"매출 3,000억 안 넘어도 대상이라고?" 2027 코스피·코스닥 정보보호 공시 의무화 총정리

"우리 회사는 매출 3,000억 원이 안 되니까 정보보호 공시는 남 이야기겠지?"라고 생각하셨다면 당장 사내 보안 규정을 점검하셔야 합니다.

과학기술정보통신부의 정보보호산업의 진흥에 관한 법률 시행령 개정안이 국무회의를 통과하면서, 기존의 매출액 문턱이 완전히 철폐되었습니다. 이에 따라 코스피·코스닥 시장에 상장된 법인은 규모와 무관하게 보안 투자액과 인력 현황을 투명하게 공개해야 합니다.

핵심요약

이번 개정안의 핵심은 '공시 의무 대상의 전면적 확대'와 '사각지대 해소'로 압축됩니다.

• 상장사 매출 3,000억 원 기준 완전 삭제: 코스피·코스닥 전체 상장사가 의무화 대상에 포함됩니다.
• ISMS 인증 의무 대상자 편입: 기존 비상장사 중 정보보호 관리체계(ISMS) 인증 의무 대상 기업도 공시 대상에 추가됩니다.
• 금융사·공공기관 예외 조항 폐지: 그동안 타 법률과의 중복을 이유로 제외되었던 금융회사, 전자금융업자, 공공기관도 원칙적으로 대상에 편입됩니다.
• 시행 시점: 2027년 1월 1일부터 즉시 효력이 발생하며, 실무 보고는 회계연도 종료 후 일정 기한 내 완료해야 합니다.

상세 조건 및 한눈에 보는 비교

기존 규정과 새롭게 바뀌는 법령의 세부 차이점을 비교 정리했습니다.

남들은 놓치기 쉬운 내용 및 주의사항

1. 중소기업기본법상 '소기업' 해당 여부 검토

코스닥에 상장되어 있더라도 중소기업기본법 시행령에 따른 '소기업'에 해당한다면 오는 2029년 1월 1일까지 공시 의무가 유예됩니다. 업종별 평균 매출액 기준(예: IT 서비스업 10억~80억 이하 등)을 면밀히 검토하여 유예 대상인지 먼저 확인해야 합니다.

2. 이용자 수 산정 산식 변경 대응

기존에는 '직전 3개월 일일평균'만 계산하면 되었으나, 앞으로는 '전년도 전체(365일) 일일평균 이용자 수'를 집계해야 합니다. 로그 기록 및 트래픽 데이터 보관 주기를 최소 1년 이상 체계적으로 관리해야 산출 오류를 막을 수 있습니다.

3. 정부 무료 컨설팅 및 사전 상담 적극 활용

과기정통부에서는 신규 대상 기업의 행정 부담을 줄이기 위해 '정보보호 공시 가이드라인' 배포와 함께 온라인 상시 상담 및 1:1 컨설팅 지원을 병행합니다. 자체 보안 예산이 부족한 기업은 한국인터넷진흥원(KISA)의 지원 사업 공고를 놓치지 마시기 바랍니다.

핵심요약 및 FAQ

• 핵심 요약 1: 코스피·코스닥 상장사는 매출액 규모와 상관없이 2027년 1월 1일부터 정보보호 현황을 공시해야 합니다.
• 핵심 요약 2: SPAC은 제외되며, 중소기업기본법상 소기업은 2029년까지 3년간 적용이 유예됩니다.
• 핵심 요약 3: 이용자 수 산정 기준이 '전체 일일평균'으로 변경되므로 트래픽 관리 데이터 정비가 필요합니다.