2027년 1월부터 정보보호 공시 대상이 상장사·ISMS 인증의무자로 넓어집니다, 우리 회사도 대상인가요?

정보보호 공시는 회사가 정보기술 분야에 쓰는 돈과 사람 가운데 정보보호에 얼마를 쓰는지 매년 공개하는 제도입니다. 지금까지 공시 의무를 지는 회사는 일부 업종, 매출액 3,000억 원 이상 상장법인, 이용자 수가 많은 정보통신서비스 제공자 정도였고, 공공기관과 금융회사, 그리고 업종·이용자 수 기준에 걸린 소기업은 아예 제외되어 있었습니다. 그런데 2026년 10월 27일 공포된 「정보보호산업의 진흥에 관한 법률 시행령」(이하 "시행령") 개정령이 2027년 1월 1일부터 이 범위를 크게 넓힙니다. 이 글은 관보에 실린 개정령 원문과 현행 법령을 나란히 놓고, 무엇이 바뀌는지와 우리 회사가 새로 대상이 되는지 확인하는 순서를 정리했습니다. 개정령은 공포됐지만 아직 시행 전이어서, 아래에서는 2026년 12월 31일까지 적용되는 규정을 「현행」, 2027년 1월 1일부터 적용되는 규정을 「개정 후」로 나누어 씁니다.

핵심 요약 2027년 1월 1일 시행되는 정보보호산업법 시행령 개정령(대통령령 제36783호)은 정보보호 공시 의무 대상을 매출액 3,000억 원 이상 상장법인에서 기업인수목적회사를 뺀 모든 주권상장법인으로 넓히고, 정보통신망법 제47조 제2항에 따른 ISMS 인증의무자를 대상에 새로 넣었습니다. 그동안 공시 의무에서 빠져 있던 공공기관·금융회사·소기업 등의 제외 조항은 삭제됐고, 소기업에 대한 개정 규정의 공시 의무는 2029년 1월 1일부터 적용됩니다. 다만 다른 법률에 따라 정보보호 현황을 공시하는 자를 제외하는 법률 제13조 제2항 단서는 그대로이므로, 금융회사 등은 그 단서에 해당하는지를 따로 확인해야 합니다. 공시 기한인 「매년 6월 30일까지」는 바뀌지 않아 첫 공시가 2027년 6월 30일까지일 가능성이 있지만, 이는 조문을 맞추어 본 해석이므로 과학기술정보통신부 안내로 확인하는 것이 좋겠습니다.

정보보호 공시는 법에 어떻게 정해져 있나요?

근거 법률은 「정보보호산업의 진흥에 관한 법률」(이하 "정보보호산업법") 제13조입니다. 이 조문은 공시를 두 갈래로 나눕니다. 제1항은 정보통신망으로 정보를 제공하거나 그 제공을 매개하는 사업자가 정보보호 투자·인력 현황과 관련 인증 등을 대통령령에 따라 「공개할 수 있다」고 정하므로, 이 부분은 회사가 스스로 선택하는 자율 공시입니다. 제2항은 사업 분야·매출액·서비스 이용자 수 등을 고려해 대통령령으로 정한 기준에 해당하는 자는 정보보호 현황을 「공시하여야 한다」고 정하므로, 이 부분이 의무 공시입니다. 이번 개정령이 바꾼 것은 바로 이 「대통령령으로 정하는 기준」, 즉 시행령 제8조 제1항의 의무자 목록입니다.

제13조 제2항에는 단서가 하나 붙어 있습니다. 「다만, 다른 법률의 규정에 따라 정보보호 현황을 공시하는 자는 제외한다.」는 문언입니다. 이 단서는 법률에 있는 규정이므로 시행령을 고친 이번 개정과 상관없이 2027년 이후에도 그대로 적용됩니다. 뒤에서 금융회사·공공기관 문제를 볼 때 이 단서가 다시 등장합니다.

같은 조의 나머지 두 항도 실무와 이어집니다. 제3항에 따르면 제1항에 따라 정보보호 현황을 공개한 자가 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 "정보통신망법") 제47조 제1항의 정보보호 관리체계 인증을 받으려 할 때 수수료의 100분의 30을 할인받을 수 있습니다. 제4항은 과학기술정보통신부장관(이하 "과기정통부장관")이 공시 내용을 검증하고, 사실과 다른 내용이 있으면 수정을 요청할 수 있도록 합니다. 따라서 공시는 한 번 올리고 끝나는 서류가 아니라 정부의 검증을 받을 수 있는 자료라는 점을 염두에 두어야 합니다.

