정보보호 공시 의무 대상이 대폭 확대된다. 과학기술정보통신부는 지난 9일 ‘정보보호산업의 진흥에 관한 법률 시행령 일부개정령안’을 입법예고했다. 이 내용은 27일 서울시를 통해 전달됐다.
개정안에 따르면 유가증권시장과 코스닥시장에 상장된 법인은 매출 규모와 관계없이 정보보호 공시 의무를 지게 된다. 기존 공시 의무 요건이었던 ‘정보보호 최고책임자(CISO) 지정·신고’와 ‘매출액 3000억원 이상’ 조건은 삭제된다. 다만 기업인수목적회사(SPAC)는 공시 대상에서 제외된다.
이용자 수 산정 기준도 변경된다. 기존에는 전년도 말 기준 직전 3개월 평균 일일 이용자 수를 기준으로 했으나, 개정안에서는 전년도 전체 평균 일일 이용자 수로 산정 기준이 바뀐다. 또 전년도 말 기준 정보보호 관리체계(ISMS) 인증을 받았거나 유지 중인 기업도 새롭게 공시 의무 대상에 포함된다.
가장 큰 변화는 공시 제외 대상의 전면 삭제다. 기존에 공시 의무에서 제외됐던 공공기관, 소기업, 금융회사, 전자금융사업자에 대한 예외 조항이 모두 삭제된다. 이에 따라 은행, 보험사, 카드사, 전자금융업자 등 금융권 전반이 정보보호 투자·인력·인증 현황을 공시해야 한다.
개정 시행령은 2027년 1월 1일부터 시행될 예정이다. 과기정통부는 입법예고 기간 동안 의견을 수렴한 뒤 시행령 개정을 확정할 계획이다.
