정보보호산업법 시행령 개정안 국무회의 통과: 정보보호 공시 의무 대상 확대

I. 정보보호 공시 의무에 관한 정보보호산업법 시행령 개정

정보통신서비스 제공자의 정보보호 현황에 대한 국민의 알 권리를 보장하고 국가 전반의 정보보호 수준을 제고하기 위하여 「정보보호산업의 진흥에 관한 법률 시행령」 일부개정령안(이하 “개정 시행령안”)이 2026년 10월 20일 국무회의에서 통과되었습니다.

현행 「정보보호산업의 진흥에 관한 법률」(이하 “정보보호산업법”) 및 동법 시행령은 일정한 요건을 충족하는 정보통신서비스 제공자에게 정보보호 투자 및 인력 현황, 정보보호 관련 인증 현황 등 정보보호 현황을 공시하도록 의무화하고 있습니다. 이번 개정 시행령안은 종전에는 직전 사업연도 매출액이 3,000억 원 이상인 유가증권시장 및 코스닥시장 주권상장법인 등에 적용되던 정보보호 공시의무를 기업인수목적회사를 제외한 모든 유가증권시장 및 코스닥시장 주권상장법인과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”)에 따른 정보보호 관리체계(ISMS) 인증의무자 등으로 확대하는 한편, 기존에 공시의무 대상에서 제외되었던 공공기관, 소기업 및 금융회사 등도 공시의무 대상에 포함하도록 하였습니다.

개정 시행령안은 2027년 1월 1일부터 시행될 예정이며, 다만 소기업에 대한 정보보호 공시의무는 2029년 1월 1일부터 적용하도록 규정하고 있습니다. 이에 따라 기존에 정보보호 공시의무 대상에 해당하지 않았던 기업들도 새롭게 공시의무를 부담할 수 있으므로, 개정 시행령안에 따른 공시의무 적용 여부를 확인하고 정보보호 현황의 관리 및 공시를 위한 내부 체계를 사전에 점검할 필요가 있습니다.

II. 주요내용

1. 상장법인 공시의무 확대

현행 시행령은 정보통신망법제45조의3제1항 본문에 따라 정보보호 최고책임자(CISO)를 지정·신고하여야 하는 자 중, 직전 사업연도의 매출액이 3,000억 원 이상인 유가증권시장 또는 코스닥시장 주권상장법인을 정보보호 공시의무 대상으로 규정하고 있습니다(시행령 제8조 제1항 제2호).

개정 시행령안은 상장법인에 대한 정보보호 공시의무의 적용 범위를 확대하기 위하여 CISO 지정·신고 의무 및 직전 사업연도 매출액 3,000억 원 이상 요건을 삭제하고, 기업인수목적회사를 제외한 모든 유가증권시장 및 코스닥시장 상장법인을 정보보호 공시의무 대상에 포함하였습니다(개정 시행령안 제8조제1항제2호). 

이에 따라 종전에는 매출액 규모 또는 CISO 지정·신고 의무 여부에 따라 정보보호 공시의무 대상에서 제외되었던 상장법인도 새롭게 공시의무를 부담하게 됩니다.

2. 이용자수 산정기준 변경

현행 시행령은 정보통신서비스 부문의 전년도 말 기준 직전 3개월간 일일평균 이용자 수가 100만 명 이상인 자를 정보보호 공시의무 대상으로 규정하고 있습니다. 이에 따라 정보통신서비스 제공자의 공시의무 대상 여부는 전년도 마지막 3개월간의 일일평균 이용자 수를 기준으로 판단하였습니다(현행 시행령 제8조제1항제3호).

개정 시행령안은 정보보호 공시의무 대상 여부를 판단하기 위한 이용자 수 산정기간을 전년도 말 기준 직전 3개월에서 전년도 전체 기간으로 변경하였습니다. 다만, 일일평균 이용자 수 100만 명 이상이라는 기준은 종전과 동일하게 유지됩니다(개정 시행령안 제8조제1항제3호).

이에 따라 정보통신서비스 제공자는 특정 3개월간의 이용자 수가 아닌 전년도 전체 기간의 일일평균 이용자 수를 기준으로 정보보호 공시의무 대상 여부를 판단하여야 합니다.

3. ISMS 인증의무자의 정보보호 현황 공시의무

개정 시행령안은 정보통신망법 제47조제2항 각 호의 어느 하나에 해당하는 정보보호 관리체계(Information Security Management System, 이하 “ISMS”) 인증의무자를 정보보호 공시의무 대상에 추가하였습니다(개정 시행령안 제8조제1항제4호 신설). ISMS 인증의무자는 다음과 같습니다(정보통신망법 제47조 제2항). 