2027년 1월 1일부터 무엇이 바뀌나요?

개정령의 핵심은 시행령 제8조 제1항과 제2항입니다. 제1항의 의무자 목록은 넓어졌고, 제2항의 제외 목록은 통째로 사라졌습니다. 반면 공시할 내용, 공시를 주관하는 사람, 공시 기한을 정한 제3항·제4항·제6항은 손대지 않았습니다. 아래 표는 현행 시행령과 개정 후 시행령을 항목별로 맞대어 본 것입니다.

관보에 실린 「개정이유 및 주요내용」은 이 개정의 목적을 정보보호 현황에 대한 국민의 알 권리 보장과 국가 전체의 정보보호 수준 향상으로 설명합니다. 그리고 그 수단으로 매출액 3,000억 원 이상 상장법인에 한정됐던 대상을 SPAC을 뺀 모든 상장법인과 ISMS 인증의무자 등으로 넓히고, 그동안 제외됐던 공공기관·소기업·금융회사 등도 대상에 포함하려 한다고 적고 있습니다. 한편 시행령 제27조의2 제2호의 규제 재검토 대상도 「제8조제1항 및 제2항」에서 「제8조제1항」으로 바뀌었는데, 이는 제2항이 삭제된 데 따른 정리로 보입니다.

이용자 수 기준은 수치(100만 명)가 그대로이지만 산정 기간을 정한 문언이 「전년도 말 기준 직전 3개월간」에서 「전년도」로 바뀌었습니다. 문언만 놓고 보면 계산하는 기간이 3개월에서 한 해 전체로 넓어진 것으로 읽힙니다. 다만 일일평균을 구체적으로 어떻게 산정하는지는 과기정통부장관이 정하는 작성기준 등에서 다룰 사항으로 보이며, 이 글은 그 기준을 확인하지 않았습니다. 이용자 수가 100만 명 언저리에 있는 회사는 공식 산정 기준을 확인하기 전이라도 새 문언에 따라 잠정적으로 다시 계산해 보는 것이 좋겠습니다.

새로 공시 의무를 지게 되는 회사는 누구인가요?

첫째 범주는 매출액 3,000억 원에 미치지 못하던 상장법인입니다. 현행 제2호는 정보보호 최고책임자를 지정·신고해야 하는 자일 것과 직전 사업연도 매출액이 3,000억 원 이상일 것을 함께 요구했기 때문에, 이 두 요건 중 하나라도 갖추지 못한 상장법인은 제2호로는 의무자가 아니었습니다(업종이나 이용자 수로 제1호·제3호에 걸리는 경우는 별개입니다). 개정령은 두 요건을 모두 지웠습니다. 따라서 2027년 1월 1일부터는 유가증권시장이나 코스닥시장에 주권이 상장된 회사라면 매출액과 업종에 관계없이 의무자 목록에 들어갑니다. 예외는 「자본시장과 금융투자업에 관한 법률 시행령」 제6조 제4항 제14호에 따른 기업인수목적회사(SPAC)뿐입니다.

둘째 범주는 ISMS 인증의무자입니다. 개정령은 제4호를 새로 두어 정보통신망법 제47조 제2항 각 호에 해당하는 자를 공시 의무자로 정했습니다. 정보통신망법 제47조 제2항은 전기통신사업자와 그 역무를 이용해 정보를 제공하거나 매개하는 자 가운데 다음 셋을 정보보호 관리체계 인증을 받아야 하는 자로 정합니다.

1. 주요정보통신서비스 제공자
2. 집적정보통신시설 사업자
3. 전년도 매출액 또는 세입 등이 1,500억 원 이상이거나, 정보통신서비스 부문 전년도 매출액이 100억 원 이상 또는 전년도 일일평균 이용자 수가 100만 명 이상인 자로서 대통령령으로 정하는 기준에 해당하는 자

따라서 상장되지 않았고 업종·이용자 수 기준에도 걸리지 않아 그동안 정보보호 공시와 무관했던 회사라도, ISMS 인증 의무가 있다면 2027년부터는 공시 의무자 목록에 들어갑니다. 인증을 자발적으로 받은 회사가 아니라 인증을 받아야 할 의무가 있는 회사가 기준이라는 점은 구별해야 합니다. 다만 제3호의 구체적인 기준은 정보통신망법 시행령이 정하는데, 이 글은 그 시행령의 세부 기준까지는 확인하지 않았습니다. 따라서 회사가 제3호에 해당하는지는 해당 시행령 조문과 회사의 실제 인증 의무 여부로 판단해야 합니다.

