정보보호 공시의무 확대, 상장사와 ISMS 의무기업의 준비사항

[매출이 3,000억원 미만이거나 ISMS 인증을 이미 받은 기업도 정보보호 공시를 따로 준비해야 할까요?]

2026년 10월 20일 정보보호 공시 의무대상을 확대하는 시행령 개정안이 국무회의를 통과했습니다. 과학기술정보통신부는 2027년 1월 1일부터 코스피와 코스닥 전체 상장법인 및 ISMS 인증 의무대상자 등으로 공시 대상을 넓힌다고 발표했습니다.

기존에 매출 규모나 금융회사 예외를 근거로 공시 대상이 아니라고 판단했던 기업은 적용 여부를 다시 살펴야 합니다. 가상자산사업자도 자신의 ISMS 인증 의무와 기업 규모 등을 기준으로 확인할 필요가 있습니다.

인증을 받았다는 사실과 정보보호 현황을 공시해야 하는지는 별개의 문제입니다.

🕒 바쁜 분들을 위한 3줄 요약

1. 대상 재판단: 상장 여부와 ISMS 인증 의무, 소기업 해당 여부를 확인합니다.

2. 증빙 확보: 투자와 인력 및 활동 현황의 산출 근거를 부서별로 연결합니다.

3. 계약과 대응: 외주업체의 자료 제공과 오류 수정, 검증 협조 조건을 정비합니다.

1. 매출 3,000억원 미만 상장사도 다시 확인해야 합니다

정부가 발표한 개정 내용은 유가증권시장과 코스닥시장 상장법인에 적용되던 매출액 3,000억원 이상 요건을 없애는 것입니다. 기업인수목적회사(SPAC)는 제외됩니다. 모든 시장의 모든 법인을 같은 의미의 상장사로 뭉뚱그리지 않고 해당 시장과 법인 상태를 확인해야 합니다.

매출이 종전 기준보다 적다는 이유만으로 공시 대상에서 제외된다고 판단하기 어려워집니다.

정보통신망법에 따른 ISMS 인증 의무대상자도 새로 포함됩니다. 공공기관과 금융회사 및 전자금융업자 등에 대한 종전 제외 규정도 삭제되므로, 기존 예외에 의존했던 기업은 개정된 대상 요건과 적용 시점을 대조해야 합니다.

예외 삭제가 모든 금융회사나 공공기관에 다른 요건 검토 없이 일률적으로 의무를 부과한다는 뜻은 아닙니다. 법인별 사업과 상장 및 인증 의무 등 대상 기준에 해당하는지, 소기업 유예가 적용되는지 순서대로 확인하는 것이 좋습니다.

과학기술정보통신부 2026. 10. 20. 발표: 정보보호 공시 의무대상 확대

2. 2027년 시행과 소기업의 2029년 적용을 구분하세요

정부 안내상 개정 시행령의 시행일은 2027년 1월 1일입니다. 다만 중소기업기본법 시행령에 따른 소기업은 2029년 1월 1일부터 의무가 적용됩니다.

중소기업이라는 이유만으로 소기업에 대한 유예를 그대로 적용해서는 안 됩니다.

기업 규모 판단에 필요한 업종과 매출 등 자료를 확인하고 소기업 해당 여부의 근거를 남깁니다. 그룹 안에서도 법인별 지위가 다를 수 있으므로 관계사의 결론을 그대로 가져오지 않아야 합니다.

시행일은 공시자료를 당일 제출하라는 의미와 구분해야 합니다. KISA의 현행 제도 안내는 매년 6월 30일까지 공시하도록 설명하지만, 신규 대상의 최초 공시와 산정 대상기간은 공포된 개정문과 부칙, 해당 연도의 안내를 확인해 일정에 반영해야 합니다.

KISA 정보보호 공시 제도 안내: 공시 항목과 이행기한

3. ISMS 인증 자료만으로 공시가 끝나는 것은 아닙니다

ISMS 인증은 정보보호 관리체계에 관한 심사이며 정보보호 공시는 투자와 인력, 인증 및 점검과 활동 현황을 공개하는 제도입니다. 기존 인증 업무에서 확보한 자료를 활용하더라도 공시 항목과 산정 범위에 맞는지 다시 대조해야 합니다.

이번에 추가되는 기준은 ISMS 인증을 보유했다는 사실 자체보다 법률상 인증 의무대상인지 여부입니다.

자율적으로 인증을 받은 기업은 인증 보유만으로 새 기준의 적용을 단정하지 않습니다. 반대로 비상장기업도 ISMS 인증 의무대상 등 다른 기준에 해당한다면 상장하지 않았다는 이유만으로 제외된다고 볼 수 없습니다.

가상자산사업자는 운영 법인과 서비스, ISMS 인증 의무 및 심사 범위, 공시할 투자와 인력의 집계 범위를 연결해 확인합니다. 거래소나 수탁이라는 명칭만으로 결론을 내리지 말고 실제 사업 구조와 소기업 해당 여부 등을 함께 검토하는 것이 좋습니다.

과학기술정보통신부 2026. 10. 20. 발표: ISMS 인증 의무대상자 추가

4. 투자비와 인력 수치에는 확인 가능한 근거가 필요합니다

정보보호 공시는 정보보호 투자와 인력, 관련 인증 및 평가와 점검, 정보보호 활동을 다룹니다. 예산을 얼마 편성했는지와 해당 산정 기준에 따라 실제로 공시할 금액이 얼마인지는 구분해야 합니다.

보안업체 청구서의 총액을 그대로 정보보호 투자액으로 옮겨 적기보다 공시 기준과 비용 내역을 대조해야 합니다.