• 주요정보통신서비스 제공자: 정보통신망법에서 정한 주요정보통신서비스 제공자(정보통신망법 제47조제2항제1호)
• 집적정보통신시설 사업자: 타인의 정보통신서비스 제공을 위하여 집적된 정보통신시설을 운영·관리하는 사업자(정보통신망법 제47조제2항제2호)
• 일정 규모 이상의 정보통신서비스 제공자 등: 전년도 매출액 또는 세입 등이 1,500억 원 이상이거나, 정보통신서비스 부문 전년도 매출액이 100억 원 이상 또는 전년도 일일평균 이용자 수가 100만 명 이상인 자로서 대통령령으로 정하는 기준에 해당하는 자(정보통신망법 제47조제2항제3호)

이번 시행령 개정에 따라 위 정보통신망법상 ISMS 인증의무자는 모두 정보보호 공시의무를 부담하게 됩니다.

4. 공시의무 적용 제외 폐지

현행 시행령은 정보보호 공시의무자의 요건에 해당하더라도 ① 공공기관, ② 「중소기업기본법 시행령」에서 정한 소기업, ③ 「전자금융거래법」에 따른 금융회사, ④ 정보통신업 또는 도매 및 소매업을 주된 업종으로 하지 않는 일정한 전자금융업자에 대해서는 정보보호 공시의무 적용을 제외하도록 규정하고 있습니다(현행 시행령 제8조제2항). 특히 「중소기업기본법 시행령」 제8조제1항에 따른 소기업의 경우, 회선설비 보유사업을 경영하는 기간통신사업자, 집적정보통신시설 사업자, 상급종합병원 또는 일정한 클라우드컴퓨팅서비스 제공자에 해당하거나, 전년도 말 기준 직전 3개월간 정보통신서비스 부문의 일일평균 이용자 수가 100만 명 이상이더라도 정보보호 공시의무 대상에서 제외되었습니다(현행 시행령 제8조제1항제1호·제3호 및 제2항제2호).

개정 시행령안은 정보보호 공시의무자에 대한 적용 제외 규정을 전면 삭제하였습니다. 이에 따라 종전에는 정보보호 공시의무 대상에서 제외되었던 공공기관, 소기업, 금융회사 및 일부 전자금융업자도 시행령 제8조제1항에서 정한 공시의무 대상 요건을 충족하는 경우 정보보호 공시의무를 부담하게 됩니다. 다만, 소기업에 대한 정보보호 공시의무는 2029년 1월 1일부터 적용됩니다(개정 시행령안 부칙 제2조).

III. 시행시기 및 경과조치

개정 시행령안은 2027년 1월 1일부터 시행될 예정입니다(개정 시행령안 부칙 제1조). 다만, 「중소기업기본법 시행령」 제8조 제1항에 따른 소기업에 대해서는 정보보호 공시의무가 2029년 1월 1일부터 적용됩니다(개정 시행령안 부칙 제2조). 따라서 중소기업기본법상 소기업이 개정 시행령안 제8조 제1항에 따른 정보보호 공시의무 대상 요건을 충족할 경우 2029년 1월 1일부터 공시의무를 부담하게 됩니다.

IV. 시사점

이번 정보보호산업법 시행령 개정에 따라 정보보호 공시의무 대상이 확대되므로, 기업들은 개정 시행령의 적용에 대비하여 다음의 사항을 점검할 필요가 있습니다.

• 유가증권시장 또는 코스닥시장 주권상장법인은 기존 매출액 규모 및 CISO 지정·신고 의무 여부와 관계없이 정보보호 공시의무 대상에 해당하는지 확인하고, 정보보호 현황 공시를 위한 내부 관리체계를 정비하여야 합니다.
• 정보통신서비스 부문의 전년도 전체 기간 일일평균 이용자 수를 산정하여 100만 명 이상 기준 충족 여부를 확인하고, 변경된 산정기준에 따른 공시의무 적용 여부를 재점검할 필요가 있습니다.
• 정보통신망법 제47조제2항에 따른 ISMS 인증의무 대상 여부를 확인하고, 기존 ISMS 인증의무자는 정보보호 현황 공시를 위한 별도의 이행체계를 마련하여야 합니다.
• 종전 공시의무 적용 제외 대상이었던 공공기관·소기업·금융회사 및 일부 전자금융업자는 개정 시행령상 공시의무 대상 요건 충족 여부를 확인하고, 소기업의 경우 2029년 1월 1일 적용 일정에 맞추어 공시 준비를 진행하여야 합니다

*    *    *

법무법인(유한) 태평양은 정보보호산업법상 정보보호 공시의무 대상 해당 여부 및 공시사항 검토, 정보통신망법상 ISMS 인증의무 적용 여부 판단, 정보보호 관련 법령 준수를 위한 내부 관리체계 정비 등 정보보호 규제 대응과 관련하여 다양한 자문 경험을 보유하고 있습니다. 개정 시행령의 적용 및 정보보호 공시의무 이행과 관련하여 문의사항이 있으시면 언제든지 연락하여 주시기 바랍니다.
 

저자: 박지연 변호사,  강태욱 변호사, 윤주호 변호사, 이강혜 변호사