셋째 범주는 그동안 명시적으로 제외되던 공공기관, 금융회사, 일부 전자금융업자, 소기업입니다. 개정령이 제8조 제2항을 삭제했으므로 이들을 시행령 차원에서 빼 주는 규정은 더 이상 없습니다. 그러나 이들이 곧바로 모두 공시해야 한다고 단정하기는 어렵습니다. 우선 제1항 각 호의 요건 가운데 하나에 해당해야 하고, 그에 더해 앞에서 본 법률 제13조 제2항 단서가 남아 있으므로, 다른 법률에 따라 이미 정보보호 현황을 공시하는 공공기관이나 금융회사는 그 단서로 제외될 여지가 있습니다. 이 글은 금융회사나 공공기관이 어떤 법률에 따라 어떤 공시를 하는지 확인하지 않았기 때문에, 해당 기관은 자기에게 적용되는 공시 규정을 개별적으로 확인할 필요가 있습니다. 소기업에는 유예 기간이 따로 있습니다. 개정령 부칙 제2조는 「중소기업기본법 시행령」 제8조 제1항이 정하는 소기업의 경우 개정 규정에 따른 공시 의무를 2029년 1월 1일부터 적용하도록 했습니다. 따라서 소기업에 대한 개정 규정의 공시 의무는 2027년이 아니라 2029년부터 적용됩니다.

우리 회사가 대상인지 어떻게 확인하나요?

개정 후 시행령을 기준으로 아래 순서대로 확인해 볼 수 있습니다. 개정령은 제8조 제1항의 공통 전제, 즉 「정보통신망을 통하여 정보를 제공하거나 정보의 제공을 매개하는 자」일 것을 바꾸지 않았으므로 이 전제에 해당하는 회사가 출발점입니다. 1번부터 4번까지는 의무자에 해당하는지를 보는 단계이고, 하나라도 해당하면 다음 단계로 넘어갑니다. 다만 이 순서는 조문을 정리한 점검표이고, 최종 판단은 고시와 정부 안내까지 확인해야 합니다.

1. 회사 주권이 유가증권시장 또는 코스닥시장에 상장되어 있는지 확인합니다. 상장되어 있고 SPAC이 아니라면 매출액 규모와 관계없이 해당합니다.
2. 회사가 정보통신망법 제47조 제2항 각 호에 따라 정보보호 관리체계 인증을 받아야 하는 자인지 확인합니다. 자발적으로 인증을 받은 것이 아니라 인증 의무가 있는지가 기준입니다.
3. 회사가 제공하는 정보통신서비스의 전년도 일일평균 이용자 수가 100만 명 이상인지 확인합니다. 산정 기간 문언이 바뀌었으므로, 종전 기간으로 계산한 숫자는 새 문언과 앞으로 확인할 산정 기준에 비추어 다시 점검하는 편이 안전합니다.
4. 회사가 회선설비를 보유한 기간통신사업자, 집적정보통신시설 사업자, 상급종합병원, 클라우드컴퓨팅서비스 제공자 중 하나인지 확인합니다. 이 범주는 현행과 같습니다.
5. 위 넷 중 하나에 해당한다면, 회사가 다른 법률에 따라 이미 정보보호 현황을 공시하고 있는지 확인합니다. 그렇다면 법률 제13조 제2항 단서에 따라 제외될 수 있습니다.
6. 회사가 「중소기업기본법 시행령」 제8조 제1항의 소기업에 해당하는지 확인합니다. 소기업이라면 공시 의무는 2029년 1월 1일부터 적용됩니다.

이 순서에서 주의할 점은 종전의 제외 사유를 더 이상 출발점으로 삼을 수 없다는 것입니다. 예전처럼 「우리는 공공기관이라서」 「우리는 금융회사라서」 빠진다는 판단은 시행령 제8조 제2항이 삭제되면서 근거를 잃습니다. 남는 제외 근거는 법률 단서와 소기업 유예 두 가지뿐이고, 어느 쪽이든 회사가 스스로 해당 여부를 따져야 합니다. 1번부터 4번 가운데 어느 것에도 해당하지 않더라도, 정보통신망으로 정보를 제공하거나 매개하는 회사라면 제13조 제1항에 따라 자율적으로 공시할 수는 있습니다.

