본문 바로가기
경제

2027 상장사 정보보호 공시 의무: 매출 3천억 미만도 대상일까?

by 머니즈즈 2026. 10. 21.
반응형

매출 3천억 원 미만인 코스피·코스닥 상장사도 정보보호 공시를 해야 할까요? 과학기술정보통신부가 2026년 10월 20일 발표한 시행령 개정 내용을 기준으로 새 의무대상과 예외, 준비 순서를 정리했습니다. 아직 시행 전인 규정과 현재 KISA 포털의 종전 기준을 혼동하지 않는 것이 중요합니다.

핵심 요약: 매출액 기준은 없어집니다

  • 시행일: 개정 시행령은 2027년 1월 1일부터 시행됩니다.
  • 상장사: 코스피·코스닥 상장법인에 적용되던 매출액 3천억 원 이상 요건이 삭제됩니다. 매출이 그보다 적어도 원칙적으로 의무대상입니다. 기업인수목적회사(SPAC)는 제외됩니다.
  • 소기업: 중소기업기본법 시행령상 소기업은 적용 시점이 2029년 1월 1일로 늦춰집니다. 단순히 매출 3천억 원 미만이라는 이유만으로 소기업에 해당하는 것은 아닙니다.
  • 준비: 회사의 상장·소기업 여부와 다른 의무대상 해당 여부를 확인하고, 정보보호 투자·인력·인증·활동 자료를 정리하세요.

누가 새로 의무대상이 되나요?

이번 개정으로 유가증권시장과 코스닥시장 전체 상장법인이 매출액 규모와 관계없이 공시 의무대상에 포함됩니다. 다만 SPAC은 제외됩니다. 상장 여부만으로 끝나는 것도 아닙니다. 정보보호 관리체계(ISMS) 인증 의무대상자도 새롭게 포함되고, 기존의 공공기관·소기업·금융회사·전자금융업자 등 제외 규정은 삭제됩니다. 그중 소기업에는 2029년 1월 1일 적용이라는 별도 유예가 있습니다.

따라서 '매출 3천억 원 미만이면 무조건 제외'도, '매출 3천억 원 미만 상장사는 모두 2027년부터'도 정확하지 않습니다. 회사의 법적 소기업 해당 여부와 SPAC 여부, 다른 의무대상 경로를 함께 살펴야 합니다. 이 개정은 개인이 지원금을 신청하는 제도가 아니라 기업이 정보보호 현황을 공개하는 의무에 관한 것입니다.

언제부터 바뀌고, 무엇을 공개하나요?

과기정통부 발표일은 2026년 10월 20일, 개정 시행일은 2027년 1월 1일입니다. 소기업의 공시 의무 적용은 2029년 1월 1일부터입니다. 이용자 수로 의무대상을 판단할 때의 산정 기간도 종전 '전년도 말 직전 3개월의 하루 평균'에서 '전년도 전체의 하루 평균'으로 바뀝니다.

KISA의 현행 제도 안내에는 공시 항목으로 정보보호 투자 현황, 전담인력 현황, 관련 인증·평가·점검 사항, 정보보호 활동 현황이 제시돼 있습니다. 같은 안내는 매년 6월 30일까지 종합포털에 등록한다고 설명합니다. 다만 포털의 의무대상 기준 표는 아직 종전 매출 3천억 원 기준과 제외 규정을 표시하므로, 이를 2027년 개정 내용으로 읽어서는 안 됩니다. 2027년 공시의 세부 양식·가이드라인과 실제 안내는 갱신 공지를 다시 확인하세요.

기업 담당자가 지금 확인할 순서

  1. 상장 시장과 법인 유형을 확인합니다. 코스피·코스닥 상장법인인지, SPAC인지 구분합니다.
  2. 소기업 유예 적용 여부를 법적 기준에 맞춰 확인하고, ISMS 인증 의무 등 다른 해당 경로도 검토합니다.
  3. 정보보호 투자액·전담인력·인증과 점검·활동 기록을 담당 부서와 함께 정리합니다.
  4. KISA 정보보호 공시 종합포털의 개정 가이드라인과 등록 공지를 확인합니다. 과기정통부는 새 의무대상 기업에 가이드라인·컨설팅, 온라인 상담 및 교육을 제공할 계획이라고 밝혔습니다.

주의할 점과 마무리

현재 포털의 옛 기준 표와 2027년부터 시행될 개정 기준이 동시에 보일 수 있습니다. 회사 내부 판단이나 공시 일정은 개정 시행령과 추후 갱신되는 공식 안내를 우선해 확인해야 합니다. 공시 정보는 기업의 투자·인력 등 현황을 보여주지만, 특정 기업의 보안이 절대적으로 안전하다는 보증은 아닙니다.

핵심은 매출 3천억 원 장벽이 사라진다는 점입니다. 상장사라면 매출 규모만 보고 제외하지 말고, SPAC 예외와 소기업 유예를 먼저 구분해 2027년 공시 준비 여부를 점검하세요.

공식 출처

반응형