10월 관계부처가 합동으로 낸 범부처 정보보호 종합대책의 후속 조치예요. 1월 9일부터 2월 19일까지 입법예고를 거쳤고, 당시 과기정통부는 최근 해킹사고로 불안해진 국민 우려를 줄이고 국가 정보보호 역량을 높이려는 개정이라고 밝혔어요.
| 대상 유형 | 기업 수 | 비중 |
|---|---|---|
| 상장사(전년 매출 3000억원 이상) | 526곳 | 75.9% |
| 정보통신 사업자(통신 60, 데이터센터 28, 이용자 100만명 이상 33, 기반서비스 11) | 132곳 | 19.0% |
| 상급종합병원 | 35곳 | 5.1% |
03이 숫자는 큰 건가
의무 대상 기업은 2022년 594곳에서 올해 693곳으로 4년간 99곳, 약 16.7% 늘었어요. 해마다 보면 2023년 652곳, 2024년 655곳, 2025년 666곳으로 한 해 3~58곳씩 느는 데 그쳤고요.
공시를 하면 이런 숫자가 나와요. 지난해 공시한 773개사는 평균 약 32억원을 보안에 썼고 전담 인력은 평균 11.2명이었어요. 과기정통부는 공시 항목을 더 잘게 나누는 고시 개정도 추진하고 있어요.
이번에 얼마나 늘어날지는 발표에 나와 있지 않아요. 전체 상장사 수도 자료에 없어서, 대상이 지금의 693곳에서 몇 곳으로 불어날지는 2027년 명단이 나와야 알 수 있어요. 지금 의무 기업의 4분의 3 남짓이 매출 3000억원 이상 상장사이니, 그 숫자를 가르던 기준 하나가 사라지는 변화예요.
04지난번엔 어떻게 됐나
제도가 처음 돈 2022년 이후 기록이 있어요. 의무 기업은 2022년 594곳에서 2023년 652곳으로 한 해 만에 58곳 늘었다가, 2024년 655곳, 2025년 666곳으로 거의 제자리였어요. 그 사이 4년 내리 공시한 559개사의 평균 투자액은 2022년보다 48.3% 늘었어요.
자율 공시는 다른 길이었어요. 의무가 아닌 기업이 공시하면 ISMS-P 인증 심사 수수료를 30% 깎아 주는 혜택을 줬고, 지난해 자율 공시 기업은 전년보다 17.6% 늘었어요. 이번 개정은 혜택으로 끌어들이는 대신 의무로 못 박는 방식으로 바꿨어요.
05나한테 뭐가 달라지나
상장사 주식을 갖고 있다면 2027년부터 눈에 들어오는 자료가 늘어나요. 공시 기한이 현행처럼 6월 30일이면 2027년 6월 말에는 매출 3000억원 미만 상장사도 보안 투자액과 전담 인력을 내야 하니, 같은 업종 두 회사의 숫자를 나란히 놓고 볼 수 있어요.
다니는 회사가 상장사라면 보안 담당 부서가 바빠져요. 예를 들어 연매출 1000억원인 상장사처럼 지금껏 빠졌던 곳이 2027년 1월 1일부터 대상이고, 의무를 지키지 않으면 현행 기준으로 과태료가 최대 1000만원이에요. 소기업이면 2029년 1월 1일까지 2년의 여유가 있어요.
공시에 나오는 것은 돈과 사람의 규모예요. 업종별 평균은 지난해 기준 금융·보험업 85억원, 정보통신업 62억원, 도매·소매업 32억원이라서, 이 값이 같은 업종 회사끼리 견주는 잣대가 돼요.
이것만 기억하세요
- 정보보호 공시 의무가 2027년 1월 1일부터 SPAC을 뺀 코스피·코스닥 전체 상장사로 넓어져요.
- 매출 3000억원 기준이 없어지고 ISMS 의무자가 들어오며 소기업은 2029년 1월 1일부터예요.
- 매출 3000억원 미만 상장사는 현행 기한 기준으로 2027년 6월 말에 첫 공시를 내고, 투자자는 업종 평균과 견줄 자료를 얻어요.
