상장사 정보보호 공시 의무화, 매출 기준은 어떻게 바뀌나

2027년 1월 1일부터 기업인수목적회사(SPAC)를 제외한 코스피·코스닥 상장 법인은 매출액과 관계없이 정보 보호 공시를 해야 한다.

과학기술정보통신부는 2026년 10월 20일 공시 의무 대상을 확대하는 시행령 개정안이 국무회의에서 의결됐다고 밝혔다.

정보 보호 공시는 기업의 정보 보호 투자와 인력, 관련 인증·평가·점검 및 활동 현황을 공개하는 제도다.

2022년부터 사업 분야와 매출액, 이용자 수 등의 기준을 충족한 기업에 의무화됐다.

이번 개정으로 상장사에 적용되던 매출액 3000억 원 이상 요건이 폐지돼, SPAC이 아닌 상장 법인은 매출 규모와 무관하게 대상이 된다.

의무 대상은 상장사에 그치지 않는다.

정보 보호 관리 체계(ISMS) 인증 의무 대상자도 새로 포함되며, 기존에 제외됐던 공공기관·금융회사·전자금융업자 등에 대한 예외 규정도 삭제된다.

소기업 역시 대상에 포함되지만, 중소기업기본법 시행령상 소기업에는 준비 기간을 둬 2029년 1월 1일부터 의무를 적용한다.

이용자 수를 따지는 방식도 달라진다.

기존에는 전년도 말 직전 3개월간의 일일 평균 이용자 수를 기준으로 삼았지만, 개정 뒤에는 전년도 전체의 일일 평균을 적용한다.

과기정통부는 새로 의무 대상이 되는 기업에 개정 내용을 반영한 공시 가이드라인과 컨설팅을 제공하고, 온라인 상시 상담·교육 및 지역 순회 방문 교육도 진행할 계획이다.

이번 확대는 연이은 사이버 침해 사고를 계기로 2025년 10월 발표된 범부처 정보 보호 종합 대책의 후속 조치다.

공시 사각지대를 줄여 국민의 알권리를 보장하고, 기업이 정보 보호를 비용이 아닌 투자로 인식하도록 유도하는 데 목적이 있다.

배경훈 과기정통부 장관은 제도 확대를 계기로 기업의 정보 보호 투자가 활성화되고 국가 전반의 정보 보호 수준이 높아지기를 기대한다고 밝혔다.