정부가 상장기업의 정보보호 공시 의무를 확대하는 시행령 개정안을 의결했다. 기존 매출액 3,000억원 이상 요건을 폐지하고 정보보호 관리체계 인증 의무대상 기업을 추가하는 내용으로, 기업의 보안 투자와 인력·활동 현황을 공개하는 범위가 넓어진다. 같은 날 국내 주식시장에서는 삼성전자와 SK하이닉스 등 주요 반도체 기업의 주가가 나란히 하락했다.
과학기술정보통신부에 따르면 20일 열린 제45회 국무회의에서 「정보보호산업의 진흥에 관한 법률 시행령」 일부개정령안이 원안 의결됐다. 개정안은 상장기업의 공시 요건을 완화하고 기존 제외 대상 일부를 새롭게 포함하는 한편, 정보통신서비스 이용자 수 산정 방식을 변경했다. 시행일은 2027년 1월 1일이며 소기업에는 2029년부터 적용된다.
정보보호 공시 의무, 매출액 기준 폐지하고 상장기업 전체로 확대
정보보호 공시제도는 기업이 정보보호에 투자한 금액과 전담인력, 인증 및 관련 활동 현황 등을 공개하도록 하는 제도다. 2016년 자율공시로 도입됐으며, 2022년부터 일정 기준을 충족하는 기업에 의무적으로 적용됐다.
기존 시행령은 특정 사업 분야에 속하거나 일정 규모 이상의 이용자를 보유한 기업, 정보보호 최고책임자(CISO)를 지정·신고한 상장기업 가운데 직전 사업연도 매출액이 3,000억원 이상인 기업 등을 의무대상으로 규정했다. 이에 따라 매출액이 기준에 미달하는 상장기업은 공시 대상에서 제외될 수 있었다.
이번 개정안은 상장기업에 적용하던 CISO 지정·신고 및 매출액 요건을 삭제해 유가증권시장과 코스닥시장 상장법인 전체로 적용 범위를 확대했다. 다만 기업인수목적회사(SPAC)는 대상에서 제외된다. 기업의 매출 규모와 관계없이 상장 여부를 기준으로 정보보호 현황을 공개하도록 하는 것이 주요 변화다.
공시 의무가 새롭게 적용되는 대상에는 정보보호 관리체계(ISMS) 인증 의무대상 사업자도 포함된다. 전년도 말 기준으로 해당 인증을 받거나 유지하고 있는 사업자 가운데 정보통신망법에서 정한 인증 의무대상에 해당하는 경우 공시 의무를 부담한다. ISMS는 기업이 정보자산을 보호하기 위해 수립한 관리체계가 인증기준을 충족하는지 심사하는 제도다.
정보통신서비스 이용자 수에 따른 공시 기준도 변경된다. 기존에는 전년도 말 직전 3개월의 일평균 이용자 수가 100만명 이상인 사업자를 대상으로 했지만, 앞으로는 전년도 전체 일평균 이용자 수를 기준으로 판단한다.
공공기관과 금융회사, 전자금융업자, 소기업 등에 적용하던 기존 제외 규정은 삭제된다. 다만 모든 공공기관과 금융회사가 일괄적으로 공시 의무를 부담하는 것은 아니다. 상장 여부나 사업 분야, 이용자 수, 인증 요건 등 시행령에 명시된 기준에 해당하는 경우 의무대상이 된다.
공시 의무대상 2,357개 추산…정보보호 투자·인력 공개 범위 넓어져
정부의 규제영향분석서에 인용된 한국인터넷진흥원(KISA) 자료에 따르면 2025년 정보보호 공시는 총 773건으로, 의무공시 666건과 자율공시 107건으로 구성됐다. 의무공시는 2022년 594건에서 2023년 652건, 2024년 655건으로 증가했다.
정부는 개정 기준을 적용할 경우 공시 의무대상이 2027년 약 2,193개, 소기업에 대한 적용 유예가 종료되는 2029년 이후 약 2,357개로 확대될 것으로 추산했다. 이는 규제영향분석 과정에서 산정한 예상 대상 기업 수로, 실제 공시를 완료한 기업 수와는 구분된다.
제도 확대의 배경에는 국내 사이버 침해사고 증가와 기업 정보보호 활동에 대한 정보공개 필요성이 있다. 규제영향분석서가 인용한 KISA 통계에 따르면 사이버 침해사고 신고 건수는 2023년 1,277건에서 2024년 1,887건으로 약 48% 증가했다. 2025년 상반기에는 1,034건이 신고돼 전년 동기보다 약 15% 늘었다.
