매출액 요건이 삭제된 공시 의무, 기업이 준비할 항목과 기한
「정보보호산업법 시행령」 개정으로 2027년 1월 1일부터 달라지는 정보보호 공시 의무 대상을 현행 기준과 비교하고, 공시 항목과 제출 서류, 사전점검, 과태료와 이행 혜택을 차례로 정리했습니다.
개정안은 2026년 10월 20일 국무회의에서 통과되었습니다. 연이은 사이버 침해사고를 계기로 2025년 10월 관계부처 합동으로 발표한 「범부처 정보보호 종합대책」의 후속 조치 중 하나로, 공시 제도의 사각지대를 해소하고 국민의 알 권리를 보장하는 한편, 기업이 정보보호를 비용이 아닌 투자로 인식하도록 유도하려는 개정이에요.
정보보호 공시란 — 자율공시와 의무공시
정보보호 공시는 「정보보호산업의 진흥에 관한 법률」 제13조에 따라 기업의 정보보호 투자·인력, 관련 인증·평가·점검 및 활동 현황을 공개하는 제도입니다. 2016년 자율 공시로 도입되었고, 2022년부터는 사업 분야, 매출액 및 이용자 수 등 일정 기준에 해당하는 기업에 의무화되었어요. 자율공시와 의무공시의 차이는 다음과 같습니다.
시행령은 공시 의무가 있는 자를 「정보보호공시의무자」라고 규정합니다. 현행 제도는 매출액·업종 등 일부 기업에만 공시 의무를 부과하고 있어, 사회적 책무가 크고 민감한 개인정보를 다루는 기업이 공시 의무에서 제외되는 사각지대가 있어요.
2027년 1월 1일부터 바뀐 의무 대상 기준
「정보보호산업법 시행령」 개정으로 2027년 1월 1일부터 정보보호공시의무자의 기준을 규정한 제8조가 바뀝니다. 현행 기준과 개정 기준을 비교하면 다음과 같습니다.
주목할 것은 상장법인 요건입니다. 2027년부터는 CISO 지정·신고 조건과 매출액 조건이 함께 삭제되어, 매출액 규모와 관계없이 전년도 말 기준 상장법인이면 공시 의무 대상이 됩니다.
4. 전년도 말 기준 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제1항에 따른 인증을 받거나 유지하고 있는 자로서 같은 조 제2항 각 호에 해당하는 자
과학기술정보통신부공고 제2026-569호, 「정보보호산업의 진흥에 관한 법률 시행령 일부개정령안」 제8조제1항제4호
신설 제4호의 대상은 「정보통신망법」 제47조제2항에 따른 ISMS 인증 의무대상자로서 전년도 말 기준 인증을 받거나 유지하고 있는 자입니다. 인증 의무대상이 아닌데 자율로 ISMS 인증을 받은 기업은 제4호로 편입되지 않아요.
소기업은 2029년 1월 1일부터
「중소기업기본법 시행령」 제8조제1항에 따른 소기업은 인력·경영 여건 등을 고려하여 시행일이 2년 유예되므로, 2029년 1월 1일부터 공시 의무가 적용됩니다. 소기업 여부는 업종별 평균 매출액으로 결정되며 그 기준은 10억~120억원으로 업종마다 다르고, 정보통신업은 50억원 이하예요. 과학기술정보통신부가 비용편익 분석에 적용한 신규 공시 의무대상 수는 다음과 같습니다.
정보보호 공시 의무 대상에 해당하는 중소기업은 정보통신망을 통하여 정보를 제공하거나 정보 제공을 매개하는 자로서, 기간통신·집적정보통신시설 사업자와 유가증권시장·코스닥시장 상장기업처럼 침해사고 시 사회적 영향력이 높은 기업이에요.
공시 항목과 기한, 제출 서류
정보보호 공시에는 시행령 제8조제3항이 규정한 네 가지 내용이 포함되어야 합니다.
공시는 공시 주체의 정보보호 최고책임자가 주관하고, 공시내용은 미리 최고경영자의 확인을 거쳐야 해요. 자율공시와 의무공시 모두 매년 6월 30일까지 정보보호 현황을 정보보호 전자공시시스템(isds.kisa.or.kr)에 등록합니다. 작성기준과 공시 방법은 「정보보호 공시에 관한 고시」와 「정보보호 공시 가이드라인」을 따르며, 제출 서류는 사전점검을 받았는지에 따라 달라집니다.
