정보보호 공시 의무, 왜 전 상장사로 넓어지나
과학기술정보통신부는 2026년 1월 9일 「정보보호산업의 진흥에 관한 법률 시행령」 개정안을 입법예고했습니다(의견 수렴 기간 1월 9일~2월 19일). 핵심은 상장사에 붙어 있던 '매출액 3,000억원 이상' 조건을 삭제하고, 코스피·코스닥 상장법인 전체를 정보보호 공시 의무대상으로 넓히는 것입니다.
2026년 공시 의무대상이 693개사였던 점을 감안하면 대상이 몇 배로 늘어나는 변화입니다. 다만 개정안은 관계부처 협의와 법제처 심사를 거쳐 2027년 공시 대상자부터 적용하는 것이 추진 계획이며, 최종 공포 내용과 신규 대상 기업의 최초 공시 기한은 과기정통부·한국인터넷진흥원(KISA) 발표로 반드시 확인하셔야 합니다. 현행 제도에서는 의무대상 기업이 매년 6월 30일까지 정보보호 공시 종합포털에 공시 내용을 제출합니다.
무엇을 공시해야 하나 — 4대 공시 항목
공시 의무를 이행하지 않으면 1,000만원 이하의 과태료가 부과될 수 있습니다.
코스닥 중소·중견기업이 처음 부딪히는 문제
회계상 분리되지 않은 IT·정보보호 예산
대부분의 중소·중견기업은 보안 장비 구매비, 백신 라이선스, 관제 서비스 비용이 일반 전산비나 지급수수료에 섞여 있습니다. 공시를 하려면 정보기술부문 투자액과 정보보호 투자액을 구분할 수 있도록 계정과 자산 분류 기준부터 정리해야 합니다.
전담인력이 없는 경우의 인력 산정
IT 담당자 1~2명이 보안 업무를 겸직하는 기업이 많습니다. 이 경우 정보보호 업무에 투입한 비율을 근거와 함께 산정해야 하므로, 업무분장표와 업무 기록이 뒷받침되어야 합니다.
수치가 공개되는 평판 리스크
공시 수치는 누구나 열람할 수 있습니다. 거래처와 투자자가 동종 업계와 비교하게 되므로, 숫자 자체보다 산정 근거의 일관성이 중요해집니다.
첫 공시 전 준비 로드맵
공시를 인증·수주 경쟁력으로 연결하기
ISO 27001이나 ISMS를 구축하면서 만드는 자산 목록, 위험평가 결과, 교육·점검 기록은 공시 자료로 그대로 활용할 수 있습니다. 대기업 협력사 보안 평가와 공공조달 요구 대응도 같은 자료를 기반으로 하므로 한 묶음으로 관리하는 편이 효율적입니다. 중소기업을 대상으로 한 정보보호 컨설팅·보안솔루션 지원사업을 함께 활용하면 초기 비용 부담도 줄일 수 있습니다.
비상장 중소기업도 남의 일이 아닌 이유
상장 고객사가 자사 공시와 공급망 관리를 위해 협력사에 보안 수준 자료를 요구하는 흐름이 강해지고 있습니다. 또한 상장(IPO)을 준비하는 기업은 상장 직후 공시 의무가 발생할 수 있으므로, 정보보호 지출·인력·활동 기록을 미리 쌓아 두는 것이 안전합니다.
KITIM 정보보호·ISO 인증 컨설팅 안내
KITIM은 ISO 27001 구축과 정보보호 공시 대응을 연계해, 현황 진단부터 투자·인력 데이터 집계 기준 수립, 증빙 체계 정비까지 지원합니다. 첫 공시를 앞두고 무엇부터 준비해야 할지 고민되신다면 KITIM 홈페이지의 상담 신청을 통해 문의해 주시기 바랍니다. 기업 규모와 업종에 맞는 준비 방안을 안내해 드리겠습니다.