첫 공시는 언제까지 해야 하나요?

개정령은 시행일을 2027년 1월 1일로 정하고, 소기업 적용 시기 외에는 공시 시점에 관한 경과규정을 따로 두지 않았습니다. 그리고 「매년 6월 30일까지」 전자공시시스템에 입력하도록 한 제8조 제6항도 바뀌지 않았습니다. 두 조문을 합쳐 읽으면 새로 대상이 되는 회사의 첫 공시 기한이 2027년 6월 30일일 가능성이 있다고 보입니다.

다만 이것은 조문을 맞추어 본 해석이고, 개정령이나 관보의 개정이유가 첫 공시 시점을 직접 밝힌 것은 아닙니다. 공시 대상 연도를 어떻게 잡는지, 첫해에 어떤 기준 시점의 자료를 쓰는지 같은 세부 사항은 과기정통부장관이 정하는 작성기준·방법·절차에 따라 달라질 수 있습니다. 이 글은 그 고시의 내용과 개정 여부를 확인하지 않았으므로, 첫 공시 일정은 과학기술정보통신부의 안내로 확인해 두시는 것이 좋겠습니다. 시행일부터 6월 30일까지는 반년 정도이므로, 대상에 해당할 가능성이 있는 회사라면 그 안내를 기다리면서 아래 준비를 먼저 시작해 두는 편이 낫다고 판단됩니다.

처음 공시하는 회사는 무엇을 준비해야 하나요?

공시할 내용은 현행과 같습니다. 시행령 제8조 제3항은 네 가지를 정합니다. 정보기술부문 투자 대비 정보보호부문 투자 현황, 정보기술부문 인력 대비 정보보호부문 전담인력 현황, 해당하는 경우 정보보호 관련 인증·평가·점검 등, 그리고 그 밖에 이용자 정보보호를 위한 활동 현황입니다. 앞의 두 항목은 모두 비율 구조여서, 회사는 정보보호 투자와 인력만이 아니라 그 분모가 되는 정보기술부문 전체의 투자와 인력도 집계해야 합니다. 구체적인 집계 기준은 과기정통부장관이 고시로 정하는 사항이므로, 처음 공시하는 회사는 그 기준을 확인한 뒤 회계·IT 부서와 함께 어떤 비용과 자산이 정보기술부문과 정보보호부문에 들어가는지 미리 정리해 두는 것이 좋겠습니다.

공시 절차에도 정해진 역할이 있습니다. 제8조 제4항에 따라 공시는 회사의 정보보호 최고책임자가 주관하고, 공시 내용은 미리 최고경영자의 확인을 받아야 합니다. 그러므로 공시 업무를 실무 부서 한 곳에 맡겨 두기보다, 정보보호 최고책임자가 자료를 모으고 최고경영자에게 보고해 확인받는 결재 경로를 미리 만들어 두는 것이 좋겠습니다. 과기정통부장관이 공시 내용을 검증하고 수정을 요청할 수 있으므로, 숫자의 근거가 되는 내부 자료도 함께 보관해 두는 것이 좋겠습니다.

공시 자료는 개인정보 분야와도 연결됩니다. 개인정보위가 2026년 9월 11일 확정한 「과징금 투자감경제도 안내서」는 개인정보보호 투자액을 정보보호산업법 제13조의 공시 기준을 준용해 산출하도록 하고, 이미 정보보호 공시를 하는 기업은 그 자료를 감경 소명에 활용할 수 있다고 안내합니다. 투자 감경의 구조는 2026년 개정 개인정보 보호법 가이드에 정리해 두었습니다.

공시하지 않으면 어떤 제재를 받나요?

공시 의무자가 정보보호 현황을 공시하지 않으면 정보보호산업법 제41조 제1항 제1호에 따라 1천만 원 이하의 과태료 대상이 됩니다. 또한 같은 항 제1호의2는 제13조 제4항에 따른 과기정통부장관의 검증을 거부·방해하거나 수정 요청에 따르지 않은 자도 과태료 대상으로 정합니다.