정부는 온라인 서비스에 대한 의존도가 높아진 가운데 기존 공시 기준에 해당하지 않아 정보보호 현황이 공개되지 않는 기업이 존재한다는 점을 제도 개선의 근거로 제시했다. 특히 정보보호 관리체계 인증 의무대상 사업자 가운데도 기존 공시 기준을 충족하지 않아 투자와 관련 활동 현황을 공개하지 않는 사례가 있었다.
이번 개정은 2025년 10월 관계부처 합동으로 발표된 범부처 정보보호 종합대책의 후속조치다. 정부는 제도 개선 연구와 이해관계자 의견수렴, 입법예고 및 공청회를 거쳐 의무대상 확대 방안을 마련했다.
정보보호 공시는 기업에 새로운 보안설비 구축이나 인력 채용을 직접 강제하는 규정은 아니다. 기업이 수행 중인 정보보호 투자와 인력, 인증·점검 등 관련 활동을 공개하도록 하는 제도다. 이를 통해 이용자와 투자자는 기업의 정보보호 활동에 관한 정보를 확인할 수 있지만, 공시된 투자금액이나 인력 규모만으로 실제 침해 대응 능력이 검증되는 것은 아니다.
정부는 신규 의무대상 기업의 준비 부담을 고려해 공시 가이드라인 제공과 교육, 사전점검 및 컨설팅 등을 지원할 계획이다. 소기업에는 2년의 유예기간을 부여해 2029년 1월 1일부터 적용한다. 법제처가 공개한 제45회 국무회의 의결 결과에 따르면 개정령안은 20일 원안 의결됐으며 공포 예정일은 10월 27일이다.
삼성전자·SK하이닉스 동반 하락…주요 반도체주 약세
국내 반도체 분야에서는 주요 상장기업인 삼성전자와 SK하이닉스의 주가가 20일 나란히 하락했다. 이날 오후 3시 30분 기준 시세 화면에서 삼성전자는 전 거래일보다 6,500원(2.98%) 내린 21만1,500원, SK하이닉스는 5만4,000원(4.23%) 하락한 122만3,000원으로 표시됐다.
삼성전자는 장중 21만8,000원까지 올랐다가 20만9,000원까지 하락하는 움직임을 보였으며, SK하이닉스도 장중 125만7,000원에서 118만원대까지 가격이 내려가는 등 변동을 나타냈다. 두 기업 모두 전 거래일보다 낮은 가격으로 장을 마쳤고, SK하이닉스의 하락률이 삼성전자보다 1.25%포인트 컸다.
두 기업의 주가 하락은 국내 반도체 관련 주요 종목에서 확인된 당일 시장 변화다. 다만 주식시세는 가격변동을 보여주는 자료이며, 해당 변동이 어떤 요인에 의해 발생했는지는 별도의 근거를 통해 확인해야 한다. 이번에 확인된 시세만으로 AI 투자 수요나 메모리반도체 업황 변화가 주가 하락을 초래했다고 판단할 수는 없다.
SK하이닉스는 지난 14일 공시를 통해 오는 28일 오전 9시 2026년 3분기 경영실적을 발표한다고 밝혔다. 투자자와 언론사를 대상으로 전화회의 방식의 기업설명회를 개최하며, 실적 발표자료와 질의응답 내용은 회사 홈페이지를 통해 제공할 예정이다.
반도체 기업의 실제 사업성과는 제품 판매와 수익성, 설비투자, 수요 변화 등 경영지표를 통해 확인할 수 있다. 20일 주가 하락 수치와 별개로 SK하이닉스의 3분기 경영실적은 예정된 공식 발표를 통해 공개된다.
출처: 과학기술정보통신부, 「정보보호 공시 의무, 2027년부터 전체 상장사 등으로 확대」(2026.10.20) · 법제처, 「제45회 국무회의 법령안 의결 결과 및 공포 일정」(2026.10.20) · 과학기술정보통신부, 「정보보호산업의 진흥에 관한 법률 시행령 일부개정령안」 및 「규제영향분석서」 · 한국인터넷진흥원, 정보보호 공시 및 사이버 침해사고 통계 · SK하이닉스, 「기업설명회(IR) 개최 안내」(2026.10.14) · 2026년 10월 20일 삼성전자·SK하이닉스 주식시세
댓글
0