요약

  • 정부는 10월 20일 정보보호 공시 의무 대상을 넓히는 시행령 개정안을 국무회의에서 의결했다. 공공기관 등에 적용됐던 예외 규정은 2027년 1월 1일부터 사라진다.
  • 매출액 3,000억 원 조건 없이 코스피·코스닥 전체 상장법인이 대상이 되며 기업인수목적회사는 제외된다. 소기업의 의무 적용은 2029년 1월 1일로 미뤄진다.

공급업체에 보안 대책을 요구하는 일과 자기 기관의 투자·인력 현황을 내놓는 일은 다르다. 정부가 이번에는 후자까지 공공기관에 요구한다. 과학기술정보통신부의 10월 20일 원문 보도자료에 따르면 국무회의에서 의결된 정보보호산업법 시행령 개정안은 공공기관, 금융회사, 전자금융업자 등에 주어졌던 공시 예외를 없앤다. ISMS 인증 의무 대상자도 새로 포함한다.

상장회사에도 변화가 크다. 기존의 ‘매출액 3,000억 원 이상’ 요건을 삭제해 코스피와 코스닥 상장법인을 매출 규모와 관계없이 포함한다. 다만 원문은 기업인수목적회사, 즉 SPAC을 제외한다고 명시한다. 일반 시행일은 2027년 1월 1일이다. 중소기업기본법 시행령상 소기업에는 경영 여건을 고려해 2029년 1월 1일부터 적용한다.

공시 항목은 정보보호 투자와 인력, 관련 인증·평가·점검, 활동 현황이다. 공공 디지털 서비스를 쓰는 사람에게 이 숫자는 추상적인 ‘보안 강화’ 약속보다 구체적이다. 누가 서비스를 지키고, 그 일에 예산을 얼마나 배정했는지 확인할 수 있기 때문이다.

이용자 수를 따지는 방식도 바뀐다. 전년도 말 직전 3개월의 하루 평균 대신 전년도 전체의 하루 평균을 사용한다. 이용이 계절에 따라 크게 달라지는 서비스라면 기준을 넘는지가 달라질 수 있다. 과기정통부는 바뀐 지침을 제공하고 상담, 온라인 교육, 지역 순회 교육을 지원할 계획이라고 밝혔다.

보도자료에는 새로 공시할 기관이 몇 곳인지, 그 결과 정보보호 투자가 얼마나 늘어날지에 관한 수치는 없다. 첫 공시 주기에 확대된 명단의 실제 크기가 드러난다. 이미 확정된 것은 공공기관이라는 신분이나 예전 매출 기준이 보안 장부를 감춰둘 근거가 되지 않는다는 점이다.

출처