2026년 정보보호공시의무자 명단은 정보보호 공시 종합포털에 두 차례 공개되었습니다. 1차는 사업분야와 이용자 수 기준 대상, 2차는 매출액 기준 대상까지 포함한 명단이며, 명단에 오른 기업은 2026년 6월 30일까지 공시내용을 제출해야 했어요.
정보보호 공시 사전점검과 공시 내용 검증
정보보호 공시 사전점검은 기업의 정보보호 공시 수행을 지원하고, 공개할 정보보호 현황이 공시 가이드라인 등을 준수하여 작성되었는지 점검하는 절차입니다. 공시의 정확성과 신뢰성을 자체적으로 확보하기 위한 절차로, 의무 사항이 아니며 기업의 자율적인 판단에 따라 수행됩니다.
사전점검은 「공인회계사법」에 따른 회계법인이나 「전자정부법」에 따른 정보시스템 감리법인에 의뢰합니다. 회계법인과 정보시스템 감리법인은 한국인터넷진흥원(KISA)이 지정하거나 관리하는 기관이 아니라, 해당 사업을 자체적으로 수행하는 독립된 기업이죠.
사전점검을 받고 확인서를 제출했더라도 공시 내용에 대한 최종적인 책임은 공시자인 기업에 있으며, 허위 또는 불성실 공시로 인한 법령상의 책임은 면제되지 않습니다.
과학기술정보통신부장관은 공시 내용을 검증하고, 공시 내용이 사실과 다르면 수정을 요청할 수 있어요. 2026년 검증기간은 8월~10월이며, 검증내용은 2026년 공시내용(투자, 인력, 인증·평가·점검사항, 정보보호 활동)입니다. 기업은 정보보호 공시내용 검증 템플릿 작성본과 비용원장, 자산대장 등 정보보호 공시 현황 산출증빙 자료 일체를 준비해야 합니다.
미공시·검증 거부 과태료
의무공시 대상 기업이 정보보호 현황을 공시하지 않으면 「정보보호산업의 진흥에 관한 법률」 제41조제1항에 따라 1천만원 이하의 과태료가 부과됩니다. 위반 횟수에 따른 부과기준은 시행령 [별표 2]가 규정하고 있어요.
![「정보보호산업법 시행령」 [별표 2] 과태료의 부과기준 중 정보보호 공시 관련 표, 단위는 만원 — 가. 법 제13조제2항을 위반하여 정보보호 현황을 공시하지 않은 경우(근거 법 제41조제1항제1호)는 1차 위반 300, 2차 위반 600, 3차 이상 위반 1,000입니다. 나. 법 제13조제4항에 따른 공시 내용의 검증을 거부 또는 방해하거나 수정 요청에 따르지 않은 경우(근거 법 제41조제1항제1호의2)도 1차 300, 2차 600, 3차 이상 1,000입니다. 위반 횟수에 따른 가중 기준은 최근 3년간 같은 위반행위로 과태료를 부과받은 경우에 적용하고, 부과권자는 [별표 2]가 규정한 사유에 해당하면 개별기준 금액의 2분의 1 범위에서 줄이거나 늘릴 수 있으나 늘리는 경우에도 법 제41조의 상한을 넘을 수 없습니다](https://chakob.blog/wp-content/uploads/2026/10/16-information-security-disclosure-section6-image1.webp)
정보보호 현황은 공시하는 기업의 책임 하에 제공되는 사항이므로, 공시내용이 허위로 확인되면 모든 책임은 해당 기업에 귀책돼요.
공시 이행 혜택과 신규 의무 대상 기업 지원
공시를 이행한 기업이 받을 수 있는 혜택은 다음과 같아요.