보안 서비스와 일반 IT 운영이 묶인 계약, 여러 법인에 공통으로 제공되는 시스템, 겸직 인력은 집계 근거가 모호해질 수 있습니다. 회계와 보안 담당자가 기준에 맞춰 내역을 구분하고 중복이나 누락을 확인합니다.

계약서와 비용원장, 자산대장 및 인력 산출 자료를 공시 항목별로 연결하고 작성자와 검토자, 승인 절차를 정합니다. 공시와 별도 인증 자료, 대외 설명에 차이가 있다면 산정 범위와 기준기간 등 이유를 확인해 남겨야 합니다.

KISA 2026. 7. 7. 공지: 공시내용 검증과 산출증빙 준비자료

5. 보안 외주계약에 자료 제공과 수정 협조를 반영하세요

관제와 클라우드 운영, 보안 컨설팅을 외주화한 기업은 공시자료를 누가 어떤 형태로 제공할지 확인합니다. 기존 계약이 서비스 운영만 정하고 비용 분류나 인력 및 활동 자료 제공은 포함하지 않는다면 추가 업무와 비용 협의가 필요할 수 있습니다.

외주업체가 공시를 도와주더라도 기업의 법정 의무가 당연히 그 업체로 이전되는 것은 아닙니다.

제출 일정과 산출물의 형식, 자료의 정확성 확인, 오류 발견 시 보완 기한을 정합니다. 검증기관의 질문이나 수정 요청에 대한 협조 범위, 원자료 보관기간 및 계약 종료 후 자료 인계도 거래에 맞춰 협상할 수 있습니다.

업체의 영업비밀이나 다른 고객정보를 무제한 요구하는 방식은 피해야 합니다. 필요한 증빙 범위와 비밀유지, 개인정보 처리 및 접근 권한을 함께 정하고, 추가 업무 대가와 잘못된 자료 제공에 대한 책임한도도 검토하는 것이 좋습니다.

6. 공시 이후 검증과 수정 요청까지 준비하세요

공시를 제출한 뒤에도 검증과 수정 요청에 대응할 수 있도록 근거자료를 관리해야 합니다. KISA의 2026년 검증 안내는 비용원장과 자산대장 등 산출증빙을 준비하도록 하고, 검증 거부에 대한 과태료 가능성도 안내하고 있습니다.

공시 완료 화면만 남기기보다 수치의 근거와 내부 판단, 수정 이력을 함께 보존해야 합니다.

신규 의무대상 판단이 어렵거나 기존 규제와 공시 범위가 겹치는 경우 법률 검토를 통해 의무와 책임을 정리할 수 있습니다. 회계상 금액 산출과 기술적 보안 평가는 해당 전문가와 협업하되, 외주계약과 대외 제출의 법적 쟁점은 구분해 확인합니다.

연말 예산과 외주계약을 정비하는 단계에서 자료 수집 담당자와 마감, 부족한 계약 조항을 확인하면 공시 직전에 증빙을 다시 요청하는 부담을 줄일 수 있습니다. 다음 자료를 준비하면 검토 범위를 구체화하기 쉽습니다.

KISA 2026. 7. 7. 공지: 정보보호 공시내용 검증 안내

7. 자주 묻는 질문(FAQ)

Q1. 비상장 가상자산사업자는 공시 대상이 아닌가요?

비상장이라는 이유만으로 제외되는 것은 아닙니다.

ISMS 인증 의무대상 등 적용 기준과 소기업 유예 해당 여부를 실제 사업과 법인 자료로 검토해야 합니다.

Q2. ISMS 인증을 자율적으로 받았어도 모두 의무공시 대상인가요?

인증 보유 사실만으로 이번에 추가되는 기준의 적용을 단정할 수는 없습니다.

법률상 인증 의무대상인지 확인하고 상장 여부나 사업분야 등 다른 공시 기준도 별도로 대조해야 합니다.

Q3. 보안업체에 맡기면 공시 책임도 넘길 수 있나요?

업무를 위탁했다는 사실만으로 기업의 법정 의무가 이전되지는 않습니다.

자료 작성과 검토 및 승인 책임, 오류 수정과 검증 협조의 범위는 법령과 계약을 나누어 확인해야 합니다.

정보보호 공시는 대상 판단과 증빙 및 계약을 연결해야 합니다

정보보호 공시의무 확대에 대비하려면 적용 대상과 시점, 공시 증빙, 보안 외주계약 및 검증 대응을 함께 준비해야 합니다. 기존에 공시하지 않았던 기업일수록 대상 판단의 근거부터 정리하고 실제 자료 수집과 계약 조건에 연결하는 것이 좋습니다.

[디센트 법률사무소 – 정보보호 공시와 기업 컴플라이언스 자문]

정보보호 공시의무의 적용 대상과 시점, 기존 인증 및 규제와의 관계를 검토하고 보안 외주계약의 증빙 제공과 수정 협조 및 책임 조항 정비를 지원합니다.

🔸 상장 및 ISMS 의무와 소기업 유예의 적용 검토

🔸 보안 외주계약의 자료 제공과 검증 협조 조항 검토

🔸 공시 검증과 수정 요청에 관한 법률 쟁점 검토

디센트 법률사무소 상담 안내 ☎️

법인과 사업 개요, 상장 여부, ISMS 의무 및 인증 자료, 기업 규모 확인자료와 주요 보안 외주계약을 준비해 주세요.

[유선 문의] 02-6951-5248

[이메일] admin@decentlaw.io

[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층