🔐 이제 '우리 회사가 보안에 얼마 쓰는지'를 공개해야 합니다
내년부터 코스피·코스닥 전체 상장사가 정보보호 현황을 의무적으로 공개해야 합니다.
정보보호산업법 시행령 개정안이 10월 20일(화) 국무회의를 통과했고, 2027년 1월 1일부터 시행됩니다.
잇따른 해킹 사고가 배경입니다. 기업이 보안에 돈과 인력을 얼마나 쓰는지 드러내 '보안 투자'를 유도하겠다는 겁니다.
무엇이 바뀌고, 어떤 기업이 대상이며, 실무로 무엇을 준비해야 하는지 정리했습니다.
1. 무슨 일이 있었나
시행령 개정 통과
정보보호 공시 의무화 개요 [01]
| 구분 | 내용 |
| 제도 | 정보보호산업법 시행령 개정 |
| 통과 | 2026년 10월 20일(화) 국무회의 |
| 시행 | 2027년 1월 1일부터 |
| 핵심 | '매출 3000억 이상' 요건 삭제 |
| 대상 규모 | 693곳 → 약 2,648곳 |
이번 개정은 지난해 10월 발표된 '범부처 정보보호 종합대책'의 후속 조치입니다.
최근 금융권·기업 대상 해킹이 연달아 터지면서, 공시 제도의 '사각지대'를 없애겠다는 취지입니다.
📌 정보보호 공시가 뭔가요?
기업이 보안에 투입한 투자액·인력, 관련 인증·점검 현황 등을 외부에 공개하는 제도입니다.
2022년부터 일정 기준 기업을 대상으로 시행돼 왔는데, 이번에 대상이 대폭 넓어진 겁니다.
⭐ 2. 무엇이 달라지나
핵심은 '대상 확대'
제도 변경 전후 비교 [02]
이번 개정의 핵심은 네 가지입니다.
| 항목 | 변경 내용 |
| 매출 요건 | '3000억 이상' 삭제 → 매출 무관 전체 상장사 |
| ISMS 인증 | ISMS 인증 의무대상자도 공시 대상에 추가 |
| 예외 폐지 | 공공기관·금융회사·전자금융업자 예외 삭제 |
| 이용자 산정 | '직전 3개월' → '전년도 전체' 일평균으로 |
가장 큰 변화는 매출 기준이 사라진 것입니다. 지금까지는 매출 3000억 원 넘는 상장사만 대상이었지만, 이제 규모와 상관없이 모든 상장사가 공시해야 합니다.
단, 기업인수목적회사(SPAC)는 대상에서 빠집니다.
🏦 금융사·공공기관도 이제 포함
그동안 공시 의무에서 빠져 있던 공공기관, 금융회사, 전자금융업자의 예외 규정이 삭제됐습니다.
사실상 '다 같이 공개하자'는 방향으로 틀을 바꾼 셈입니다.
3. 무엇을 공개해야 하나
공시 항목
정보보호 공시 항목 [03]
공개 항목은 크게 네 가지입니다.
| 구분 | 공개 내용 |
| 투자 | 정보보호 부문 투자액 (IT 투자 대비 비중) |
| 인력 | 정보보호 전담 인력 현황 |
| 인증 | ISMS-P 등 인증·평가·점검 현황 |
| 활동 | 정보보호 관련 주요 활동 내역 |
이 정보는 과기정통부 정보보호 공시 포털에 등록돼 누구나 볼 수 있습니다.
투자자나 국민이 기업별 보안 수준을 비교할 수 있게 되는 셈입니다.
4. 우리 회사는 언제부터?
적용 일정
적용 일정 [04]
| 대상 | 적용 시점 |
| 전체 상장사 | 2027년 1월 1일 |
| 공공·금융 등 | 2027년 1월 1일 (예외 폐지) |
| ISMS 인증 의무대상 | 2027년 1월 1일 (상장 무관) |
| 소기업 | 2029년 1월 1일 (2년 유예) |
| SPAC | 대상 제외 |
다만 소기업은 부담을 고려해 2년 유예를 받았습니다. 매출 15~140억 원이면서 자산총액 5000억 원 미만인 소기업은 2029년부터 적용됩니다.