구체적인 금액은 시행령 별표 2가 정합니다. 두 위반 모두 1차 300만 원, 2차 600만 원, 3차 이상 1,000만 원이고, 위반 횟수는 최근 3년 동안의 같은 위반을 기준으로 셉니다. 과태료를 부과하는 쪽은 위반 사정을 고려해 금액의 2분의 1 범위에서 줄이거나 늘릴 수 있지만, 늘리더라도 법률이 정한 상한인 1천만 원을 넘을 수는 없습니다. 실제로 어느 금액이 부과될지는 위반 경위와 사정에 따라 달라질 수 있습니다.

이 글이 말하지 않은 것

이 글은 관보에 실린 개정령 원문과 국가법령정보센터의 현행 법령을 기준으로 썼습니다. 정보보호 공시의 작성기준·방법·절차를 정한 과학기술정보통신부 고시의 내용과 그 개정 여부, 정보보호 공시 가이드라인의 변경 여부는 확인하지 않았습니다. 정보통신망법 제47조 제2항 제3호가 위임한 대통령령의 세부 기준도 법률 문언까지만 보았습니다. 금융회사·공공기관이 다른 법률에 따라 정보보호 현황을 공시하고 있는지, 그래서 법률 단서로 제외되는지도 이 글의 확인 범위 밖입니다. 개정으로 새로 공시 대상이 되는 회사가 몇 곳인지는 공식 수치를 확인하지 못해 적지 않았습니다. 첫 공시 기한에 관한 설명은 조문을 맞추어 본 해석이며 정부의 공식 안내가 아닙니다.

자주 묻는 질문

Q. 상장사인데 매출액이 3,000억 원에 못 미칩니다. 2027년부터 정보보호 공시를 해야 하나요?

개정령은 상장법인 요건에서 매출액 3,000억 원 기준과 정보보호 최고책임자 지정·신고 의무자 요건을 모두 지웠습니다. 따라서 2027년 1월 1일부터는 유가증권시장·코스닥시장의 주권상장법인이면 매출액과 관계없이 공시 의무 대상이 되고, 기업인수목적회사(SPAC)만 빠집니다. 다만 다른 법률에 따라 이미 정보보호 현황을 공시하는 회사는 법률 제13조 제2항 단서로 제외되고, 회사가 「중소기업기본법 시행령」상 소기업이라면 개정 규정에 따른 공시 의무는 2029년 1월 1일부터 적용됩니다.

Q. 금융회사도 이제 정보보호 공시를 해야 하나요?

현행 시행령은 전자금융거래법상 금융회사를 공시 의무에서 명시적으로 빼고 있었는데, 개정령은 이 제외 조항을 삭제했습니다. 개정이유에도 공공기관·금융회사 등을 포함하려는 취지가 적혀 있습니다. 다만 제외 조항이 없어졌다고 모든 금융회사가 대상이 되는 것은 아니고, 먼저 상장·ISMS 인증 의무·이용자 수·특정 업종 같은 시행령 제8조 제1항의 요건에 해당해야 합니다. 또 법률 제13조 제2항은 다른 법률에 따라 정보보호 현황을 공시하는 자를 여전히 제외하므로, 금융회사가 다른 법률에 따른 공시를 하고 있는지에 따라 결론이 달라질 수 있습니다. 이 글은 그 부분을 확인하지 않았으므로 회사별로 확인해 보시기 바랍니다.

Q. 정보보호 공시를 하지 않으면 어떤 제재를 받나요?

공시 의무가 있는데 공시하지 않으면 정보보호산업법 제41조 제1항 제1호에 따라 1천만 원 이하의 과태료 대상이 됩니다. 과학기술정보통신부장관의 검증을 거부·방해하거나 수정 요청에 따르지 않은 경우도 같은 항 제1호의2에 따른 과태료 대상입니다. 시행령 별표 2는 두 경우 모두 1차 300만 원, 2차 600만 원, 3차 이상 1,000만 원으로 정하고, 위반 횟수는 최근 3년 동안의 같은 위반을 기준으로 셉니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

• 정보보호산업의 진흥에 관한 법률 시행령 일부개정령(대통령령 제36783호, 2026. 10. 27. 공포, 2027. 1. 1. 시행), 관보 제21348호(「개정이유 및 주요내용」 포함)
• 정보보호산업의 진흥에 관한 법률 제13조·제41조(2024. 7. 10. 시행본)
• 정보보호산업의 진흥에 관한 법률 시행령 제8조·제27조의2·별표 2(2025. 10. 1. 시행본, 대통령령 제35801호)
• 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조(2026. 10. 2. 시행본)