과학기술정보통신부는 신규 의무 대상 기업의 공시 이행 부담을 완화하기 위해 개정 내용을 반영한 「정보보호 공시 방침(가이드라인)」을 제공하고 자문(컨설팅)을 지원할 계획입니다. 기업의 공시 이해도를 높이기 위한 온라인 상시 상담과 교육, 지역 순회 방문 교육도 병행할 예정이에요. 한국인터넷진흥원(KISA)의 공시 기업 대상 실무교육은 아래 영상으로 확인할 수 있습니다.
새로 의무 대상이 되는 기업이 확인할 것
2027년부터는 매출액 3,000억원 미만 상장법인과 ISMS 인증 의무대상자, 그동안 제외되던 공공기관·금융회사·전자금융업자도 정보보호 공시 의무 대상이 될 수 있습니다. 먼저 시행령 제8조제1항 각 호 중 어느 하나에 해당하는지 확인해야 해요.
Q1. 금융회사도 2027년부터 정보보호 공시를 해야 하나요?
A1. 공공기관, 소기업, 금융회사, 전자금융업자를 의무 대상에서 제외하던 시행령 제8조제2항이 삭제되므로, 금융회사도 제1항 각 호 중 어느 하나에 해당하면 의무 대상이 됩니다. 다만 법 제13조제2항 단서에 따라 다른 법률의 규정에 따라 정보보호 현황을 공시하는 자는 제외돼요.
Q2. 이용자 수는 어떤 기준으로 판단하나요?
A2. 이용자 수는 순방문 수(Unique View, IP 기준 1일 방문자 수)예요. 2027년부터는 전년도 말 직전 3개월간 하루 평균이 아니라 전년도 전체 하루 평균 이용자 수로 산정합니다.
Q3. 투자 현황과 인력 현황은 어떻게 산출하나요?
A3. 정보보호 공시 종합포털에 「정보보호 투자현황 산출은 이렇게!」와 「정보보호 인력현황 산출은 이렇게!」 안내가 있습니다. 공시 내용 검증에서 비용원장과 자산대장 같은 산출증빙 자료를 요구하므로, 투자액과 전담인력을 산출한 근거를 함께 정리해 두어야 해요.
공시 기한은 매년 6월 30일이고, 공시하지 않거나 검증을 거부하면 과태료 대상입니다. 의무 대상에 해당하는 소기업은 2029년 1월 1일부터 의무가 적용되므로, 그 전까지 공시 항목과 산출 근거를 준비할 시간이 있어요.
출처·참고자료
- 과학기술정보통신부, 「정보보호 공시 의무, 2027년부터 전체 상장사 등으로 확대」 보도자료 (2026.10.20.)
- 과학기술정보통신부공고 제2026-569호, 「정보보호산업의 진흥에 관한 법률 시행령 일부개정령안 재입법예고」 (2026.5.11.)
- 국가법령정보센터, 「정보보호산업의 진흥에 관한 법률」 제13조·제41조 (2024.7.10. 시행)
- 국가법령정보센터, 「정보보호산업의 진흥에 관한 법률 시행령」 제8조 및 [별표 2] 과태료의 부과기준 (2025.10.1. 시행)
- 한국인터넷진흥원, 정보보호 공시 종합포털 「정보보호 공시제도」
- 한국인터넷진흥원, 정보보호 공시 종합포털 「정보보호 공시 사전점검이란?」
- 한국인터넷진흥원, 「2026년 정보보호 공시 내용 검증 안내」 (2026.7.7.)
- 한국인터넷진흥원, 「2026년 정보보호 공시의무자 최종 공개」 (2026.5.29.)
- 한국인터넷진흥원, 정보보호 공시 종합포털
- 한국인터넷진흥원, 「정보보호 공시제도 운영」
- 한국인터넷진흥원(KISA118), 「정보보호 공시 실무교육(기업 대상)」, YouTube
- The National Archives (UK), ‘A view of the server room at The National Archives’, Wikimedia Commons (CC BY 3.0)
위 자료를 수집·분석하여 본문 작성에 참고하였으며 2026년 10월 21일 확인 기준입니다. 개정 시행령은 2026년 10월 20일 국무회의를 통과하였고 조문은 재입법예고 법령안으로 확인하였으므로, 공포 후 국가법령정보센터에서 다시 확인하시기 바랍니다.
본 글은 법률 자문을 대신하지 않습니다.
답글 남기기