⭐ 5. 기업은 무엇을 준비해야 하나
공시 실무 체크포인트
기업 준비 체크리스트 [05]
실무 관점에서 미리 챙겨야 할 것들입니다.
| 단계 | 할 일 |
| ① 대상 확인 | 상장·ISMS 인증·소기업 유예 해당 여부 점검 |
| ② 집계 체계 | 보안 투자액·전담인력 산정 기준 정립 |
| ③ 책임 지정 | 공시 작성 주관 부서·검토 라인 확정 |
| ④ 인증 정리 | ISMS-P 등 보유 인증·점검 이력 취합 |
| ⑤ 지원 활용 | 과기정통부 가이드라인·컨설팅·교육 활용 |
💡 가장 까다로운 건 '투자액 산정'
어디까지를 '정보보호 투자'로 볼지(인건비·솔루션·인증 비용 등) 기준을 명확히 세워야 합니다.
처음 공시하는 기업이라면, 과기정통부 가이드라인을 기준으로 삼는 게 안전합니다.
과기정통부는 신규 대상 기업을 위해 가이드라인 배포, 온라인 상담, 지역 순회 교육을 지원할 계획입니다.
6. 기대 효과와 남은 과제
'비용'에서 '투자'로
기대 효과와 과제 [06]
정부의 기대는 분명합니다. 보안을 '어쩔 수 없는 비용'이 아니라 '투자'로 인식하게 만들자는 것입니다.
공개되면 비교가 되고, 비교가 되면 투자가 늘어나는 선순환을 노립니다.
| 구분 | 내용 |
| 기대 | 보안 투자 확대, 알 권리 보장, 기업 비교 가능 |
| 과제 | 중소 상장사 부담, '형식적 공시' 우려 |
다만 그동안 보안에 손이 부족했던 중소 상장사에게는 당장 부담이 될 수 있습니다.
'공시를 위한 공시'로 형식화되지 않도록 내실 있게 운영하는 것이 숙제로 남습니다.
📌 3줄 요약
1. 2027년 1월부터 코스피·코스닥 전체 상장사가 정보보호 현황 공시 의무 (SPAC 제외)!
2. '매출 3000억' 요건 삭제, 공공·금융·ISMS 인증 대상까지 포함 — 693곳→약 2,648곳!
3. 소기업은 2029년 유예, 기업은 투자액·인력 집계와 ISMS-P 정리부터 준비!
이제 보안은 '숨기는 것'이 아니라 '보여주는 것'이 됐습니다 🔎
공시 가이드라인 세부 내용이 공개되면 이어서 정리해 드리겠습니다.
※ 이 글은 2026년 10월 21일(수) 기준 과기정통부 발표와 언론 보도를 정리한 것입니다. 세부 공시 항목·기준·일정은 가이드라인과 추가 고시로 달라질 수 있습니다. 우리 회사의 공시 의무 여부와 작성 방법은 과기정통부 정보보호 공시 포털과 공식 가이드라인에서 반드시 확인해 주세요.
'IT 이모저모' 카테고리의 다른 글
| AI 아르텍스(ARTEX)란 — 금융권 해킹에 등장한 자율형 AI 공격 도구, 작동 원리와 기업 대응법 (0) | 2026.10.19 |
|---|---|
| KISA 기업 보안강화 권고 — 금융권 해킹 이후 웹·API·인증정보부터 점검해야 하는 이유와 5대 수칙 (1) | 2026.10.18 |
| AI 사이버공격 대비 — CEO 수칙 7가지와 실무 6영역 (0) | 2026.10.17 |
| KISA 보안 강화 권고 — 5단계로 보는 점검 항목 (0) | 2026.10.16 |
| 보안 전문가는 무엇을 읽는가 — 기술 매거진 4선 (0) | 2026.10.15 |
