摘要

  • 韩国政府 10 月 20 日通过施行令修订案，取消公共机构等主体的信息安全披露豁免；一般条款于 2027 年 1 月 1 日实施。
  • KOSPI、KOSDAQ 上市公司的原有 3000 亿韩元营收门槛将取消，特殊目的收购公司除外。小企业的适用时间延至 2029 年 1 月 1 日。

向供应商索要安全证明是一回事，把自己的安全账本摊开又是另一回事。韩国决定让公共机构也做后者。科学技术信息通信部 10 月 20 日的原始公告写明，内阁通过《信息保护产业促进法》施行令修订案，取消公共机构、金融公司和电子金融业者原先享有的披露豁免。须取得信息安全管理体系 ISMS 认证的主体也被纳入。

上市公司这一侧同样换了规则。原先的 3000 亿韩元营收条件被删除，KOSPI 和 KOSDAQ 的上市法人原则上都要披露；官方文件明确排除了特殊目的收购公司。新规则一般从 2027 年 1 月 1 日起执行，而依据小企业相关规定认定的小企业，推迟到 2029 年 1 月 1 日。

披露内容包括信息安全投资、人员配置，以及认证、评估、检查和安全活动。对依靠公共数字服务的人来说，这些项目比一句“高度重视安全”更有用：机构究竟为保护系统花了多少钱，由谁来做这份工作，将成为可查的记录。

修订案还改了用户数量的计算口径。原来取上一年最后三个月的日均用户数，今后改为上一整年的日均数。业务有淡旺季的机构可能因此落在门槛的另一侧。主管部门表示会发布更新后的指南，并提供咨询、线上答疑与地方巡回培训。

公告没有给出新增披露主体的预计总数，也没有估算新增安全投入。第一轮披露会揭示名单的实际规模。眼下已经确定的是：公共机构的身份，以及上市公司的低于旧门槛的营收，都不再是把安全账本关在抽屉里的理由。

来源